Datenschutzerklärung

Kurz gesagt: Wir erheben, was nötig ist, um Dir die Seite zu zeigen und Bestellungen zu liefern. Alles andere – Analyse, Werbung – nur, wenn Du es im Cookie-Banner einschaltest. Wir verkaufen keine Daten, wir legen keine Profile an, wir schicken neutrale Pakete. Der Rest dieses Textes ist die Langfassung davon.

Stand: 11.09.2026

1. Verantwortlicher

Serotech 
Rudolfstraße 20, 60327 Frankfurt am Main, Deutschland
Vertreten durch: Daniel Bauer
E-Mail: hello@onyx-card.com 

ONYX ist eine Marke von Serotech. Für Datenschutzanliegen erreichst Du uns auch unter datenschutz@onyx-card.com. Einen Datenschutzbeauftragten müssen wir nach § 38 BDSG nicht benennen.

Durch die Nutzung dieser Website willigst Du in nichts ein. Einwilligungen holen wir ausdrücklich ein – über das Cookie-Banner, das Newsletter-Formular oder eine Checkbox.

2. Shop-System und Hosting: Shopify

Diese Website läuft auf Shopify. Unser Vertragspartner ist die Shopify International Limited, 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irland. Shopify verarbeitet in unserem Auftrag alle Daten, die beim Besuch, beim Kauf, beim Kontakt und beim Newsletter-Versand anfallen (Auftragsverarbeitung, Art. 28 DSGVO). Dabei können Daten an verbundene Unternehmen in Kanada (Shopify Inc., Ottawa) und den USA übertragen werden – siehe Abschnitt 8. Auch die Schriftarten dieser Seite liefert Shopify von seinen eigenen Servern; wir laden keine Google Fonts.

Wir nutzen außerdem erweiterte Shopify-Funktionen, bei denen Shopify Daten aus Deinen Interaktionen mit unserem Shop, mit anderen Shopify-Shops und mit Shopify selbst zusammenführt – für Betrugsprävention, Checkout-Verbesserungen und personalisierte Werbung. Für diese Verarbeitung ist Shopify eigenständig verantwortlich. Details und Deine Rechte gegenüber Shopify: Shopify-Datenschutzerklärung für Verbraucher und Shopify-Datenschutzportal.

3. Was wir verarbeiten – und wann

3.1 Aufruf der Website

Technisch unvermeidbar werden verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser, Betriebssystem. Zweck: Auslieferung, Stabilität, Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Server-Logs werden von Shopify kurzfristig gelöscht oder anonymisiert; wir speichern sie nicht gesondert.

3.2 Cookies und Browser-Speicher

Wir und Shopify setzen Cookies und ähnliche Technologien (Local Storage, Session Storage) ein. Rechtsgrundlage für den Zugriff auf Dein Gerät: § 25 TDDDG; für die anschließende Datenverarbeitung: Art. 6 Abs. 1 DSGVO. Die Kategorien entsprechen denen im Cookie-Banner:

Technisch notwendig – ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b und f DSGVO):

Name	Zweck	Dauer
cart, cart_sig, cart_ts	Warenkorb	2 Wochen
_secure_session_id, secure_customer_sig	Sitzung, Login, Checkout	Sitzung / 1 Jahr
_tracking_consent, _cmp_a	speichert Deine Cookie-Entscheidung	1 Jahr / 1 Tag
localization	Sprache/Land	2 Wochen
keep_alive	Sitzung halten	2 Wochen
onyx_age_ok (Local Storage)	Deine Bestätigung, dass Du volljährig bist – nur ein Ja, wird nicht an uns übertragen	bis Du Browserdaten löschst
onyx_loaded, onyx_upsell_done (Session Storage)	zeigt Ladeanimation und einen Hinweis nur einmal pro Besuch	bis Tab geschlossen

 

Personalisierung – nur mit Einwilligung (Art. 6 Abs. 1 lit. a): merkt sich, wie Du die Seite zuletzt genutzt hast, z. B. _landing_page, _orig_referrer (2 Wochen).

Analyse – nur mit Einwilligung: Shopify Analytics zeigt uns aggregiert, welche Seiten wie genutzt werden. Cookies u. a. _shopify_y (1 Jahr), _shopify_s (30 Minuten), _shopify_sa_p, _shopify_sa_t (30 Minuten). 

Marketing – nur mit Einwilligung: Aktuell setzen wir keine Marketing-Cookies und keine Werbe-Tracker Dritter (Meta, Google, TikTok) ein. Solltest Du im Banner „Marketing" zulassen, ermöglicht das derzeit nur Shopifys eigene Funktionen gemäß Abschnitt 2. 

