Rechtliches

Datenschutzerklärung

Entwurf. Die markierten Stellen […] sind Platzhalter. Dieser Text ist eine Vorlage und vor der Veröffentlichung durch die zuständige Stelle zu prüfen und zu ersetzen.

Wir erklären, welche personenbezogenen Daten dieser Shop verarbeitet, wofür und wie lange. Die technischen Angaben beschreiben den aktuellen Stand der Anwendung.

Vorschlag (KI-Entwurf). Die mit „Vorschlag“ gekennzeichneten Abschnitte sind neu formuliert für gespeicherte Adressen, Benachrichtigungs-E-Mails und Kundenbewertungen. Sie sind noch nicht rechtlich geprüft; Rechtsgrundlagen und Fristen bitte bestätigen.

1. Verantwortlicher

[Firmenname, Anschrift]
E-Mail: info@bohnensee.de
Datenschutzbeauftragte(r): [falls benannt]

2. Kundenkonto

Wenn du ein Konto anlegst, speichern wir deinen Vor- und Nachnamen, deine E-Mail-Adresse, dein Passwort ausschließlich als nicht umkehrbaren Hash sowie Zeitpunkte von Registrierung, E-Mail-Bestätigung und letzter Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen). Die Daten werden bis zur Löschung deines Kontos gespeichert.

Gespeicherte Adressen. Auf Wunsch speicherst du in deinem Konto eine Lieferadresse und, wenn sie abweicht, eine Rechnungsadresse (Straße, Hausnummer, Adresszusatz, Postleitzahl, Ort, Land; bei der Rechnungsadresse zusätzlich Name und ggf. Firma). Wir tragen sie bei deinen nächsten Bestellungen für dich ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (deine Anfrage, Bestellungen zu erleichtern). Du kannst die Adressen jederzeit ändern; sie werden mit deinem Konto gelöscht. Bereits aufgegebene Bestellungen behalten die Adresse, mit der sie aufgegeben wurden (siehe Abschnitt 6).

3. Bestellungen und Zahlung

Für Bestellungen verarbeiten wir die bestellten Artikel, Beträge, die Bestellnummer, den Zahlungsstatus und eine Zahlungsreferenz. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Zusätzlich speichern wir mit jeder Bestellung deinen Namen, deine E-Mail-Adresse sowie deine Liefer- und Rechnungsadresse, wie du sie im Bestellvorgang eingegeben hast. Wir brauchen sie, um die Ware zu liefern und eine Rechnung zu erstellen; Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO (Rechnungsangaben nach § 14 UStG). Diese Angaben gehen nicht an den Zahlungsdienstleister. Unbezahlte oder abgebrochene Bestellvorgänge löschen wir nach spätestens 30 Tagen.

Die Zahlung wickelt unser Zahlungsdienstleister [Stripe Payments Europe, Ltd., Irland – Angaben und Rollenverteilung prüfen] ab. Deine Kartendaten gibst du direkt in ein Formular von Stripe ein; sie gelangen nicht auf unsere Server. Das Stripe-Formular wird erst geladen, wenn du im Bestellvorgang zur Zahlung kommst.

Abonnements. Wenn du ein Abo abschließt, legen wir bei unserem Zahlungsdienstleister einen Kundendatensatz mit deinem Namen und deiner E-Mail-Adresse an und speichern dort die Karte, die du bei der ersten Bestellung eingibst, für die Folgelieferungen. Bei uns speichern wir nur eine Kennung dieses Kundendatensatzes und der Karte (nicht die Kartennummer), die bestellten Artikel, den Lieferrhythmus, den nächsten Liefertermin, deine Liefer- und Rechnungsadresse für die Lieferungen und den Status des Abos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Daten zum Abo werden mit der Kündigung des Abos nicht mehr für Lieferungen genutzt und mit deinem Konto gelöscht; Bestell- und Rechnungsdaten der einzelnen Lieferungen unterliegen den Aufbewahrungsfristen in Abschnitt 6. [Löschzeitpunkt der Abodaten nach Kündigung und Rolle des Zahlungsdienstleisters prüfen]

