Datenschutzerklärung
Informationen zur Verarbeitung personenbezogener Daten gemäß DSGVO Art. 13/14.
Datenschutz auf einen Blick
Kurzzusammenfassung der Datenverarbeitung (DSGVO Art. 13/14) – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Verantwortliche Stelle
Einzutragen (DSGVO Art. 13 Abs. 1a):
- Vollständiger Name und Anschrift des Unternehmens
- E-Mail-Adresse und Telefonnummer der verantwortlichen Stelle
- Datenschutzbeauftragter (sofern nach DSGVO Art. 37 erforderlich) — mit Anwalt/Steuerberater prüfen
Identität und Kontaktdaten der verantwortlichen Stelle – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Rechtsgrundlagen der Verarbeitung
Anzugebende Rechtsgrundlagen (DSGVO Art. 6):
- Art. 6 Abs. 1 lit. b — Vertragserfüllung (Bestellabwicklung, Lieferung)
- Art. 6 Abs. 1 lit. c — Gesetzliche Pflicht (Steuer-, Handelsrecht)
- Art. 6 Abs. 1 lit. f — Berechtigtes Interesse (Betrugsprävention, IT-Sicherheit)
- Art. 6 Abs. 1 lit. a — Einwilligung (Newsletter — sofern aktiviert)
Rechtsgrundlagen der Datenverarbeitung (DSGVO Art. 6) – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Erhebung und Verarbeitung von Daten
Im Checkout erhobene personenbezogene Daten:
- Vor- und Nachname
- E-Mail-Adresse
- Telefonnummer
- Lieferadresse (Straße, PLZ, Ort, Land)
- Gewünschtes Lieferfenster (optional)
- Gewählte Zahlungsart
Zwecke der Verarbeitung:
- Bestellabwicklung und Versand
- Kundenkommunikation (Auftragsbestätigung per E-Mail)
- Gesetzliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB)
Vollständige Beschreibung der Datenerhebung und -verarbeitung – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Drittanbieter und Datenübermittlung
Dieser Shop nutzt bzw. plant folgende Drittanbieter. Jeder Anbieter ist separat zu dokumentieren. Detaillierte Angaben finden sich in den nachfolgenden Abschnitten.
Einzusetzende Anbieter:
- Vercel Inc. — Hosting und Auslieferung der Website (aktiv)
- Supabase Inc. — Datenbankhosting für Bestelldaten (aktiv)
- Stripe Inc. — Zahlungsabwicklung (geplant für Phase 5)
- Resend Inc. — Transaktionale E-Mails / Auftragsbestätigung (aktiv)
- OpenPLZ API — Validierung der Lieferadresse bei Bestellungen (aktiv, ohne Namensdaten)
- WhatsApp / Meta Platforms — Kundenberatung per WhatsApp (Kontakt-Links aktiv; Business-API geplant)
Für jeden Anbieter: Firmenname, Adresse, Datenschutzbeauftragter, Zweck der Übertragung, Rechtsgrundlage, Drittlandtransfer-Mechanismus (SCCs/Adequacy Decision) dokumentieren.
Übersicht aller Drittanbieter und Rechtsgrundlagen der Übermittlung – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Hosting: Vercel
Zu dokumentieren:
- Anbieter: Vercel Inc., 340 Pine Street, Suite 701, San Francisco, CA 94104, USA
- Zweck: Hosting, Auslieferung der Next.js-Anwendung, Edge Functions
- Übertragene Daten: IP-Adresse, HTTP-Header, Zugriffszeiten (Server-Logs)
- Drittlandtransfer: USA — Mechanismus (EU-US Data Privacy Framework / SCCs) mit Anwalt dokumentieren
- Vercel Datenschutzerklärung: vercel.com/legal/privacy-policy
Datenschutztext Vercel Hosting – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Datenbank: Supabase
Zu dokumentieren:
- Anbieter: Supabase Inc., 970 Toa Payoh North, Singapur (US-gemanagt)
- Zweck: Speicherung von Bestelldaten (Kundendaten, Bestellpositionen, Status)
- Übertragene Daten: Name, E-Mail, Adresse, Telefon, Bestellinhalt, Zahlungsart
- Serverstandort: AWS Frankfurt (eu-central-1) — im Supabase-Dashboard prüfen und dokumentieren
- Supabase Datenschutz: supabase.com/privacy
Datenschutztext Supabase Datenbankhosting – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Zahlung: Stripe (geplant)
Zu dokumentieren (nach Aktivierung in Phase 5):
- Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland
- Zweck: Zahlungsabwicklung, Betrugsprävention
- Übertragene Daten: Name, E-Mail, Adresse, Zahlungsdaten (Karte/SEPA), Bestellbetrag
- Stripe Datenschutz: stripe.com/de/privacy
Abschnitt erst in die finale Datenschutzerklärung aufnehmen, wenn Stripe aktiv geschaltet ist.
