Datenschutzerklärung

1. Verantwortlicher

KTH Parts GmbH
Am Tönniesberg 16, 30453 Hannover, Deutschland
Geschäftsführer: Sascha Schöning
Telefon: +49 (0)511 56968381 · E-Mail: info@kthshop.de

Diese Datenschutzerklärung gilt für den KTH Onlineshop und den Onlineshop „BlackBoost Europe“, die beide von der KTH Parts GmbH betrieben werden.

2. Hosting und Server-Logfiles

Unsere Onlineshops werden auf eigenen Servern in Rechenzentren innerhalb der Europäischen Union betrieben (Infrastruktur: netcup GmbH, Karlsruhe, im Rahmen einer Auftragsverarbeitung). Beim Aufruf der Seiten verarbeitet der Webserver automatisch technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp), soweit dies für die Auslieferung der Seiten und die Gewährleistung von Stabilität und Sicherheit erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO). Logdaten werden nicht mit anderen Datenquellen zusammengeführt. Zugriffsprotokolle des Webservers löschen wir nach spätestens 14 Tagen, Fehler- und Systemprotokolle nach spätestens 90 Tagen. Anmeldeversuche am Kundenkonto und im Verwaltungsbereich (E-Mail-Adresse, IP-Adresse, Browserkennung, Zeitpunkt) speichern wir zum Schutz vor Missbrauch 90 Tage.

Zum Schutz vor Angriffen (z. B. automatisierte Anmeldeversuche, Schwachstellen-Scans) setzen wir die Sicherheitssoftware CrowdSec ein. Sie wertet die Zugriffsprotokolle auf unserem Server aus und sperrt auffällige IP-Adressen. Erkennt sie einen Angriff, übermittelt sie die IP-Adresse des Angreifers, Zeitpunkt und Art des Angriffs an die CrowdSec SAS, Paris, Frankreich, die daraus eine gemeinsame Sperrliste bildet; die Daten gewöhnlicher Seitenbesuche werden nicht übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit unserer Systeme (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO).

Zur Datensicherung legen wir nächtlich eine Sicherungskopie des Servers einschließlich der Shop-Datenbank bei Google Drive (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ab. Die Sicherung wird vor der Übertragung auf unserem Server verschlüsselt; Google erhält keinen Schlüssel und kann die Inhalte nicht lesen. Die Sicherungen werden nach 7 Tagen gelöscht. Grundlage sind unser berechtigtes Interesse an der Wiederherstellbarkeit der Daten und unsere Pflicht zur Datensicherheit (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO); mit Google besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Eine Übermittlung in die USA ist nicht ausgeschlossen; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend gelten EU-Standardvertragsklauseln.

3. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies und vergleichbare Speichertechniken ein (§ 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO): Sitzungs-/Login-Cookies für Kundenkonto und Admin-Bereich, die lokale Speicherung des Warenkorbs und der Wunschliste im Browser, die Speicherung Ihrer Cookie-Einstellungen sowie Ihrer Sprach- und Preisland-Auswahl. Wählen Sie in der Fahrzeugsuche ein Fahrzeug, merken wir es lokal in Ihrem Browser, um passende Teile zu kennzeichnen; es wird nicht an unseren Server übertragen und lässt sich über „✕“ neben „Mein Fahrzeug“ jederzeit entfernen. Analyse-, Statistik- oder Marketing-Tools setzen wir nicht ein. Einwilligungspflichtig ist allein das Laden externer Medien (YouTube-Videos, siehe Abschnitt 12); dies geschieht nur nach Ihrer Einwilligung über den Cookie-Banner oder einem Klick auf „Video laden“ (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern bzw. widerrufen.

4. Standortbezogene Preisanzeige (Geolokalisierung)

Zur Anzeige der für Ihr Land voraussichtlich geltenden Umsatzsteuer ordnen wir Ihre IP-Adresse beim Seitenaufruf einem Land zu. Diese Zuordnung erfolgt ausschließlich lokal auf unserem Server anhand einer Offline-Datenbank; Ihre IP-Adresse wird hierfür nicht an Dritte übermittelt und nicht gespeichert (Art. 6 Abs. 1 lit. f DSGVO — Interesse an transparenter Preisdarstellung). Sie können das Anzeigeland jederzeit manuell im Footer ändern; die Auswahl wird in einem Cookie gespeichert.