Frühere Bestellungen aus unserem Warenwirtschaftssystem. Hast du schon vor dem Shop bei uns bestellt, zeigen wir dir diese Bestellungen in deinem Konto. Dafür suchen wir, sobald du deine E-Mail-Adresse bestätigt hast (und danach beim Anmelden), in unserem Warenwirtschaftssystem (Odoo) nach Kontakten mit genau dieser E-Mail-Adresse und übernehmen deren bestätigte Aufträge mit Datum, Positionen, Beträgen sowie den Rechnungen und Gutschriften als Kopie in den Shop. Aufträge anderer Personen oder Firmen übernehmen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Service für dein Kundenkonto). Die Kopie wird bei jedem Abgleich ersetzt und mit deinem Konto gelöscht; die Originale bleiben im Warenwirtschaftssystem im Rahmen der gesetzlichen Aufbewahrung.

Betriebsprotokoll. Der Shop schreibt technische Ereignisse (zum Beispiel „E-Mail versendet“, „Bestellung an das Warenwirtschaftssystem übertragen“, Fehler) mit Bestellnummer in ein Protokoll, das nur Administratoren sehen. E-Mail-Adressen stehen dort nur gekürzt, Namen, Adressen und Mailtexte gar nicht. Die Einträge werden nach 180 Tagen gelöscht. Zweck ist der sichere Betrieb des Shops (Art. 6 Abs. 1 lit. f DSGVO).

Vorschlag (KI-Entwurf). Diese beiden Absätze sind noch nicht rechtlich geprüft.

4. E-Mail-Versand

Für Bestätigungscodes, Links zum Zurücksetzen des Passworts und Sicherheitshinweise nutzen wir die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Auftragsverarbeiter. Die Verarbeitung erfolgt in deutschen Rechenzentren; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Über diesen Weg versenden wir außerdem Mitteilungen zu deinen Bestellungen und Bewertungen: die Bestellbestätigung (mit Artikeln, Beträgen und deinen Adressen), die Mitteilung, dass deine Bestellung versendet wurde, die Mitteilung über die Veröffentlichung oder Nichtveröffentlichung deiner Bewertung und eine Bestätigung, wenn du dein Konto löschst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. für die Löschbestätigung unser Interesse an einer nachvollziehbaren Kontoverwaltung (lit. f) [prüfen]. Wir senden keine Werbe-E-Mails und keinen Newsletter.

Intern informieren wir die Shop-Betreiber per E-Mail über neue bezahlte Bestellungen (Bestellnummer, Stückzahl, Summe, ohne Namen und Adressen) und über neue Bewertungen, die auf Freigabe warten (mit dem Bewertungstext und dem Anzeigenamen).

4a. Produktempfehlungen mit KI

In der Detailansicht eines Produkts zeigen wir unter „Empfohlen für dich“ zwei passende Produkte aus unserem Sortiment. Für die Auswahl nutzen wir einen KI-Dienst ([Anthropic, PBC – Anbieter, Rechtsgrundlage und Vertrag prüfen]). An den Dienst übermitteln wir ausschließlich Produktdaten aus unserem Katalog (Bezeichnung, Kategorie, Schlagworte, Beschreibung). Es werden keine Daten über Besucherinnen und Besucher, keine Bestell- oder Kontodaten und keine IP-Adressen übermittelt, weil die Anfrage von unserem Server und nicht aus deinem Browser kommt. Die Ergebnisse speichern wir bis zu 24 Stunden zwischen. Von der KI erzeugte Empfehlungen sind als „KI-Empfehlung“ gekennzeichnet.

Zusätzlich werten wir statistisch aus, welche Produkte in bezahlten Bestellungen häufig zusammen vorkommen, um dir unter „Empfohlen für dich“ passende Kombinationen vorzuschlagen („Wird oft zusammen gekauft“). Dabei werden nur die Artikellisten der Bestellungen betrachtet, nicht Namen, Adressen oder Konten, und dir werden weder einzelne Bestellungen noch Zahlen angezeigt. [Rechtsgrundlage (z. B. Art. 6 Abs. 1 lit. f DSGVO) prüfen]