Die vollständige, aktuelle Liste der Shopify-Cookies findest Du unter shopify.com/legal/cookies. Deine Auswahl triffst Du beim ersten Besuch; ändern oder widerrufen kannst Du sie jederzeit über „Cookie-Einstellungen" im Footer. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

3.3 Spam-Schutz (hCaptcha)

Zum Schutz unserer Formulare vor Missbrauch setzt Shopify hCaptcha ein, einen Dienst der Intuition Machines, Inc., 350 Alabama St, San Francisco, CA 94110, USA. Bei verdächtigem Verhalten kann eine Prüfaufgabe erscheinen; dabei werden IP-Adresse, Geräte- und Browserdaten sowie Interaktionsdaten verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Abwehr automatisierter Anmeldungen und Spam). Übermittlung in die USA nach Abschnitt 8. Datenschutzerklärung von hCaptcha: hcaptcha.com/privacy.

3.4 Bestellung, Zahlung, Versand

Bei einer Bestellung verarbeiten wir Name, Liefer- und Rechnungsadresse, E-Mail-Adresse, optional Telefonnummer, bestellte Artikel, Zahlungsart und Bestellhistorie. Zweck: Vertragserfüllung, Rechnung, Lieferung, Gewährleistung, Rückabwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO (§ 147 AO, § 257 HGB).

Empfänger:

• Zahlung: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. PayPal erhält die für die Zahlung nötigen Daten (Name, E-Mail, Betrag, Lieferadresse) und ist dafür eigenständig verantwortlich; Deine Zahlungsdaten selbst sehen wir nicht. Datenschutzerklärung: paypal.com/de/legalhub/privacy-full. 
• Versand: via DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn. DHL erhält Name und Lieferadresse sowie – wenn Du das im Checkout angibst – E-Mail oder Telefonnummer für Sendungsbenachrichtigungen.
• Transaktions-E-Mails (Bestell-, Versand-, Rückerstattungsbestätigung) versendet Shopify in unserem Auftrag von hello@onyx-card.com.

Wenn Du im Checkout „Meine Informationen speichern" wählst, legt Shopify ein Shop-Pay-Konto für Dich an, damit Du beim nächsten Einkauf – auch in anderen Shops – schneller bezahlen kannst. Dafür ist Shopify eigenständig verantwortlich (Shop Pay Datenschutzhinweise). Das ist optional; ohne Häkchen passiert nichts.

Speicherdauer: Rechnungen und Buchungsbelege 8 Jahre, Handelsbriefe 6 Jahre, jeweils ab Ende des Kalenderjahres. Danach löschen wir.

3.5 Diskretion

Wir wissen, was Du bei uns kaufst, und warum das für Dich Privatsache ist. Deshalb:

• Pakete sind neutral. Auf dem Absender steht Serotech, nicht ONYX. Auf der Versandtasche steht nichts, was auf den Inhalt schließen lässt.
• Auf der Kreditkarten-/PayPal-Abrechnung erscheint Serotech.
• Wir versehen Kundenprofile weder mit Notizen noch mit Tags, die über Bestelldaten hinausgehen. Wir werten nicht aus, wer wie oft bestellt.
• Wir geben Bestelldaten nicht an Werbepartner weiter – auch nicht aggregiert.
• Löschanfragen (Abschnitt 9) erfüllen wir ohne Rückfrage nach dem Grund. Was wir steuerrechtlich aufbewahren müssen, sperren wir für jede andere Nutzung.

3.6 Kundenkonto

Ein Kundenkonto ist optional; Du kannst als Gast bestellen. Legst Du eines an, verwaltet Shopify den Login (Anmeldung per E-Mail-Code, kein Passwort) und speichert Deine Bestellhistorie und Adressen, bis Du das Konto löschst oder uns zur Löschung aufforderst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Steuerrelevante Daten bleiben nach 3.4 gespeichert.

3.7 Kontakt

Schreibst Du uns über das Kontaktformular, per E-Mail oder Telefon, verarbeiten wir Deine Angaben (Name oder Alias, E-Mail, optional Bestellnummer, Nachricht) zur Bearbeitung der Anfrage. Das Formular versendet Shopify als E-Mail an hello@onyx-card.com; unser E-Mail-Postfach liegt bei united-domains AG, Gautinger Straße 10, 82319 Starnberg (Auftragsverarbeitung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bestellfragen) bzw. lit. f (allgemeine Anfragen). Löschung nach Erledigung, spätestens nach 12 Monaten, sofern keine Aufbewahrungspflicht besteht.