5. Kundenkonto, Bestellungen und Rechnungsdaten

Bei Bestellungen und der Nutzung des Kundenkontos verarbeiten wir die von Ihnen angegebenen Daten (Name, Anschrift, E-Mail-Adresse, Telefonnummer, ggf. USt-IdNr., Bestell- und Zahlungsdaten) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Passwörter werden ausschließlich verschlüsselt (gehasht) gespeichert; hinterlegte Zahlungs-Konfigurationsdaten werden verschlüsselt abgelegt. Für die Berechnung der Versandkosten werden Lieferland, Postleitzahl, Ort und ggf. Bundesstaat bereits während der Eingabe an unseren Server übermittelt. Bestell- und Rechnungsdaten sind Teil unserer Buchführung und der Aufzeichnungen über Lieferungen im OSS-Verfahren; wir bewahren sie deshalb einheitlich zehn Jahre auf (§ 147 Abs. 1, Abs. 3 AO, § 14b UStG, Art. 63c MwSt-DVO 282/2011, § 22 UStG), Handelsbriefe sechs Jahre (§ 257 HGB); jeweils ab Ende des Kalenderjahres (Art. 6 Abs. 1 lit. c DSGVO). Löschen Sie Ihr Kundenkonto, werden Konto, Adressbuch, Warenkorb und Wunschliste sofort gelöscht; Bestell- und Rechnungsdaten werden bis zum Ablauf dieser Fristen gesperrt (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO) und danach automatisch anonymisiert. Die Angaben zu einem über die Widerrufsfunktion erklärten Widerruf (Name, Vertragsangaben, E-Mail-Adresse für die Eingangsbestätigung, Zeitpunkt) speichern wir als Nachweis für drei Jahre (Art. 6 Abs. 1 lit. c und f DSGVO). Die Angabe der als Pflichtfelder gekennzeichneten Daten ist für den Vertragsschluss erforderlich; ohne sie können wir Ihre Bestellung nicht ausführen.

Umstellung des Shopsystems (Oktober 2026): Bei der Umstellung unseres Onlineshops auf eine eigene Software haben wir Kundendaten (Name, Anschriften, E-Mail-Adresse, Telefonnummer, ggf. Firma und USt-IdNr.) und bisherige Bestellungen aus unserem bisherigen Shop und unserer Warenwirtschaft übernommen, um bestehende Kundenbeziehungen und unsere Aufbewahrungspflichten fortzuführen (Art. 6 Abs. 1 lit. b, c und f DSGVO). Passwörter und Werbeeinwilligungen wurden nicht übernommen. Melden Sie sich mit einer übernommenen E-Mail-Adresse an oder registrieren Sie sich, senden wir Ihnen einmalig einen Link zum Festlegen eines Passworts. Sie können der Speicherung als Kundenkonto jederzeit widersprechen; Bestelldaten bleiben dann bis zum Ablauf der Aufbewahrungsfristen gesperrt.

Geschenkgutscheine: Geben Sie beim Kauf eines Gutscheins einen Empfänger an, verarbeiten wir dessen Namen und E-Mail-Adresse, Ihren Grußtext und den gewünschten Versandtag, um den Gutschein zuzustellen (Art. 6 Abs. 1 lit. b und f DSGVO). Der Empfänger erhält mit dem Gutschein einen Hinweis auf diese Datenschutzerklärung. Die Daten speichern wir bis zum Ende der Gültigkeit des Gutscheins und danach im Rahmen der gesetzlichen Aufbewahrungsfristen.

