Datenschutzerklärung

Stand: 21. Oktober 2026

Die Hexcraft Oy (Unternehmens-ID: 3569616-7), Satelliitinkatu 1, FI-37140 Nokia, Finnland („Hexcraft“, „wir“, „uns“), betreibt die Marke HEXED und stellt unsere Websites, unseren Onlineshop, digitale Angebote, Produkte und damit verbundene Leistungen bereit (zusammen die „Dienste“).

Zu unseren Diensten gehören:

• der HEXED-Onlineshop unter hexedcosmetics.com, betrieben mit Shopify Inc.; und
• das HEXED-Crossing-Erlebnis unter crossing.hexedcosmetics.com, betrieben mit Vercel Inc., über das Sie an unserem Pre-Launch-Erlebnis teilnehmen und frühen Zugang beantragen können.

Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden, speichern, weitergeben und anderweitig verarbeiten, wenn Sie unsere Dienste besuchen oder nutzen, Produkte kaufen, mit uns kommunizieren oder auf andere Weise mit Hexcraft in Kontakt treten.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Hexcraft Oy, Satelliitinkatu 1, FI-37140 Nokia, Finnland
E-Mail: customerservice@hexcraft.fi · Telefon: +358 45 861 9591

2. Welche Daten wir verarbeiten

Je nachdem, wie Sie unsere Dienste nutzen, verarbeiten wir folgende Kategorien personenbezogener Daten:

• Kontaktdaten: Name, Anschrift, Rechnungs- und Lieferadresse, Telefonnummer, E-Mail-Adresse.
• Zahlungsdaten: Zahlungsart, Transaktions- und Zahlungsbestätigungsdaten. Vollständige Kartendaten werden ausschließlich von unseren Zahlungsdienstleistern verarbeitet; wir haben keinen Zugriff darauf.
• Kontodaten: Benutzername, Passwort, Einstellungen.
• Transaktionsdaten: angesehene, in den Warenkorb gelegte, gekaufte, zurückgesandte oder stornierte Artikel sowie frühere Bestellungen.
• HEXED-Crossing-Daten: Ihre Antworten auf die sieben Fragen der Überfahrt, Ihr zugeordneter Stamm (Eirwyn, Nyrá, Myrkova oder Eimyrja), der für Sie ausgewählte Satz des Fährmanns und das Datum Ihrer Überfahrt.
• Kommunikation: Inhalte Ihrer Nachrichten an uns, z. B. Kundenanfragen.
• Gerätedaten: Informationen zu Gerät, Browser und Netzwerkverbindung, IP-Adresse und sonstige Kennungen.
• Nutzungsdaten: Informationen darüber, wie und wann Sie unsere Dienste nutzen.

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (z. B. Gesundheitsdaten). Die Fragen der Überfahrt sind atmosphärisch und reflektierend gestaltet und nicht darauf ausgelegt, solche Daten zu erfassen.

3. Herkunft der Daten

• Direkt von Ihnen, z. B. wenn Sie ein Konto anlegen, an der Überfahrt teilnehmen, bestellen, unseren Newsletter abonnieren oder uns kontaktieren.
• Automatisch über die Dienste, z. B. über Ihr Gerät, Ihren Browser, Cookies und ähnliche Technologien.
• Von unseren Dienstleistern, soweit sie Daten in unserem Auftrag verarbeiten (z. B. Hosting, Zahlungsabwicklung, Versand, Analyse, Kundenservice, E-Mail-Versand, Betrugsprävention).
• Von Geschäftspartnern oder sonstigen Dritten, soweit gesetzlich zulässig (z. B. Zahlungsanbieter, Versandpartner, soziale Netzwerke, Werbe- oder Analysepartner).