3.8 Newsletter

Mit Deiner Anmeldung erhältst Du gelegentlich Post von uns: neue Farben, Safer-Use-Wissen, Fortschritte. Wir nutzen Double-Opt-in – eingetragen bist Du erst nach Klick auf den Link in der Bestätigungs-E-Mail. Als Nachweis speichern wir Zeitpunkt von Anmeldung und Bestätigung sowie die IP-Adresse. Versand über Shopify Email (Teil der Auftragsverarbeitung nach Abschnitt 2). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Wir messen, ob E-Mails geöffnet und Links geklickt werden, um zu verstehen, welche Inhalte ankommen; das ist Teil Deiner Einwilligung. Abmelden kannst Du jederzeit über den Link in jeder E-Mail oder per Nachricht an uns. Danach nehmen wir Dich aus dem Verteiler; Deine Adresse bleibt für drei Jahre gesperrt, damit wir nachweisen können, dass Du Dich abgemeldet hast.

3.9 3D-Ansicht der Karte

Die drehbare Produktansicht nutzt die Open-Source-Komponente <model-viewer>. Skript und 3D-Modell liegen auf unseren Shopify-Servern; es werden keine Daten an Dritte übertragen. 

4. Weitergabe an Dritte

Nur an die in Abschnitt 2 und 3 genannten Dienstleister; an Behörden, wenn wir gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c); an Rechtsberater bei Streitigkeiten (lit. f); im Fall einer Unternehmensübernahme an den Erwerber (lit. f). Wir verkaufen keine Daten, wir vermieten keine Listen, wir tauschen nichts.

5. Verkauf nur an Volljährige

Unser Angebot richtet sich ausschließlich an Personen ab 18 Jahren. Die Altersabfrage beim ersten Besuch wird nur lokal in Deinem Browser gespeichert (Abschnitt 3.2). Wir erheben wissentlich keine Daten Minderjähriger. Hast Du Kenntnis davon, dass eine minderjährige Person uns Daten übermittelt hat, melde Dich – wir löschen sie.

6. Externe Links

Wir verlinken auf Beratungsstellen, Drug-Checking-Projekte und andere externe Angebote. Für deren Inhalte und Datenverarbeitung sind allein die jeweiligen Betreiber verantwortlich. Beim Klick übertragen wir keine Daten über Dich an diese Seiten; Dein Browser übermittelt lediglich technisch die Absender-URL (Referrer). Social-Media-Plugins oder eingebettete Inhalte Dritter setzen wir nicht ein.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck es erfordert oder Gesetze es vorschreiben (Fristen in Abschnitt 3). Danach werden sie gelöscht oder anonymisiert.

8. Übermittlung in Drittländer

Shopify verarbeitet Daten auch in Kanada und den USA; hCaptcha in den USA. Für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission. Übermittlungen in die USA stützen sich auf den EU-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist (Shopify Inc. ist zertifiziert), ansonsten auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Kopien der Garantien stellen wir auf Anfrage zur Verfügung.

9. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruch gegen Direktwerbung: Soweit wir Deine Daten für Direktwerbung verarbeiten, kannst Du dem jederzeit ohne Begründung widersprechen. Wir hören dann damit auf.

Eine formlose Nachricht an datenschutz@onyx-card.com genügt. Bei Zweifeln an Deiner Identität fragen wir nach – nicht, um Dich abzuwimmeln, sondern damit niemand Fremdes Deine Daten bekommt. Nachteile entstehen Dir durch die Ausübung Deiner Rechte nicht. Wir antworten innerhalb eines Monats.

Beschwerderecht: Du kannst Dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, datenschutz.hessen.de. Du kannst Dich aber an jede Aufsichtsbehörde in der EU wenden.

10. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Dir gegenüber rechtliche Wirkung haben. Shopify führt im Checkout eine automatisierte Betrugsprüfung durch; wird eine Bestellung dadurch als riskant eingestuft, prüfen wir sie manuell, bevor wir entscheiden.

11. Sicherheit

Die Verbindung zu dieser Seite ist TLS-verschlüsselt. Zahlungsdaten werden nie auf unseren Systemen gespeichert. Der Zugang zu Bestelldaten ist auf zwei Personen mit Zwei-Faktor-Authentifizierung beschränkt. Absolute Sicherheit kann niemand garantieren – für heikle Anliegen schreib uns lieber nicht über unverschlüsselte Kanäle.

12. Frühere Marke SWT Card

Bis 06/2026 haben wir unter dem Namen SWT Card (swt-card.de) verkauft. Bestell- und Kundendaten aus dieser Zeit liegen im selben Shop-System und unterliegen dieser Erklärung. E-Mails an alte @swt-card.de-Adressen werden an hello@onyx-card.com weitergeleitet.

13. Änderungen

Wir passen diese Erklärung an, wenn sich Rechtslage oder unsere Verarbeitung ändert. Die aktuelle Fassung findest Du immer hier; das Datum oben zeigt den Stand.