Verkauf nur ab 18 Jahren · Bis 14 Uhr bestellt, in 1–2 Tagen bei dir · Gratis ab CHF 100
Entwurf – nicht rechtlich geprüft

Dieser Text ist ein Platzhalter. Er wurde noch nicht von einer Anwältin, einem Anwalt oder einer Treuhandstelle geprüft und darf bis zur Freigabe nicht als verbindlich gelten.

Datenschutzerklärung

Stand: Oktober 2026

Diese Erklärung informiert dich darüber, welche Personendaten wir beim Betrieb des Onlineshops «Nayla Shop» (nayla-shop.ch) bearbeiten, wozu wir das tun und welche Rechte du hast. Massgebend ist das revidierte Schweizer Datenschutzgesetz (revDSG) mit der Datenschutzverordnung (DSV). Sie beschreibt den tatsächlichen technischen Stand des Shops und wird angepasst, sobald sich daran etwas ändert.

1. Verantwortliche Stelle

i2bit
Aarauerstrasse 132, 4600 Olten, Schweiz
E-Mail: info@nayla-shop.ch
Ansprechperson für Datenschutzanfragen: Inthusan Gunasiri. Die Bestellung einer Datenschutzberaterin ist für uns nicht vorgeschrieben.

Für Fragen zum Datenschutz, für Auskunftsbegehren und für alle weiteren Anliegen rund um deine Daten wende dich bitte an die genannte E-Mail-Adresse.

2. Grundsätze und Rechtsgrundlagen

Wir bearbeiten Personendaten nur, soweit es für den Betrieb des Shops, die Abwicklung deiner Bestellungen und die Einhaltung gesetzlicher Pflichten nötig ist (Grundsätze der Verhältnismässigkeit und Zweckbindung, Art. 6 DSG). Wo das Gesetz einen Rechtfertigungsgrund verlangt, stützen wir uns auf:

  • die Erfüllung eines Vertrags mit dir (Kundenkonto, Bestellung, Lieferung, Zahlung, Support);
  • gesetzliche Pflichten, insbesondere die Alterskontrolle beim Verkauf von Tabak- und Nikotinprodukten sowie die Aufbewahrung von Geschäftsunterlagen;
  • deine Einwilligung, wenn wir sie einholen (z. B. Newsletter, Start der Altersverifikation, unsere anonyme Nutzungsstatistik);
  • unser überwiegendes Interesse an einem sicheren, missbrauchsfreien Betrieb (Schutz vor Spam und Angriffen, Fehleranalyse).

3. Welche Daten wir bearbeiten

Ohne Kundenkonto kannst du den Shop durchstöbern, den Warenkorb füllen, das Kontaktformular nutzen und den Newsletter abonnieren. Für Bestellungen ist ein Kundenkonto nötig. Je nach Nutzung bearbeiten wir:

  • Kundenkonto: E-Mail-Adresse, Passwort (ausschliesslich als kryptografischer Hash, nie im Klartext), Geburtsdatum, optional Anzeigename, Zeitpunkt der Registrierung.
  • Adressen: Name, Strasse, PLZ, Ort, Land, optional Telefonnummer sowie eine von dir vergebene Bezeichnung.
  • Bestellungen: Bestellnummer, bestellte Artikel und Mengen, Beträge, allfälliger Rabattcode, Zahlungsart und Zahlungsreferenz, eine Kopie der Lieferadresse, deine Altersbestätigung und deine Zustimmung zu den AGB mit Zeitpunkt, Bestellstatus.
  • Altersverifikation: Status (offen, bestätigt, abgelehnt), verwendete Methode, die Referenznummer der Prüfung beim Verifikationsdienst und die Zeitpunkte. Einzelheiten in Ziffer 5.
  • Treuepunkte: Punktestand sowie jede Gutschrift oder Einlösung mit Bezug zur jeweiligen Bestellung.
  • Empfehlungsprogramm: dein persönlicher Empfehlungscode, die Verknüpfung zwischen werbendem und geworbenem Konto, die auslösende Bestellung und der ausgestellte Belohnungscode.
  • Wunschliste und Produktbewertungen: gemerkte Produkte; bei Bewertungen Sternebewertung, Titel und Text. Freigegebene Bewertungen sind im Shop öffentlich sichtbar – ohne E-Mail-Adresse.
  • Kontaktformular: Name, E-Mail-Adresse, Nachricht, die Seite, von der du geschrieben hast, sowie unsere Antwort.
  • Newsletter: E-Mail-Adresse, gewählte Sprache und Zeitpunkt der Anmeldung.
  • Technische Daten: Beim Kontaktformular und bei der Newsletter-Anmeldung speichern wir deine IP-Adresse kurzzeitig (maximal 2 Tage) als Schlüssel für eine Mengenbegrenzung gegen Spam. Zusätzlich fallen bei unseren Hosting-Anbietern übliche Server-Logs an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung).