5a. Verarbeitung eingehender Rechnungen (Buchhaltung)

Rechnungen und Belege, die uns per E-Mail erreichen oder die wir hochladen, lesen wir für unsere Buchhaltung automatisiert aus. Dazu übermitteln wir die Belegdatei mit den darin enthaltenen Angaben (z. B. Name, Anschrift, Ansprechpartner und Bankverbindung des Rechnungsstellers) an den KI-Anbieter Anthropic (Anthropic PBC, USA, bzw. die für unseren Vertrag zuständige Anthropic-Gesellschaft) als Auftragsverarbeiter (Art. 28 DSGVO). Rechtsgrundlage sind unsere gesetzlichen Buchführungspflichten und unser berechtigtes Interesse an einer effizienten Belegverarbeitung (Art. 6 Abs. 1 lit. c und f DSGVO). Für die Übermittlung in die USA gelten EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); die Daten werden nicht zum Training von KI-Modellen verwendet. Die Belege bewahren wir im Rahmen der gesetzlichen Aufbewahrungsfristen auf (§ 147 AO).

6. Zahlungsdienstleister

Zahlungen per Karte, Apple Pay, Google Pay, PayPal, Klarna, Amazon Pay, Revolut Pay und Banküberweisung an eine persönliche IBAN wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Dafür übermitteln wir Bestellnummer, Betrag, E-Mail-Adresse und – bei der Banküberweisung – Ihren Namen; die Zahlungsdaten selbst geben Sie direkt auf der Bezahlseite von Stripe ein (Art. 6 Abs. 1 lit. b DSGVO). Bei der Banküberweisung legt Stripe ein Kundenkonto mit einer persönlichen IBAN an, über die Ihre Zahlung automatisch zugeordnet wird. Stripe verarbeitet Daten auch in den USA; die Übermittlung stützt sich auf den EU-US Data Privacy Framework bzw. Standardvertragsklauseln (Art. 45, 46 DSGVO).

Zur Betrugsprävention wertet Stripe mit dem Dienst „Stripe Radar“ auf der Bezahlseite Geräte- und Verbindungsdaten (z. B. IP-Adresse, Browser- und Geräteinformationen) sowie Zahlungsdaten aus und bewertet das Betrugsrisiko einer Zahlung. Bei hohem Risiko kann Stripe eine Zahlung ablehnen; Sie können dann eine andere Zahlart wählen oder sich an uns wenden. Rechtsgrundlage ist unser und Stripes berechtigtes Interesse am Schutz vor Zahlungsbetrug (Art. 6 Abs. 1 lit. f DSGVO).

Je nach gewählter Zahlart erhält zusätzlich der jeweilige Anbieter als eigener Verantwortlicher die für die Zahlung nötigen Daten: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg); Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden – Klarna prüft bei Rechnungs- und Ratenkauf gegebenenfalls Ihre Identität und Bonität nach eigener Datenschutzerklärung; Amazon Payments Europe S.C.A. (Luxemburg). Beim Kauf auf Rechnung und bei Vorkasse auf unser Konto verarbeiten wir die Zahlungsdaten selbst; Zahlungseingänge ordnen wir anhand des Verwendungszwecks zu.

6a. Prüfung der USt-IdNr. (VIES)

Geben Geschäftskunden aus einem anderen EU-Mitgliedstaat eine USt-IdNr. an, prüfen wir deren Gültigkeit vor Annahme der steuerfreien innergemeinschaftlichen Lieferung über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission. Bei der Prüfung in der Kasse wird nur die USt-IdNr. übermittelt. Für eine qualifizierte Bestätigung prüfen wir die USt-IdNr. zusätzlich zusammen mit Firmenname und Anschrift beim Bundeszentralamt für Steuern (BZSt, Bonn). Das Prüfergebnis speichern wir als Nachweis (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 6a UStG, § 17d UStDV, § 18e UStG).

7. Versanddienstleister, Versandkosten und Zoll

Zur Lieferung übermitteln wir Name, Lieferanschrift, ggf. Firma und – soweit für die Zustellung oder Zollabfertigung erforderlich – Telefonnummer und E-Mail-Adresse an das beauftragte Versandunternehmen, derzeit Deutsche Post / DHL Paket GmbH (Bonn), bei Speditionsware (komplette Abgasanlagen und Getriebe) an die beauftragte Spedition (Art. 6 Abs. 1 lit. b DSGVO).

