1. Einleitung
Diese Datenschutzerklärung erläutert, wie Huup Ltd („Huup“, „wir“, „uns“), eine in England und Wales eingetragene Gesellschaft (Companies-House-Nummer 08708494, ICO-Registrierung ZC165061) mit eingetragenem Sitz in 22 Old Montague Street, London E1 5NG, Vereinigtes Königreich, personenbezogene Daten erhebt, verwendet und schützt, wenn Sie die Huup-Plattform, unsere Website unter www.huup.com sowie alle damit verbundenen Dienste (zusammen die „Dienste“) nutzen.
Huup ist Verantwortlicher für personenbezogene Daten, die wir über unsere Kunden, Interessenten und Website-Besucher erheben. Wenn wir personenbezogene Daten im Auftrag unserer Geschäftskunden verarbeiten (zum Beispiel über Huup geleitete Endkundennachrichten), handeln wir als Auftragsverarbeiter, und unser Kunde ist der Verantwortliche — diese Verarbeitung richtet sich nach unserer Vereinbarung mit dem jeweiligen Kunden.
Diese Richtlinie gilt für alle Nutzer weltweit. Wenn Sie sich im Vereinigten Königreich befinden, unterliegen Ihre Rechte der UK GDPR (wie sie durch den European Union (Withdrawal) Act 2018 in das UK-Recht übernommen wurde). Wenn Sie sich im EWR befinden, unterliegen Ihre Rechte der EU-DSGVO. Diese Rechte sind in Abschnitt 8 beschrieben.
2. Welche Daten wir erheben
Wir erheben personenbezogene Daten auf drei Wegen: Daten, die Sie uns direkt zur Verfügung stellen, Daten, die wir automatisch bei der Nutzung der Dienste erfassen, und Daten, die wir von Dritten erhalten.
2.1 Kontodaten
- Identitätsdaten — Name, Funktionsbezeichnung, Arbeitgeber.
- Kontaktdaten — E-Mail-Adresse, Telefonnummer, Rechnungsadresse.
- Authentifizierungsdaten — gehashtes Passwort, Geheimnisse für die Mehrfaktor-Authentifizierung, Sitzungstokens.
- Rechnungsdaten — USt-IdNr. und gleichwertige Steueridentifikatoren (soweit zutreffend), Rechnungs-E-Mail-Adresse, Zahlungsmethoden-Token (vollständige Kartennummern werden nicht gespeichert; siehe Stripe weiter unten).
2.2 Nutzungsdaten
- Produkttelemetrie — besuchte Seiten, genutzte Funktionen, Klickereignisse, Fehlerprotokolle.
- Gerätedaten — IP-Adresse, Browsertyp, Betriebssystem, Gerätekennungen, Zeitzone.
- Leistungsdaten — Antwortlatenzen, API-Nutzungsvolumen.
2.3 Cookies und ähnliche Technologien
Wir verwenden Cookies für Authentifizierung, Sicherheit und — mit Ihrer Einwilligung — Analyse und Werbung. Die vollständige Liste sowie Hinweise zur Verwaltung der Einstellungen finden Sie in unserer Cookie-Richtlinie.
2.4 Daten von Dritten
- Marktplatz-Integrationen — wenn Sie eBay, Amazon, OTTO Market, Shopify, Squarespace oder andere Kanäle verbinden, erhalten wir in Ihrem Auftrag Angebotsdaten, Bestelldaten, Käufernachrichten und begrenzte Käuferkontaktdaten.
- Zahlungen (Stripe) — wir erhalten den Zahlungsstatus und die letzten 4 Ziffern der Karten für Quittungen; vollständige Kartendaten werden von Stripe verwaltet.
- Identitätsprüfung — soweit zur Betrugsprävention erforderlich, können wir Prüfergebnisse von KYC-Anbietern erhalten.
3. Wie wir Ihre Daten verwenden
Wir verwenden personenbezogene Daten zu den folgenden Zwecken:
- Betrieb der Dienste — zur Bereitstellung, Wartung und Absicherung der Huup-Plattform, einschließlich Authentifizierung, Abrechnung, Kundensupport und Sicherstellung des zuverlässigen Betriebs der Dienste.
- Verbesserung — um zu verstehen, wie Kunden die Dienste nutzen, damit wir Probleme untersuchen und beheben, Verbesserungen priorisieren und neue Funktionen entwickeln können. Soweit möglich verwenden wir aggregierte oder pseudonymisierte Daten.
- Rechtskonformität — zur Erfüllung unserer Pflichten nach Steuer-, Buchhaltungs-, Geldwäschebekämpfungs- und sonstigen geltenden Gesetzen.
