Die ROSE Vintage Lab SAS (im Folgenden „ROSE" oder „das Unternehmen") misst dem Schutz der personenbezogenen Daten ihrer Nutzer grundlegende Bedeutung bei. Die vorliegende Datenschutzerklärung (im Folgenden „die Richtlinie") wird gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (die „DSGVO") sowie des französischen Gesetzes Nr. 78-17 vom 6. Januar 1978 über Informatik, Dateien und Freiheiten in seiner konsolidierten geltenden Fassung erstellt.

Diese Richtlinie gilt für sämtliche Verarbeitungsvorgänge personenbezogener Daten, die ROSE im Rahmen des Betriebs seiner digitalen Plattform für japanische Luxus-Vintage-Artikel durchführt, zugänglich über die Website rosevintagelab.com sowie über die entsprechenden iOS- und Android-Mobilanwendungen (im Folgenden gemeinsam „die Plattform").

Sie betrifft jede natürliche Person, die mit der Plattform interagiert, sei es als Käufer (europäische Privatperson oder Gewerbetreibender), Verkäufer (verifizierter japanischer Lieferant), Mitglied des Cercle ROSE oder einfacher Besucher, der kein Konto erstellt hat.

Im Sinne von Art. 4 Nr. 7 DSGVO ist der Verantwortliche die juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Für sämtliche in dieser Richtlinie beschriebenen Verarbeitungsvorgänge ist der Verantwortliche:

ROSE hat einen internen Datenschutzbeauftragten benannt, erreichbar unter support@rosevintagelab.com, der für die Einhaltung der DSGVO und der anwendbaren nationalen Bestimmungen bei den Verarbeitungsvorgängen sowie als Ansprechpartner für die Ausübung der Rechte der betroffenen Personen zuständig ist.

Gemäß dem in Art. 5 Abs. 1 lit. c DSGVO verankerten Grundsatz der Datenminimierung beschränkt ROSE die Erhebung strikt auf personenbezogene Daten, die für die Zwecke, für die sie verarbeitet werden, angemessen, erheblich und notwendig sind.

ROSE erhebt keine Daten besonderer Kategorien im Sinne von Art. 9 DSGVO (Gesundheit, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, rassische oder ethnische Herkunft), mit einer Ausnahme: Bei der Identitätsverifizierung gleicht Stripe Identity ein live aufgenommenes Foto mit dem Foto des Ausweisdokuments ab, was eine Verarbeitung biometrischer Daten darstellt. Diese Verarbeitung beruht auf der ausdrücklichen Einwilligung der Person (Art. 9 Abs. 2 lit. a DSGVO), die vor der Aufnahme des Fotos eingeholt wird; die Bilder verbleiben bei Stripe, und ROSE bewahrt keine Kopie davon auf. Wer dieses Verfahren ablehnt, kann eine manuelle Verifizierung anhand von Dokumenten ohne Gesichtsabgleich verlangen. Alle anderen unaufgefordert übermittelten sensiblen Daten werden unverzüglich gelöscht.

Gemäß Art. 6 DSGVO muss jede Verarbeitung personenbezogener Daten auf einer Rechtsgrundlage beruhen. Die nachstehende Tabelle listet sämtliche von ROSE durchgeführten Verarbeitungsvorgänge, deren jeweiligen Zweck und die anwendbare Rechtsgrundlage auf.

Gemäß dem in Art. 5 Abs. 1 lit. e DSGVO verankerten Grundsatz der Speicherbegrenzung werden personenbezogene Daten nur so lange gespeichert, wie es für die Erfüllung der Zwecke, für die sie erhoben wurden, oder zur Einhaltung geltender gesetzlicher und regulatorischer Pflichten unbedingt erforderlich ist.

Nach Ablauf der anwendbaren Speicherfristen werden die Daten entweder endgültig und unwiderruflich gelöscht oder vollständig zu statistischen Zwecken anonymisiert, gemäß den Leitlinien der französischen Datenschutzbehörde (CNIL).

Im Rahmen des Betriebs der Plattform greift ROSE auf technische Drittdienstleister zurück, die als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO handeln. Diese Dienstleister verarbeiten personenbezogene Daten ausschließlich nach dokumentierter Weisung von ROSE, unter Einhaltung der vertraglichen Pflichten, die durch Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO festgelegt sind.

ROSE gibt die personenbezogenen Daten seiner Nutzer nicht für eigene kommerzielle Zwecke Dritter an Dritte weiter, verkauft oder vermietet sie nicht.