4. Zwecke und Rechtsgrundlagen

• Bereitstellung und Verbesserung der Dienste – Bestellabwicklung, Zahlung, Versand, Rücksendungen und Umtausch, Kundenkonto, Bewertungen, Produktempfehlungen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Verbesserung unserer Dienste (Art. 6 Abs. 1 lit. f DSGVO).
• HEXED-Crossing – Ihre Antworten bestimmen Ihre Stammeszuordnung und den Satz des Fährmanns aus einem kuratierten Pool von achtzig Sätzen. Damit personalisieren wir Ihr Erlebnis: die Gestaltung Ihrer Marked-Karte, stammesspezifische Inhalte im Grimoire und künftige Nachrichten von uns. Die Daten dienen ausschließlich dieser Personalisierung innerhalb der Welt von HEXED und werden nicht genutzt, um persönliche Eigenschaften, Verhalten, finanzielle Verhältnisse, Gesundheit oder die Berechtigung für Produkte oder Leistungen zu bewerten. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Marketing und Werbung – Werbe-E-Mails und Online-Werbung, auch auf Grundlage Ihrer früheren Käufe oder Warenkorbaktivitäten. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Sicherheit und Betrugsprävention – Authentifizierung, sichere Zahlung, Erkennung missbräuchlicher Aktivitäten, einschließlich automatischer Bot-Erkennung (Cloudflare Turnstile) bei der Eingabe Ihrer E-Mail-Adresse. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Bitte halten Sie Ihre Zugangsdaten geheim.
• Kommunikation – Kundenservice und Pflege unserer Geschäftsbeziehung. Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse.
• Rechtliche Gründe – Erfüllung gesetzlicher Pflichten (z. B. Steuer- und Buchhaltungspflichten), Beantwortung rechtmäßiger Anfragen von Behörden, Geltendmachung oder Abwehr von Rechtsansprüchen. Rechtsgrundlage: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) bzw. berechtigtes Interesse.

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder Marketing-E-Mail oder per Nachricht an uns. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

5. Cookies und Tracking

Einige Daten erheben wir automatisch über Cookies und ähnliche Technologien. Näheres und Ihre Einstellungsmöglichkeiten finden Sie in unserer Cookie-Richtlinie und unter Cookie-Einstellungen.

6. Profiling und automatisierte Entscheidungen

Wir personalisieren Ihr Einkaufs- und Markenerlebnis, unter anderem durch die Stammeszuordnung der Überfahrt. Diese Zuordnung ist deterministisch – dieselben Antworten führen immer zu demselben Stamm und demselben Satz – und hat keinen Einfluss auf Preise, Produktverfügbarkeit, den Zugang zu Leistungen oder sonstige rechtlich oder ähnlich erhebliche Folgen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.

7. Weitergabe von Daten

Wir geben personenbezogene Daten nur weiter, soweit dies zur Bereitstellung unserer Dienste, zur Vertragserfüllung, zur Erfüllung gesetzlicher Pflichten, zur Wahrung unserer berechtigten Interessen oder mit Ihrer Einwilligung erforderlich ist.

Auftragsverarbeiter

Wir arbeiten mit sorgfältig ausgewählten Dienstleistern zusammen, die Daten ausschließlich in unserem Auftrag, nach unseren Weisungen und – soweit erforderlich – auf Grundlage von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO verarbeiten:

Anbieter	Zweck	Standort	Übermittlungsgrundlage
Shopify Inc.	E-Commerce-Plattform und Zahlungsinfrastruktur für hexedcosmetics.com	Kanada / USA	EU-Standardvertragsklauseln
Vercel Inc.	Hosting und Serverless-Infrastruktur für crossing.hexedcosmetics.com	USA	EU-Standardvertragsklauseln
Supabase Inc.	Datenbank für das HEXED-Crossing (Antworten, Stammeszuordnung, Sätze des Fährmanns)	Europäische Union	entfällt (innerhalb des EWR)
Klaviyo, Inc.	E-Mail-Marketing, Willkommensnachrichten, Verwaltung der Pre-Launch-Liste, Kampagnen	USA	EU-Standardvertragsklauseln
Cloudflare, Inc.	Bot-Schutz (Cloudflare Turnstile) bei der Eingabe der E-Mail-Adresse	USA	EU-Standardvertragsklauseln
Consentmo OÜ	Cookie-Einwilligungsverwaltung	Europäische Union	entfällt (innerhalb des EWR)
Tracklution Oy	Serverseitige Analyse und Conversion-Messung	Finnland (EU)	entfällt (innerhalb des EWR)

Diese Liste kann sich ändern. Über wesentliche Änderungen informieren wir, soweit gesetzlich erforderlich.

Werbepartner (eigenständige bzw. gemeinsam Verantwortliche)

Mit Ihrer Einwilligung geben wir bestimmte personenbezogene Daten an Werbeplattformen weiter, um die Wirksamkeit unserer Werbung zu messen und Ihnen auf deren Diensten relevante Werbung anzuzeigen. Diese Partner sind keine Auftragsverarbeiter: Sie legen Zwecke und Mittel der Verarbeitung selbst fest und sind daher eigenständige Verantwortliche bzw. – hinsichtlich der über ihre Tracking-Technologien auf unserer Website erhobenen Daten – gemeinsam mit uns Verantwortliche im Sinne von Art. 26 DSGVO.

Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) – Werbung auf Facebook und Instagram. Nur wenn Sie in Marketing-Cookies eingewilligt haben, übermitteln wir an Meta: Interaktionsereignisse auf unserer Website (z. B. Seitenaufrufe, angesehene Produkte, in den Warenkorb gelegte Artikel und Käufe), technische Kennungen (Meta-Pixel-Cookie-IDs _fbp und _fbc, Klick-IDs, IP-Adresse und Browserinformationen) sowie bei Kundinnen und Kunden, die bestellen oder ein Konto anlegen, Kontaktdaten (E-Mail-Adresse, Telefonnummer, Name und Postanschrift) in gehashter (pseudonymisierter) Form. Die Übermittlung erfolgt sowohl über das Meta-Pixel in Ihrem Browser als auch serverseitig über die Meta Conversions API. Meta nutzt die Daten, um Käufe Werbeanzeigen zuzuordnen, Werbezielgruppen zu bilden und die Anzeigenauslieferung zu verbessern. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG). Meta Platforms, Inc. kann die Daten in den USA verarbeiten; die Übermittlung ist durch das EU-US Data Privacy Framework, nach dem Meta zertifiziert ist, sowie durch die EU-Standardvertragsklauseln abgesichert. Für die Verarbeitung gelten die Nutzungsbedingungen für Meta-Business-Tools einschließlich des Zusatzes für gemeinsam Verantwortliche, der die Verantwortlichkeiten zwischen Meta und uns regelt. Weitere Informationen zur Verarbeitung durch Meta, zu Speicherfristen und zu Ihren Rechten gegenüber Meta: facebook.com/privacy/policy. Ohne Ihre Einwilligung werden keine Daten an Meta übermittelt.

Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) – Conversion-Messung mit Google Ads und Google Analytics. Auf derselben Grundlage (Ihre Einwilligung) übermitteln wir vergleichbare Interaktionsereignisse und technische Kennungen an Google sowie zur Conversion-Messung gehashte Kontaktdaten (Enhanced Conversions). Übermittlungen an Google LLC in den USA sind durch das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert. Weitere Informationen: policies.google.com/privacy.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link zu den Cookie-Einstellungen in der Fußzeile unserer Website widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Darüber hinaus können Sie in den Einstellungen Ihrer Konten bei Meta und Google steuern, wie diese Daten für Werbung verwenden.

Sonstige Weitergabe

• zur Erfüllung gesetzlicher Pflichten, gerichtlicher Anordnungen oder rechtmäßiger Anfragen von Behörden;
• zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen;
• zur Aufklärung und Verhinderung von Betrug, Sicherheitsvorfällen oder rechtswidrigen Handlungen;
• im Zusammenhang mit einer Fusion, Übernahme, Umstrukturierung, Finanzierung oder Veräußerung unseres Unternehmens oder von Teilen davon, unter Wahrung angemessener Schutzmaßnahmen.

8. Shopify

Unser Onlineshop wird von Shopify Inc. gehostet. Beim Besuch oder Kauf verarbeitet Shopify bestimmte Daten in unserem Auftrag, um Shopfunktionen, Zahlungsabwicklung, Bestellverwaltung, Betrugsprävention und Plattformsicherheit zu ermöglichen. Für bestimmte eigene Zwecke – etwa Wartung, Sicherheit und Weiterentwicklung der Plattform – kann Shopify als eigenständiger oder gemeinsam Verantwortlicher handeln und ist insoweit selbst für Anfragen zuständig. Weitere Informationen finden Sie in der Shopify Consumer Privacy Policy und im Shopify Privacy Portal.

9. Übermittlung in Drittländer

Einige Dienstleister sitzen außerhalb des Europäischen Wirtschaftsraums (EWR). Bei einer Übermittlung in Drittländer stellen wir geeignete Garantien sicher, insbesondere einen Angemessenheitsbeschluss der Europäischen Kommission oder EU-Standardvertragsklauseln, ggf. ergänzt durch zusätzliche technische und organisatorische Maßnahmen wie Verschlüsselung und Zugriffskontrollen. Auf Anfrage informieren wir Sie gerne näher über diese Garantien.

10. Websites und Funktionen Dritter

Unsere Dienste können Links zu Websites oder Diensten Dritter enthalten, für deren Inhalte und Datenschutzpraktiken wir nicht verantwortlich sind; es gelten deren eigene Datenschutzerklärungen. Bei eingebundenen Funktionen Dritter (z. B. Social-Media-Schaltflächen, eingebettete Inhalte, Zahlungsdienste) können technische Daten wie IP-Adresse, Browser- und Geräteinformationen an den jeweiligen Anbieter übermittelt werden, soweit dies für die Funktion erforderlich ist oder Sie eingewilligt haben.