- Kommunikation — zur Versendung von Servicehinweisen, Sicherheitswarnungen, Rechnungen und betrieblichen Aktualisierungen, denen Sie während eines aktiven Kontos nicht widersprechen können.
- Marketing — mit Ihrer vorherigen Einwilligung zum Versand von Newslettern, Produktaktualisierungen und Veranstaltungseinladungen. Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail widerrufen.
4. Rechtsgrundlage (DSGVO)
Gemäß der UK GDPR und, soweit anwendbar, der EU-DSGVO stützen wir uns für jede Verarbeitungstätigkeit auf eine der folgenden Rechtsgrundlagen:
- Vertragserfüllung — zur Bereitstellung der von Ihnen abonnierten Dienste und zur Abwicklung der Abrechnung.
- Berechtigtes Interesse — um unsere Dienste sicher zu halten, Missbrauch zu verhindern, unsere Produkte zu verbessern und unser Geschäft zu führen (wir wägen diese Interessen gegen Ihre Rechte ab und dokumentieren dies in unseren internen Aufzeichnungen).
- Einwilligung — für Marketing-E-Mails, nicht wesentliche Cookies und optionale Integrationen, die Sie aktivieren. Sie können Ihre Einwilligung jederzeit widerrufen.
- Rechtliche Verpflichtung — zur Aufbewahrung von Finanzunterlagen, zur Beantwortung rechtmäßiger Anfragen und zur Einhaltung aufsichtsrechtlicher Anforderungen.
6. Internationale Übermittlungen
Huup ist hauptsächlich im Vereinigten Königreich und im EWR tätig. Kundendaten werden standardmäßig in AWS EU/UK-Regionen gespeichert. Sofern ein Unterauftragsverarbeiter oder eine Marktplatzintegration notwendigerweise Daten außerhalb des Vereinigten Königreichs/EWR verarbeitet (zum Beispiel Amazon- oder eBay-Endpunkte), stützen wir uns auf geeignete Schutzmaßnahmen, einschließlich des UK International Data Transfer Agreement (IDTA), der EU-Standardvertragsklauseln (2021) und ergänzender technischer Maßnahmen wie Verschlüsselung bei der Übertragung und im Ruhezustand.
7. Aufbewahrung
Wir speichern personenbezogene Daten nur so lange, wie es zur Erfüllung der Zwecke, für die sie erhoben wurden, erforderlich ist, einschließlich rechtlicher, buchhalterischer oder berichterstattungspflichtiger Anforderungen. Typische Aufbewahrungsfristen:
- Kontodaten — für die Laufzeit Ihres Kontos und bis zu 90 Tage nach der Kontoschließung gespeichert, danach sicher gelöscht oder anonymisiert.
- Abrechnungs- und Steuerunterlagen — mindestens 6 Jahre zur Einhaltung der HMRC-Anforderungen.
- Produkttelemetrie und Anwendungsprotokolle — bis zu 12 Monate, danach werden Protokolle gelöscht oder anonymisiert. Über die Amazon Selling Partner API abgerufene personenbezogene Käuferdaten werden 28 Tage nach dem Bestelldatum gelöscht — strenger als die 30-Tage-Obergrenze der Amazon SP-API Data Protection Policy.
- Sicherheitsprotokolle und Zugriffsaudits — bis zu 12 Monate, danach sicher gelöscht.
- Marketing-Kontaktlisten (einwilligungsbasiert) — bis zum Widerruf Ihrer Einwilligung oder Ihrer Abmeldung oder nach 24 Monaten Inaktivität, gemessen ab Ihrer letzten Interaktion, je nachdem, was früher eintritt; zu diesem Zeitpunkt werden die Daten gelöscht oder anonymisiert.
8. Ihre Rechte (DSGVO)
Wenn Sie sich im Vereinigten Königreich oder im EWR befinden, haben Sie hinsichtlich Ihrer personenbezogenen Daten gemäß der UK GDPR oder der EU-DSGVO (je nach Anwendbarkeit) die folgenden Rechte:
- Auskunft — eine Kopie der personenbezogenen Daten anzufordern, die wir über Sie gespeichert haben.
- Berichtigung — uns aufzufordern, unrichtige oder unvollständige Daten zu korrigieren.
- Löschung ("Recht auf Vergessenwerden") — Sie können uns bitten, Ihre personenbezogenen Daten zu löschen, sofern kein überwiegender berechtigter Grund oder keine gesetzliche Verpflichtung zur Aufbewahrung besteht. Dieses Recht gilt nicht, wenn die Aufbewahrung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
- Datenübertragbarkeit — sofern die Verarbeitung auf Ihrer Einwilligung oder der Erfüllung eines Vertrags beruht und durch automatisierte Mittel erfolgt, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese direkt an einen anderen Verantwortlichen übermitteln zu lassen, soweit dies technisch möglich ist.