Jede Änderung der Liste der Auftragsverarbeiter, die den Zugriff auf neue Kategorien personenbezogener Daten mit sich bringt, führt innerhalb von dreißig (30) Tagen zu einer Aktualisierung dieser Richtlinie.

Die Tätigkeit von ROSE bringt aufgrund ihres grenzüberschreitenden Charakters Datenflüsse zwischen der Europäischen Union, Japan und den Vereinigten Staaten mit sich. Diese Übermittlungen erfolgen unter strikter Beachtung der Bestimmungen des Kapitels V der DSGVO.

Die in den Vereinigten Staaten ansässigen technischen Dienstleister von ROSE (Stripe, Vercel, Resend, Firebase) sowie die Unternehmen der Google-Gruppe und der Meta-Gruppe, die Mess- und Werbedaten erhalten, verarbeiten Daten im Rahmen eines geeigneten rechtlichen Rahmens, bestehend aus folgenden Instrumenten:

• Den von der Europäischen Kommission gemäß Durchführungsbeschluss 2021/914 vom 4. Juni 2021 angenommenen Standardvertragsklauseln (SCC), die in die mit jedem Auftragsverarbeiter geschlossenen Verarbeitungsverträge integriert sind;
• Dem EU-US Data Privacy Framework, für die dort zertifizierten Anbieter.

Im Rahmen der Geschäftsbeziehungen mit japanischen Verkäufern können bestimmte Daten unter folgenden Bedingungen nach Japan übermittelt werden:

• Die Lieferadresse des Käufers wird dem japanischen Verkäufer nur in dem für den Versand der Bestellung unbedingt erforderlichen Umfang und zu keinem anderen Zweck mitgeteilt;
• Für Japan liegt ein Angemessenheitsbeschluss der Europäischen Kommission vor (Beschluss 2019/419 vom 23. Januar 2019), der anerkennt, dass das Land ein Schutzniveau für personenbezogene Daten gewährleistet, das im Wesentlichen dem in der Europäischen Union garantierten Niveau entspricht. Diese Übermittlungen sind folglich ohne zusätzliche Garantien zulässig;
• Japanische Verkäufer sind vertraglich verpflichtet, die ihnen mitgeteilten personenbezogenen Daten der Käufer ausschließlich zur Erfüllung der Bestellung und des damit verbundenen Kundendienstes zu verwenden.

Gemäß den Art. 15 bis 22 DSGVO verfügt jede natürliche Person, deren Daten von ROSE verarbeitet werden, über die nachstehend aufgeführten Rechte, die sie jederzeit unter den in den anwendbaren Vorschriften vorgesehenen Bedingungen ausüben kann.

Zur Ausübung eines der vorstehend genannten Rechte richtet die betroffene Person ihren Antrag elektronisch an ROSE unter support@rosevintagelab.com, unter Angabe von Vor- und Nachname sowie der mit dem ROSE-Konto verknüpften E-Mail-Adresse. Bei Anträgen, die sensible Daten betreffen können (Auskunft, Löschung oder Übertragbarkeit), behält sich ROSE das Recht vor, einen Identitätsnachweis zu verlangen.

Gemäß Art. 12 Abs. 3 DSGVO verpflichtet sich ROSE, innerhalb von einem (1) Monat nach Eingang des Antrags zu antworten. Diese Frist kann bei komplexen oder zahlreichen Anträgen um weitere zwei Monate verlängert werden, wobei die betroffene Person innerhalb der ursprünglichen Monatsfrist über diese Verlängerung und deren Gründe informiert wird.

Einschränkungen bestimmter Rechte. Verarbeitungen zur Erfüllung der Pflichten zur Bekämpfung der Geldwäsche und zum Einfrieren von Vermögenswerten beruhen auf einer rechtlichen Verpflichtung: Das Widerspruchsrecht gilt dafür nicht, und eine Löschung ist erst nach Ablauf der gesetzlichen Aufbewahrungsfrist möglich. Für diese Daten wird das Auskunftsrecht über die CNIL ausgeübt, nach Maßgabe von Art. L. 561-45 des französischen Währungs- und Finanzgesetzbuchs.

Die ROSE-Plattform verwendet Cookies und Tracker unter strikter Einhaltung des CNIL-Beschlusses Nr. 2020-091 vom 17. September 2020 zur Annahme von Leitlinien zu Cookies und anderen Trackern sowie deren Empfehlung vom 17. September 2020. Ein unaufdringlich am unteren Bildschirmrand eingebundener Mechanismus zur Einwilligungserfassung ermöglicht es dem Nutzer, nicht essenzielle Cookies vor deren Setzung zu akzeptieren oder abzulehnen.