Datenschutztext Stripe Zahlungsabwicklung (nach Aktivierung einfügen) – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
E-Mail-Versand: Resend
Für den Versand transaktionaler E-Mails (Auftragsbestätigung, Kaufbeleg, Versandbenachrichtigung, Formular-Nachrichten) nutzen wir den Dienst Resend.
- Anbieter: Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA
- Zweck: Zustellung von Bestell- und Servicenachrichten an Kundinnen und Kunden sowie an den Shop
- Übertragene Daten: Empfänger-E-Mail-Adresse, Name, Bestell- bzw. Nachrichteninhalt
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- Drittlandtransfer: USA — Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework
- Datenschutzerklärung des Anbieters: resend.com/legal/privacy-policy
Zu prüfen (Anwalt): DPF-Zertifizierung von Resend verifizieren und Auftragsverarbeitungsvertrag (DPA) mit Resend abschließen — resend.com/legal/dpa.
Adressvalidierung: OpenPLZ
Bei einer Bestellung prüfen wir, ob Postleitzahl, Ort und Straße zueinander passen. So vermeiden wir fehlerhafte Lieferungen und beugen Missbrauch vor.
- Anbieter: OpenPLZ API (openplzapi.org), ein offenes Open-Data-Projekt
- Übertragene Daten: ausschließlich Postleitzahl, Ort und Straßenname — keine Namens-, Kontakt- oder Hausnummerdaten
- Zweck: Plausibilitätsprüfung der Lieferadresse vor Annahme der Bestellung
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie lit. f (berechtigtes Interesse an korrekter Zustellung)
Zu prüfen (Anwalt): Hosting-Standort der OpenPLZ API dokumentieren.
Die Website enthält Kontakt-Links zu WhatsApp (wa.me). Daten werden erst dann an Meta übertragen, wenn Sie einen solchen Link aktiv anklicken und WhatsApp nutzen — durch den bloßen Besuch der Website fließen keine Daten an Meta.
Zu dokumentieren bei Aktivierung der WhatsApp Cloud API (automatisierte Nachrichten):
- Anbieter: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin, Irland
- Zweck: Kundenberatung auf Anfrage des Kunden
- Übertragene Daten: Telefonnummer, Name (sofern vom Kunden angegeben), Nachrichteninhalt
- Rechtsgrundlage: Berechtigtes Interesse / Einwilligung (durch aktive Kontaktaufnahme) — mit Anwalt abstimmen
Abschnitt erst nach Aktivierung des WhatsApp Business Accounts einfügen.
Datenschutztext WhatsApp Business (nach Aktivierung einfügen) – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Ihre Rechte als betroffene Person
Anzusprechende Rechte (DSGVO Art. 15–22):
- Art. 15 — Recht auf Auskunft über gespeicherte Daten
- Art. 16 — Recht auf Berichtigung
- Art. 17 — Recht auf Löschung (Recht auf Vergessenwerden)
- Art. 18 — Recht auf Einschränkung der Verarbeitung
- Art. 20 — Recht auf Datenübertragbarkeit
- Art. 21 — Widerspruchsrecht
- Art. 77 — Beschwerderecht bei der Aufsichtsbehörde
Zuständige Datenschutzaufsichtsbehörde des Unternehmenssitzes angeben (z. B. Berliner Beauftragte für Datenschutz und Informationsfreiheit).
Vollständiger Text zu den Betroffenenrechten (DSGVO Art. 15–22) – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Speicherdauer und Löschung
Zu dokumentierende Fristen:
- Bestelldaten — 10 Jahre gemäß § 147 AO (steuerrechtliche Aufbewahrungspflicht)
- Handelsbriefe / Rechnungen — 6 Jahre gemäß § 257 HGB
- Browser localStorage — kein Verfallsdatum; verbleibt im Browser bis manuell gelöscht
- Admin-Session-Cookie — 24 Stunden (Max-Age, gesetzt vom Server)
Vollständiger Text zu Speicherfristen und Löschkonzept – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.
Kontakt und Beschwerderecht
Einzutragen:
- Datenschutz-Kontaktadresse (E-Mail, Postanschrift)
- Zuständige Aufsichtsbehörde (je nach Unternehmenssitz — Liste: bfdi.bund.de)
Datenschutzkontakt und zuständige Aufsichtsbehörde – wird vor Veröffentlichung eingefügt
Dieser Bereich wird mit rechtlich geprüftem Inhalt von eRecht24 befüllt. Es wird kein Platzhaltertext als rechtsverbindlich dargestellt.