Bei Lieferungen außerhalb der EU werden für die Zollabfertigung zusätzlich Warenbeschreibung, Warenwert, Zolltarifnummer und Ursprungsland an das Versandunternehmen und die Zollbehörden des Bestimmungslandes übermittelt. Für Länder ohne Angemessenheitsbeschluss der EU-Kommission erfolgt die Übermittlung, weil sie zur Erfüllung des mit Ihnen geschlossenen Vertrags erforderlich ist (Art. 49 Abs. 1 lit. b DSGVO); dort gilt unter Umständen kein der EU vergleichbares Datenschutzniveau.

8. Sendungsverfolgung (17TRACK)

Für die Sendungsverfolgung in unseren Shops registrieren wir die Sendungsnummer Ihrer Lieferung beim Dienst 17TRACK (17TRACK Technology Limited, Hongkong). Übermittelt wird ausschließlich die Sendungsnummer — nicht Ihr Name, Ihre Anschrift oder Kontaktdaten. Rechtsgrundlage ist unser berechtigtes Interesse an einer komfortablen Sendungsverfolgung (Art. 6 Abs. 1 lit. f DSGVO). Da der Anbieter in einem Drittland ohne Angemessenheitsbeschluss sitzt, beschränken wir die Übermittlung auf diese pseudonymen Versanddaten.

9. E-Mail-Kommunikation und Newsletter

E-Mails zur Vertragsabwicklung (Eingangs-, Bestell-, Zahlungs- und Versandbestätigungen, Zahlungserinnerungen, Eingangsbestätigung eines Widerrufs) versenden wir nach Art. 6 Abs. 1 lit. b und c DSGVO. Unsere Postfächer und der E-Mail-Versand liegen bei ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, im Rahmen einer Auftragsverarbeitung (Art. 28 DSGVO); die Server stehen in Deutschland.

Nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG) senden wir: eine einmalige Bitte um Bewertung der gekauften Artikel nach der Lieferung (Einwilligung über ein freiwilliges Kästchen in der Kasse), Erinnerungen an Artikel, die in Ihrem Warenkorb liegen geblieben sind (Einstellung im Kundenkonto), und unseren Newsletter mit Angeboten und Produktneuheiten (Anmeldung im Double-Opt-In-Verfahren). Nach der Bestätigung der Newsletter-Anmeldung prüfen wir anhand Ihrer E-Mail-Adresse, ob bereits eine Bestellung vorliegt, und senden Neukunden einen einmaligen Gratisversand-Code (Art. 6 Abs. 1 lit. b DSGVO). Für die Anmeldung speichern wir Ihre E-Mail-Adresse, Zeitpunkt von Anmeldung und Bestätigung sowie als Nachweis der Einwilligung Ihre IP-Adresse und Ihren Browser in gehashter (nicht lesbarer) Form. Ob Sie den Newsletter öffnen oder Links anklicken, werten wir nicht aus. Unbestätigte Anmeldungen löschen wir nach 30 Tagen; nach einer Abmeldung bewahren wir E-Mail-Adresse und Einwilligungsnachweis bis zu drei Jahre zur Abwehr von Ansprüchen auf (Art. 6 Abs. 1 lit. f DSGVO). Jede dieser E-Mails enthält einen Abmeldelink; Sie können Ihre Einwilligung außerdem jederzeit formlos per E-Mail widerrufen, die Erinnerung an den Warenkorb auch im Kundenkonto.

Werbung an Bestandskunden: Haben Sie bei uns eine Ware gekauft, nutzen wir die dabei angegebene E-Mail-Adresse, um Sie gelegentlich über eigene, ähnliche Produkte zu informieren (§ 7 Abs. 3 UWG; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an Direktwerbung). Darauf weisen wir Sie bei der Bestellung und in jeder solchen E-Mail hin. Sie können dieser Verwendung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO) – über den Link in jeder E-Mail, in Ihrem Kundenkonto oder formlos per E-Mail –, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen. Ihren Widerspruch speichern wir (E-Mail-Adresse, Zeitpunkt), damit wir Sie dauerhaft von Werbung ausnehmen können.