4. Zwecke der Bearbeitung

  • Bereitstellung des Shops und deines Kundenkontos;
  • Abwicklung von Bestellungen, Zahlungen, Lieferungen und Rückgaben;
  • gesetzlich vorgeschriebene Alterskontrolle für Tabak- und Nikotinprodukte;
  • Kommunikation: Bestell- und Statusmeldungen, Antworten auf Anfragen, Newsletter (nur mit Anmeldung);
  • Treuepunkte- und Empfehlungsprogramm;
  • Sicherheit, Missbrauchsschutz und Fehlerbehebung;
  • Erfüllung gesetzlicher Aufbewahrungs- und Auskunftspflichten.

5. Altersverifikation mit Persona (Ausweis- und Selfie-Prüfung)

Weil wir Produkte verkaufen, die erst ab 18 Jahren abgegeben werden dürfen, musst du dein Alter vor der ersten Bestellung solcher Produkte einmalig nachweisen. Dafür setzen wir den Identitätsprüfungsdienst Persona (Persona Identities, Inc., San Francisco, USA) ein. Dabei werden besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG bearbeitet (Ausweisdaten und biometrische Daten). Bitte lies diesen Abschnitt deshalb aufmerksam.

So läuft die Prüfung ab: Wenn du sie im Kundenkonto startest, öffnet sich ein eingebettetes Fenster von Persona direkt in deinem Browser. Darin fotografierst du ein amtliches Ausweisdokument (z. B. ID, Pass oder Führerausweis) und – je nach Prüfschritt – ein Selfie. Diese Aufnahmen sowie die daraus ausgelesenen Angaben (Name, Geburtsdatum, Dokumentnummer, Dokumentart, biometrische Merkmale für den Gesichtsvergleich) werden von deinem Browser direkt an Persona übermittelt und dort ausgewertet. Sie gelangen nicht auf unsere Server.

Was wir erhalten und speichern: ausschliesslich das Ergebnis der Prüfung (bestätigt, abgelehnt, abgelaufen), die Referenznummer der Prüfung bei Persona sowie die Zeitpunkte. Wir speichern weder Ausweisbilder noch Selfies und sehen sie auch nicht ein. Die Prüfung ist mit deinem Kundenkonto nur über eine interne Konto-ID verknüpft. Bei erfolgreicher Prüfung wird in deinem Profil der Zeitpunkt der Altersbestätigung hinterlegt.

Zugriff: Auf die bei Persona verarbeiteten Daten hat nur Persona Zugriff. Bei uns sehen nur Personen mit Administratorenrechten den Status deiner Prüfung, nicht aber deine Ausweisdaten.

Einwilligung und Freiwilligkeit: Mit dem Start der Prüfung willigst du in diese Bearbeitung ausdrücklich ein. Die Prüfung ist freiwillig; ohne sie kannst du im Shop jedoch keine altersbeschränkten Produkte kaufen. Um Missbrauch und Kosten zu begrenzen, sind höchstens drei neue Prüfungen pro 24 Stunden möglich.

Datenexport in die USA: Persona hat seinen Sitz in den USA. Die Übermittlung stützt sich auf eine Zertifizierung des Anbieters nach dem Swiss-U.S. Data Privacy Framework oder auf die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Standardvertragsklauseln (Art. 16 DSG). Näheres zur Bearbeitung durch Persona findest du in der Datenschutzerklärung von Persona (withpersona.com).

Aufbewahrung bei Persona: Persona löscht Ausweisbilder und Selfies 7 Tage nach Abschluss der Prüfung automatisch.