11. Kinder

Unsere Dienste richten sich nicht an Kinder unter 15 Jahren bzw. unter dem in Ihrem Land geltenden Mindestalter. Erfahren wir, dass wir ohne erforderliche Einwilligung Daten eines Kindes erhoben haben, löschen wir diese unverzüglich. Eltern oder Erziehungsberechtigte können sich jederzeit an uns wenden.

12. Sicherheit und Speicherdauer

Wir schützen Ihre Daten durch angemessene technische und organisatorische Maßnahmen, darunter Verschlüsselung, Zugriffskontrollen, sichere Speichersysteme und regelmäßige Sicherheitsprüfungen. Eine absolute Sicherheit kann jedoch kein System garantieren; bitte übermitteln Sie uns vertrauliche Informationen nicht über unsichere Kanäle.

Wir speichern Daten nur so lange, wie es für die genannten Zwecke erforderlich oder gesetzlich vorgeschrieben ist:

• Bestell- und Transaktionsdaten: bis zu 6 Jahre (Buchhaltungs- und Steuerpflichten nach finnischem Recht).
• Kontodaten: solange Ihr Konto besteht oder bis Sie die Löschung verlangen.
• HEXED-Crossing-Daten: solange Sie Mitglied unserer Pre-Launch-Liste bzw. von The Marked sind und bis zu 3 Jahre nach Inaktivität, sofern Sie nicht früher die Löschung verlangen.
• Marketingdaten: bis zum Widerruf Ihrer Einwilligung bzw. Ihrer Abmeldung, zuzüglich einer angemessenen Sperrfrist, damit Sie keine weiteren Nachrichten erhalten.
• Kundenservice-Vorgänge: in der Regel bis zu 12 Monate nach Abschluss.

Bot-Schutz: Um die Überfahrt vor automatisiertem Missbrauch zu schützen, nutzen wir Cloudflare Turnstile. Es läuft unsichtbar bei der Eingabe Ihrer Adresse und prüft, ob die Anfrage von einem Menschen stammt. Dafür erhält Cloudflare technische Informationen über Ihren Browser und Ihre Verbindung (siehe Cloudflare Turnstile Privacy Addendum).

Nach Ablauf der Speicherfrist löschen oder anonymisieren wir die Daten. Im Fall einer Datenschutzverletzung mit Risiko für Ihre Rechte und Freiheiten benachrichtigen wir die zuständige Aufsichtsbehörde und, soweit erforderlich, die Betroffenen.

13. Ihre Rechte

Nach der DSGVO haben Sie insbesondere folgende Rechte:

• Auskunft über Ihre bei uns gespeicherten Daten und eine Kopie davon (Art. 15);
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16);
• Löschung, einschließlich Ihrer Crossing-Antworten, Stammeszuordnung und Ihres Satzes des Fährmanns (Art. 17);
• Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20);
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Sie können Ihre Rechte per E-Mail an customerservice@hexcraft.fi oder über unsere Seite Datenschutzanfragen (DSGVO) ausüben. Zum Schutz Ihrer Daten können wir Sie bitten, Ihre Identität zu bestätigen. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Soweit gesetzlich zulässig, können Sie eine andere Person bevollmächtigen; wir können dann einen Nachweis der Vollmacht verlangen.

Auch nach einer Abmeldung vom Marketing erhalten Sie weiterhin servicebezogene Nachrichten, z. B. Bestell- und Versandbestätigungen.

Soweit Shopify als eigenständiger Verantwortlicher handelt, richten Sie Anfragen zu diesen Verarbeitungen bitte direkt an Shopify.

14. Beschwerderecht

Wenn Sie Bedenken haben, wenden Sie sich gerne zuerst an uns, damit wir die Angelegenheit direkt klären können. Unabhängig davon haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Eine Liste der Aufsichtsbehörden im EWR finden Sie beim Europäischen Datenschutzausschuss.

Für uns zuständig ist die finnische Datenschutzbehörde (Tietosuojavaltuutetun toimisto), Ratapihantie 9, 00520 Helsinki, Finnland · tietosuoja.fi · tietosuoja@om.fi

15. Änderungen

Wir können diese Datenschutzerklärung anpassen, etwa wegen geänderter Abläufe oder rechtlicher Anforderungen. Die aktuelle Fassung veröffentlichen wir auf dieser Seite mit aktualisiertem Stand-Datum und informieren Sie, soweit gesetzlich erforderlich.

16. Kontakt

Hexcraft Oy · Unternehmens-ID 3569616-7
Satelliitinkatu 1, FI-37140 Nokia, Finnland
E-Mail: customerservice@hexcraft.fi · Telefon: +358 45 861 9591