Der Nutzer kann seine Cookie-Präferenzen jederzeit über den Link „Cookie-Einstellungen" im Footer jeder Seite der Plattform ändern oder seinen Browser gemäß den Anweisungen des Herstellers konfigurieren. Die Ablehnung nicht essenzieller Cookies hat keine Auswirkungen auf den Zugang zu den Kernfunktionen der Plattform.

Gemäß Art. 32 DSGVO trifft ROSE geeignete technische und organisatorische Maßnahmen, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, verpflichtet sich ROSE:

• Die Verletzung gemäß Art. 33 DSGVO innerhalb von zweiundsiebzig (72) Stunden nach Kenntniserlangung der französischen Datenschutzbehörde (CNIL) zu melden;
• Die betroffenen Personen gemäß Art. 34 DSGVO unverzüglich zu informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten darstellt;
• Sämtliche Verletzungen gemäß Art. 33 Abs. 5 DSGVO in einem eigens dafür vorgesehenen internen Register zu dokumentieren, unabhängig davon, ob sie zu einer Meldung geführt haben.

Die ROSE-Plattform richtet sich ausschließlich an volljährige natürliche Personen. Die von ROSE angebotenen Dienste, die den Abschluss von Geschäftstransaktionen mit Luxusartikeln sowie den Abschluss kostenpflichtiger Abonnements umfassen, sind Personen unter achtzehn (18) Jahren nicht zugänglich.

Bei der Erstellung eines Kontos versichert der Nutzer ehrenwörtlich, mindestens achtzehn (18) Jahre alt zu sein und über die volle Geschäftsfähigkeit zum Abschluss vertraglicher Verpflichtungen zu verfügen. ROSE erhebt wissentlich keine personenbezogenen Daten von Minderjährigen. Sollte ROSE feststellen, dass ein Nutzer minderjährig ist, wird dessen Konto unverzüglich gesperrt und seine personenbezogenen Daten unverzüglich gelöscht.

Eltern oder gesetzliche Vertreter, die Kenntnis von der Registrierung eines Minderjährigen auf der Plattform erlangen, werden gebeten, ROSE unter support@rosevintagelab.com darüber zu informieren, damit umgehend geeignete Maßnahmen ergriffen werden können.

ROSE behält sich das Recht vor, diese Richtlinie jederzeit zu ändern, insbesondere bei gesetzlichen oder regulatorischen Änderungen, der Weiterentwicklung der angebotenen Dienste, der Einbindung neuer Auftragsverarbeiter oder jeder anderen wesentlichen Änderung seiner Praktiken im Bereich der Verarbeitung personenbezogener Daten.

Jede wesentliche Änderung der Richtlinie — verstanden als Zweckänderung, Einführung einer neuen Verarbeitung oder Einbindung eines neuen, außerhalb der Europäischen Union ansässigen Auftragsverarbeiters — wird den Nutzern mindestens dreißig (30) Tage vor ihrem Inkrafttreten elektronisch mitgeteilt. Geringfügige Änderungen (Korrektur sachlicher Fehler, Aktualisierung der Kontaktdaten) spiegeln sich in der Aktualisierung des Datums der letzten Aktualisierung am Anfang des Dokuments wider.

Die geltende Fassung der Richtlinie ist die dauerhaft unter rosevintagelab.com/confidentialite abrufbare Version. Die fortgesetzte Nutzung der Plattform über das Inkrafttreten einer neuen Fassung hinaus gilt als Zustimmung zu den vorgenommenen Änderungen. Bei Nichtzustimmung kann der Nutzer sein Konto vor diesem Datum schließen.

Bei Fragen zu dieser Richtlinie, zur Ausübung eines der Rechte gemäß Art. 15 bis 22 DSGVO oder um ein Anliegen bezüglich der Verarbeitung ihrer personenbezogenen Daten mitzuteilen, kann sich jede betroffene Person über folgende Kanäle an ROSE Vintage Lab wenden:

Um eine zügige Bearbeitung des Antrags zu ermöglichen, wird der betroffenen Person empfohlen, Vor- und Nachnamen, die mit ihrem ROSE-Konto verknüpfte E-Mail-Adresse, die Art des auszuübenden Rechts sowie gegebenenfalls die konkret betroffenen Daten anzugeben. ROSE behält sich vor, eine Kopie eines Identitätsnachweises anzufordern, sofern dies zur Überprüfung der Identität des Antragstellers erforderlich ist, insbesondere bei Anträgen auf Auskunft, Löschung oder Datenübertragbarkeit.