6. Zahlungsabwicklung

  • Vorkasse (Banküberweisung): Du überweist den Betrag auf unser Bankkonto. Dabei erhalten wir die bei einer Überweisung üblichen Angaben (Name der Kontoinhaberin bzw. des Kontoinhabers, Betrag, Zahlungsreferenz).
  • Karte und TWINT über PostFinance Checkout (PostFinance AG, Bern, Schweiz): Für die Zahlung leiten wir dich auf die Zahlungsseite von PostFinance weiter. Wir übermitteln dazu die Bestellnummer, den Betrag, die Artikelliste (Bezeichnungen und Mengen), deine E-Mail-Adresse und die Shop-Sprache. Deine Karten- bzw. TWINT-Daten gibst du ausschliesslich bei PostFinance ein; wir erhalten nie vollständige Kartendaten, sondern nur den Zahlungsstatus und eine Transaktionsreferenz. PostFinance bearbeitet die Daten in der Schweiz nach ihren eigenen Datenschutzbestimmungen.

7. Auftragsbearbeiter und weitere Empfänger

Wir geben Personendaten nur an Dienstleister weiter, die wir für den Betrieb des Shops brauchen und die vertraglich an unsere Weisungen gebunden sind (Auftragsbearbeitung, Art. 9 DSG), sowie an Empfänger, die für die Vertragserfüllung nötig sind:

  • Supabase, Inc. (USA) – Datenbank, Login (E-Mail und Passwort), Serverfunktionen für Checkout, Kontaktformular, Newsletter, Empfehlungsprogramm und Altersverifikation, Dateispeicher für Produktbilder sowie Echtzeit-Aktualisierungen. Unsere Daten liegen in der Region Frankfurt (EU); ein Zugriff durch den Anbieter aus den USA ist im Rahmen von Support und Betrieb möglich.
  • Google (Google LLC, USA / Google Ireland Ltd., Irland) – Firebase Hosting liefert die Dateien der Website über ein weltweites Netz aus. Dabei fallen Server-Logs mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung an. Wir binden weder das Firebase-SDK noch Google Analytics ein; es werden keine Nutzungsprofile erstellt.
  • Persona Identities, Inc. (USA) – Altersverifikation, siehe Ziffer 5.
  • PostFinance AG (Schweiz) – Zahlungsabwicklung für Karte und TWINT, siehe Ziffer 6.
  • Die Schweizerische Post AG (Schweiz) – erhält Name und Lieferadresse für den Versand deiner Bestellung.
  • E-Mail-Versand: Bestell- und Statusmeldungen senden wir über das geschäftliche E-Mail-Postfach von i2bit (SMTP), gehostet bei HostEurope. E-Mails rund um dein Konto (Bestätigung der Registrierung, Zurücksetzen des Passworts) versendet der Login-Dienst von Supabase über dessen eigene Infrastruktur.
  • Google (Gemini API) – Die Artikel in unserem Blog werden automatisiert mit dem KI-Dienst Gemini erzeugt. Dabei übermitteln wir nur Themenvorgaben, keine Kunden- oder Nutzungsdaten. Dieser Dienst bearbeitet also keine Personendaten von dir.

8. Bekanntgabe ins Ausland

Unsere Daten werden hauptsächlich in der Schweiz und in der EU (Supabase, Region Frankfurt) bearbeitet. Der Bundesrat anerkennt für die EU-Staaten ein angemessenes Datenschutzniveau. Persona, Supabase, Inc. und Google haben ihren Sitz in den USA; eine Bekanntgabe in die USA erfolgt entweder an Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, oder gestützt auf die vom EDÖB anerkannten Standardvertragsklauseln (Art. 16 und 17 DSG).