- Einschränkung — uns aufzufordern, die Nutzung Ihrer Daten zu beschränken, während eine Anfrage geklärt wird.
- Widerspruch — Sie können jederzeit der Verarbeitung Ihrer personenbezogenen Daten widersprechen, die auf unseren berechtigten Interessen basiert (einschließlich Profiling). Wir werden die Verarbeitung einstellen, sofern wir keine zwingenden berechtigten Gründe nachweisen können, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Soweit die Verarbeitung zu Zwecken der Direktwerbung erfolgt, ist Ihr Widerspruchsrecht absolut und wir werden die Verarbeitung sofort einstellen.
- Widerruf der Einwilligung — sofern die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit widerrufen.
Um ein Recht auszuüben, senden Sie eine E-Mail an [email protected]. Wir antworten innerhalb eines Monats. Sie haben außerdem das Recht, sich beim UK Information Commissioner's Office unter ico.org.uk/make-a-complaint zu beschweren.
8.1 Rechenschaftsunterlagen
Wir führen ein Verzeichnis von Verarbeitungstätigkeiten (ROPA) gemäß Artikel 30 der UK-DSGVO und bewerten neue Integrationen im Hinblick auf Datenschutzrisiken; eine Datenschutz-Folgenabschätzung (DPIA) gemäß Artikel 35 führen wir durch, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Die Aufzeichnungen werden dem UK Information Commissioner's Office auf Anfrage zur Verfügung gestellt.
9. Sicherheit
.Wir schützen Ihre Daten durch ein mehrschichtiges Set technischer und organisatorischer Maßnahmen, einschließlich TLS 1.2+ (TLS 1.3 wo unterstützt) bei der Übertragung, AES-256-Verschlüsselung im Ruhezustand mit von AWS KMS verwalteten Schlüsseln, mandantenisolierten Datenbanken (Datenbank-pro-Mandant-Architektur), erzwungener Mehrfaktor-Authentifizierung für Mitarbeiter, rollenbasierter Zugriffskontrolle, detailliertem Audit-Logging und kontinuierlichem Schwachstellen-Scanning von Abhängigkeiten. Vollständige Details finden Sie auf unserer Seite
9.1 Meldung von Datenschutzverletzungen
Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir die zuständige Aufsichtsbehörde (in der Regel das UK Information Commissioner's Office) innerhalb von 72 Stunden, nachdem uns die Verletzung bekannt geworden ist, sofern dies nach Artikel 33 der UK-DSGVO erforderlich ist, und wir benachrichtigen betroffene Personen unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten mit sich bringt. Wenn die Verletzung Daten betrifft, die im Rahmen einer Marktplatz-Integration verarbeitet werden, benachrichtigen wir den Marktplatzbetreiber zusätzlich innerhalb des erforderlichen Meldefensters — für die Amazon Selling Partner API beträgt dies innerhalb von 24 Stunden nach Entdeckung, im Einklang mit der Amazon Data Protection Policy.
10. Kinder
Die Huup-Dienste sind ausschließlich für die geschäftliche Nutzung konzipiert und richten sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn Sie der Ansicht sind, dass ein Kind uns personenbezogene Daten bereitgestellt hat, kontaktieren Sie uns bitte unter [email protected], und wir werden diese löschen.
11. Aktualisierungen dieser Richtlinie
Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wir werden die neue Version unter dieser URL veröffentlichen und das Datum „Zuletzt aktualisiert“ aktualisieren. Bei wesentlichen Änderungen benachrichtigen wir Sie im Produkt oder per E-Mail mindestens 30 Tage vor Inkrafttreten.
12. Kontakt
Fragen, Anfragen oder Beschwerden zu dieser Richtlinie oder unserem Umgang mit personenbezogenen Daten richten Sie bitte an:
Huup Ltd — Datenschutzkontakt
22 Old Montague Street, London E1 5NG, Vereinigtes Königreich
E-Mail (Datenschutzanfragen): [email protected]
Companies House: 08708494
Huup Ltd hat keinen formellen Datenschutzbeauftragten (DSB) gemäß Artikel 37 der UK DSGVO bestellt, da unsere Verarbeitungstätigkeiten die in Artikel 37 Abs. 1 festgelegte Schwelle für die Pflichtbestellung eines DSB nicht erreichen. Datenschutzanfragen — einschließlich Anfragen zur Ausübung Ihrer Rechte nach Abschnitt 8 — werden von unserem Rechts- und Compliance-Team unter den oben genannten Kontaktdaten bearbeitet. Falls Sie der Ansicht sind, dass für Ihre Zwecke ein formeller DSB erforderlich ist, wenden Sie sich bitte an uns; wir werden unsere Position überprüfen.