Bei Lieferungen ins Ausland legen wir nach der Zustellung einen Zustellnachweis ab (Sendungsnummer, Sendungsprotokoll mit Zeit und Ort der Zustellung, Lieferanschrift, ggf. eine Aufnahme der öffentlichen Sendungsverfolgung des Versanddienstleisters). Er dient als Beleg für steuerliche Nachweispflichten und die Abwehr von Ansprüchen (Art. 6 Abs. 1 lit. c und f DSGVO i. V. m. § 147 AO, § 17b UStDV) und wird mit Ablauf der Aufbewahrungsfrist gelöscht.

10. Kontaktformular und Produktbewertungen

Bei Anfragen über das Kontaktformular verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO); Anfragen löschen wir, sobald sie abschließend bearbeitet sind, spätestens nach drei Jahren, soweit keine Aufbewahrungspflicht besteht. Bewertungen können über den persönlichen Link aus der Bewertungsanfrage, als angemeldeter Kunde oder ohne Kauf abgegeben werden; sie werden vor der Veröffentlichung von uns geprüft (Moderation). Bewertungen über den Link oder von angemeldeten Käufern des Artikels kennzeichnen wir als „Verifizierter Kauf“; dazu gleichen wir die Bewertung mit Ihrer Bestellung ab. Für Bewertungen über den Link erhalten Sie unabhängig von der Sternzahl einen Dankeschön-Gutschein. Veröffentlicht werden Bewertungstext, Sternewertung und der von Ihnen angegebene Anzeigename (Art. 6 Abs. 1 lit. a DSGVO).

B2B-Antrag: Beantragen Sie ein Geschäftskundenkonto (Formular, Kundenkonto oder Registrierung als Firma), verarbeiten wir Firma, Ansprechpartner, Kontakt- und Anschriftsdaten sowie die USt-IdNr. zur Prüfung des Antrags (Art. 6 Abs. 1 lit. b DSGVO). Die USt-IdNr. prüfen wir wie in Abschnitt 6a beschrieben (VIES, qualifiziert mit Firma und Anschrift beim BZSt); das Ergebnis bewahren wir als Nachweis auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 18e UStG). Abgelehnte Anträge löschen wir sechs Monate nach der Entscheidung, nicht entschiedene Anträge zwölf Monate nach Eingang.

Händlerkarte: Für die Händlersuche im Shop „BlackBoost Europe“ ermitteln wir aus der Geschäftsanschrift der Händler (Straße, Postleitzahl, Ort, Land) die Kartenkoordinaten über den Dienst Nominatim der OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich; Angemessenheitsbeschluss nach Art. 45 DSGVO). Daten von Shop-Besuchern werden dabei nicht übermittelt (Art. 6 Abs. 1 lit. b und f DSGVO).

11. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, siehe unten). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zudem steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu; für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO, z. B. Server-Logfiles, Geolokalisierung, Sendungsverfolgung, Betrugsprävention), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für den Widerspruch genügt eine formlose Nachricht an info@kthshop.de.

12. Externe Medien: Videos (YouTube)

Einzelne Produktbeschreibungen enthalten Videos (z. B. Klangproben). Sie werden erst geladen, wenn Sie auf „Video laden“ klicken oder im Cookie-Banner „Externe Medien“ zugelassen haben; vorher wird keine Verbindung zu Google aufgebaut. Wir binden die Videos über die Domain youtube-nocookie.com der Google Ireland Limited ein. Beim Laden wird Ihre IP-Adresse an Google übermittelt, auch in die USA; startet das Video, verarbeitet Google weitere Daten nach eigener Datenschutzerklärung. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie über „Cookie-Einstellungen“ jederzeit widerrufen können. Die Übermittlung in die USA stützt sich auf den EU-US Data Privacy Framework (Art. 45 DSGVO).

13. Automatisierte Entscheidungsfindung, Änderungen

Wir selbst treffen keine automatisierten Entscheidungen einschließlich Profiling. Zur Betrugsprüfung durch Stripe und zur Identitäts- und Bonitätsprüfung durch Klarna siehe Abschnitt 6. Wir passen diese Datenschutzerklärung an, sobald sich die Verarbeitung ändert (z. B. bei Einführung neuer Dienste); es gilt die jeweils hier veröffentlichte Fassung.

Stand: 22.10.2026