9. Cookies, lokale Speicherung und Schriftarten

Wir setzen derzeit selbst keine Cookies. Der Shop läuft als statische Website; einige technisch notwendige Angaben werden stattdessen im lokalen Speicher deines Browsers («Local Storage») abgelegt und verlassen deinen Browser nur, wenn sie für eine Funktion an unsere Server übermittelt werden müssen:

  • Login-Sitzung: die Zugangs-Token deines Kundenkontos (gesetzt vom Login-Dienst Supabase), damit du eingeloggt bleibst.
  • Warenkorb: die von dir gewählten Produkte und Mengen («nayla-cart-v1»).
  • Alterseinstiegshinweis: der Zeitpunkt, an dem du beim Betreten des Shops bestätigt hast, volljährig zu sein («nayla-age-verified-at»). Das ersetzt nicht die Altersverifikation nach Ziffer 5.
  • Deine Auswahl im Cookie-Hinweis («nayla-cookie-consent»), damit wir dich nicht bei jedem Besuch erneut fragen.

Diese Angaben bleiben gespeichert, bis du sie in deinem Browser löschst. Sie sind für den Betrieb des Shops erforderlich und benötigen keine Einwilligung.

Statistik (nur mit deiner Einwilligung): Der Cookie-Hinweis bietet die Option «Statistik» an. Nur wenn du sie aktivierst (Rechtsgrundlage: deine Einwilligung), erfassen wir mit einer eigenen, einfachen Nutzungsstatistik, wie der Shop genutzt wird, um ihn zu verbessern. Wir setzen dafür kein Analyse- oder Tracking-Werkzeug eines Drittanbieters ein (kein Google Analytics o. ä.). Pro Ereignis (Seitenaufruf, Ansehen eines Produkts, Legen eines Produkts in den Warenkorb) speichern wir: Art des Ereignisses, aufgerufene Seite (Pfad ohne Domain), gegebenenfalls das angesehene Produkt, eine zufällige Sitzungskennung, die Domain der verweisenden Website (ohne Pfad), die Geräteklasse (Mobil, Tablet oder Desktop, abgeleitet aus der Fensterbreite), die Sprache der Seite sowie den Zeitpunkt. Die Sitzungskennung wird zufällig erzeugt und im Session Storage deines Browsers abgelegt («nayla-analytics-session»); sie verschwindet, wenn du den Tab schliesst, und ist weder mit deinem Kundenkonto noch mit deiner Person verknüpft. Wir speichern in der Statistik keine IP-Adresse, keine Konto-ID und keinen Namen; im Admin-Bereich besuchte Seiten werden nicht erfasst. Zusätzlich sieht der Shop-Betrieb mit derselben Einwilligung in Echtzeit, wie viele Besucher gerade online sind und welche Seite sie ansehen (Sitzungskennung und aktuelle Seite über den Echtzeit-Dienst von Supabase); diese Anzeige wird nicht in der Datenbank gespeichert. Die Statistikdaten liegen in unserer eigenen Datenbank bei Supabase (Region Frankfurt, siehe Ziffer 7), auf die nur Administratoren des Shops lesend zugreifen können, und werden nach 12 Monaten automatisch gelöscht. Ohne deine Einwilligung wird nichts davon erfasst. Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du in deinem Browser die Website-Daten (Local Storage) dieses Shops löschst; dann erscheint der Cookie-Hinweis erneut und du kannst «Nur notwendige» wählen. Alternativ schreib uns an info@nayla-shop.ch.

Dienste Dritter: Während der Altersverifikation (eingebettetes Fenster von Persona) und der Zahlung (Zahlungsseite von PostFinance) können diese Anbieter auf ihren eigenen Domains Cookies setzen. Dafür gelten deren Datenschutzbestimmungen.

Schriftarten: Die verwendeten Schriften (Plus Jakarta Sans, Playfair Display) werden beim Erstellen der Website heruntergeladen und von unserem eigenen Hosting ausgeliefert. Beim Besuch des Shops wird keine Verbindung zu den Servern von Google Fonts aufgebaut.