Sie haben außerdem das Recht, eine Beschwerde beim UK Information Commissioner's Office (ico.org.uk) oder bei Ihrer lokalen EU-Aufsichtsbehörde einzureichen.
13. Automatisierte Entscheidungsfindung
Wir treffen keine ausschließlich automatisierten Entscheidungen über Sie, die rechtliche Wirkungen oder ähnlich erhebliche Auswirkungen haben, wie in Artikel 22 der UK DSGVO beschrieben. Wenn wir Profiling einsetzen — zum Beispiel zur Analyse von Produktnutzungsmustern, um relevante Funktionen vorzuschlagen — ist ein Mensch an jeder Entscheidung beteiligt, die sich wesentlich auf Sie auswirkt.
Sollte sich dies in Zukunft ändern, werden wir diese Richtlinie aktualisieren und Ihnen die nach der UK DSGVO erforderlichen Informationen mitteilen, einschließlich der involvierten Logik sowie der Bedeutung und der vorgesehenen Folgen der Verarbeitung.
14. Angemessenheitsbeschlüsse und internationale Übermittlungen
Für die Übermittlung personenbezogener Daten aus dem EWR in das Vereinigte Königreich stützen wir uns auf die Angemessenheitsbeschlüsse der Europäischen Kommission für das Vereinigte Königreich, die am 19. Dezember 2025 nach dem britischen Data (Use and Access) Act 2025 erneuert wurden und bis zum 27. Dezember 2031 gelten; sie erkennen das Vereinigte Königreich als Land mit einem angemessenen Datenschutzniveau an. Für die Übermittlung personenbezogener Daten aus dem Vereinigten Königreich in den EWR erkennen die Angemessenheitsverordnungen der britischen Regierung die EWR/EU-Mitgliedstaaten als angemessen an. Bei der Übermittlung von Daten außerhalb des Vereinigten Königreichs und des EWR — beispielsweise an in den Vereinigten Staaten ansässige Unterauftragsverarbeiter — stützen wir uns auf die in Abschnitt 6 beschriebenen Schutzmaßnahmen.
15. Einwilligungsnachweise
Wir bewahren Aufzeichnungen über Cookie-Einwilligungen (in Ihrem Browser gespeicherte Präferenzen) sowie Marketing-Opt-in/Opt-out-Ereignisse für den Zeitraum auf, für den auf diese Einwilligung zurückgegriffen wird, zuzüglich 12 Monate danach. Dies ermöglicht uns den Nachweis der Einhaltung der Einwilligungsanforderungen der UK PECR und der UK DSGVO. Einwilligungsnachweise werden nicht für andere Zwecke verwendet und am Ende der Aufbewahrungsfrist sicher gelöscht.
16. Verbundene Google-Konten (Google Ads & Tag Manager)
Wenn Sie die Werbefunktionen von Huup nutzen, können Sie Ihre eigenen Google Ads- und Google Tag Manager-Konten über die offizielle OAuth-Anmeldung von Google mit Huup verbinden. Wir greifen auf diese Konten erst zu, nachdem Sie dies ausdrücklich autorisiert haben, und ausschließlich, um die von Ihnen in Huup angeforderten Funktionen bereitzustellen.
- Google Ads (Berechtigung
.../auth/adwords) — zum Erstellen, Lesen, Aktualisieren und Auswerten der Werbekampagnen in den von Ihnen verbundenen Google Ads-Konten. - Google Tag Manager (tagmanager-Berechtigungen) — zum Lesen Ihrer Container und zum Veröffentlichen der Conversion-Tracking-Tags, deren Einrichtung Sie auf Ihrer Website beauftragen.
- Google-Basisprofil (
openid,email) — um zu erkennen, welches Google-Login Sie verbunden haben.
Wir verwenden diese Daten ausschließlich zum Betrieb der von Ihnen angeforderten Werbefunktionen. Wir nutzen Google-Nutzerdaten nicht für eigene Werbung, verkaufen sie nicht und geben sie nicht an Dritte weiter, außer soweit dies zur Erbringung der Leistung für Sie erforderlich oder gesetzlich vorgeschrieben ist. OAuth-Token werden verschlüsselt gespeichert, und Sie können die Verbindung jederzeit unter Einstellungen → Integrationen → Ads trennen, wodurch der Zugriff von Huup widerrufen wird.
Die Verwendung und Weitergabe von Informationen, die Huup über Google-APIs erhält, an andere Anwendungen erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.