10. Aufbewahrungsdauer

  • Bestellungen, Rechnungen und Zahlungsbelege: 10 Jahre ab Ende des Geschäftsjahres, in dem die Bestellung erfolgte (Buchführungs- und Aufbewahrungspflicht nach Art. 958f OR).
  • Kundenkonto, Adressen, Wunschliste, Treuepunkte und Empfehlungsdaten: bis zur Löschung deines Kontos. Beim Löschen des Kontos werden diese Daten entfernt; Bestellungen bleiben für die gesetzliche Frist ohne Verknüpfung zu einem Konto erhalten.
  • Ergebnis der Altersverifikation: solange dein Kundenkonto besteht, als Nachweis der durchgeführten Alterskontrolle. Ausweisbilder und Selfies speichern wir nie (Aufbewahrung bei Persona: siehe Ziffer 5).
  • Produktbewertungen: bis du sie zurückziehst oder dein Konto löschst.
  • Kontaktanfragen: solange die Anfrage bearbeitet wird und für eine angemessene Nachfrist für Rückfragen. Danach werden sie nach 12 Monaten gelöscht.
  • Newsletter: bis zu deiner Abmeldung.
  • IP-basierte Mengenbegrenzung (Kontaktformular, Newsletter): höchstens 2 Tage.
  • Nutzungsstatistik (nur bei Einwilligung): 12 Monate, danach automatische Löschung.
  • Server-Logs der Hosting-Anbieter: gemäss deren üblichen, kurzen Fristen.

11. Datensicherheit

Alle Verbindungen zum Shop und zu unseren Dienstleistern sind mit TLS verschlüsselt (inklusive HSTS). Passwörter werden ausschliesslich als Hash gespeichert. Der Zugriff auf die Datenbank ist mit zeilenbasierten Zugriffsregeln abgesichert, sodass du nur deine eigenen Daten siehst; besonders sensible Felder sind zusätzlich geschützt. Administrative Zugriffe sind auf wenige, rollenbasiert berechtigte Personen beschränkt. Öffentliche Endpunkte (Kontaktformular, Newsletter, Altersverifikation) sind gegen Massenanfragen abgesichert.

12. Deine Rechte

Nach dem Datenschutzgesetz stehen dir insbesondere folgende Rechte zu:

  • Auskunft (Art. 25 DSG): Du kannst erfahren, ob und welche Personendaten wir über dich bearbeiten.
  • Berichtigung (Art. 32 DSG): Unrichtige Daten kannst du berichtigen lassen – Adressen und Profilangaben auch direkt im Kundenkonto.
  • Löschung: Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
  • Datenherausgabe und -übertragung (Art. 28 DSG): Du kannst die Daten, die du uns gegeben hast, in einem gängigen elektronischen Format erhalten.
  • Widerspruch und Einschränkung: Du kannst einer Bearbeitung widersprechen oder verlangen, dass sie eingeschränkt wird.
  • Widerruf von Einwilligungen: Erteilte Einwilligungen (z. B. Newsletter) kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Schreib uns dazu an info@nayla-shop.ch. Auskunft erteilen wir in der Regel kostenlos und innert 30 Tagen. Zum Schutz deiner Daten können wir vor der Bearbeitung eines Gesuchs einen Identitätsnachweis verlangen.

Konto löschen und Newsletter abbestellen: Beides kannst du selbst erledigen, eingeloggt im Kundenkonto unter «Datenschutz & Konto». Die Kontolöschung bestätigst du mit deiner E-Mail-Adresse; danach löschen wir sofort dein Login und Profil, deine Adressen, Wunschlisten, Produktbewertungen, Treuepunkte, Empfehlungsdaten, das Ergebnis der Altersverifikation und eine Newsletter-Anmeldung mit derselben E-Mail-Adresse. Bestellungen, Rechnungen und Zahlungsbelege bleiben wegen der gesetzlichen Aufbewahrungspflicht 10 Jahre ab Ende des Geschäftsjahres erhalten (Art. 958f OR, siehe Ziffer 10), jedoch ohne Verknüpfung zu einem Konto. Ist eine Bestellung noch offen (Zahlung ausstehend oder bezahlt, aber noch nicht versendet), ist die Löschung erst nach Versand oder Stornierung möglich. Die bei Persona gespeicherten Daten der Ausweisprüfung werden nicht automatisch mitgelöscht; ihre Löschung bei Persona veranlassen wir auf Anfrage an info@nayla-shop.ch (Aufbewahrung bei Persona: siehe Ziffer 5). Hast du den Newsletter ohne Kundenkonto abonniert, genügt eine E-Mail an info@nayla-shop.ch; wir melden dich umgehend ab.

Beschwerderecht: Du kannst dich jederzeit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, wenden.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Shop, unsere Dienstleister oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Datum des Stands findest du oben.