4b. Kundenbewertungen

Angemeldete Kundinnen und Kunden mit bestätigter E-Mail-Adresse können Produkte bewerten. Dabei verarbeiten wir die Tassenbewertung, die optionale Überschrift, den Bewertungstext, das Datum, einen Anzeigenamen (dein Vorname und der Anfangsbuchstabe deines Nachnamens, z. B. „Dana D.“), den Prüfstatus und die Angabe, ob du das Produkt in unserem Shop bezahlt haben („Verifizierter Kauf“; dafür gleichen wir dein Konto mit deinen bezahlten Bestellungen ab). Die Bewertung ist dem Konto zugeordnet, damit nur eine Bewertung je Produkt abgegeben werden kann und du sie wieder löschen kannst.

Wir prüfen jede Bewertung vor der Veröffentlichung. Erst nach der Freigabe sind Bewertungstext, Tassen, Datum, Anzeigename und ggf. „Verifizierter Kauf“ für alle Besucherinnen und Besucher des Shops sichtbar; deine E-Mail-Adresse und dein Nachname werden nicht angezeigt. Bitte schreibe keine personenbezogenen Daten Dritter in deine Bewertung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser Interesse und das Interesse anderer Kundinnen und Kunden an nachvollziehbaren, geprüften Bewertungen und am Schutz vor Missbrauch) [alternativ lit. b bzw. Einwilligung prüfen]. Du kannst der Veröffentlichung jederzeit widersprechen, indem du die Bewertung in der Produktansicht löschen.

Speicherdauer: bis du die Bewertung löschst oder dein Konto löschst; abgelehnte Bewertungen werden nicht angezeigt und bleiben bis zu deiner Löschung oder der Löschung des Kontos gespeichert. Die Bewertung ist Teil des Datenexports in deinem Konto.

4c. Erinnerung an einen vergessenen Warenkorb

Vorschlag (KI-Entwurf). Dieser Abschnitt und der Wortlaut der Einwilligung im Konto und im Warenkorb sind noch nicht rechtlich geprüft. [Wortlaut der Einwilligung, Rechtsgrundlage, Abgrenzung zu Werbung (§ 7 UWG) und Speicherdauer rechtlich prüfen]

Wenn du angemeldet bist, deine E-Mail-Adresse bestätigt hast und es ausdrücklich einschaltest (in deinem Konto oder im Warenkorb; das Kästchen ist nie vorausgewählt), erinnern wir dich einmal per E-Mail an Artikel, die du in deinem Warenkorb vergessen hast. Die E-Mail kommt etwa 24 Stunden nach deiner letzten Änderung am Warenkorb, enthält keinen Rabatt und nennt nur die Artikel und Mengen sowie einen Link zum Shop. Zu demselben Warenkorb senden wir höchstens eine E-Mail; sobald du bestellt oder den Warenkorb geleert hast, senden wir keine.

Dafür speichern wir, solange die Einwilligung gilt, eine Kopie deines Warenkorbs auf unserem Server (nur Produktnummern und Mengen, keine Preise) sowie den Zeitpunkt deiner Einwilligung, den Zeitpunkt der letzten Änderung und ein Protokoll darüber, wann du eingewilligt oder widerrufen hast und wann wir eine Erinnerung gesendet haben (ohne Warenkorbinhalt). Für den Versand der E-Mail nutzen wir den in Abschnitt 4 genannten Dienstleister.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: in deinem Konto unter „Erinnerung an deinen Warenkorb“ oder über den Link am Ende jeder Erinnerungs-E-Mail, ohne dich anzumelden. Mit dem Widerruf löschen wir die gespeicherte Kopie deines Warenkorbs. Das Protokoll und die Kopie werden außerdem mit deinem Konto gelöscht; beides ist Teil des Datenexports in deinem Konto. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Dein Warenkorb im Browser (Abschnitt 5) bleibt davon unabhängig; ohne Einwilligung verlässt er deinen Browser nicht, bevor du zur Kasse gehst.

5. Cookies und lokale Speicherung

Auf der Seite Cookies und lokale Speicherung steht vollständig und immer aktuell, was dieser Shop in deinem Browser speichert oder von Dritten lädt, wofür, wie lange und auf welcher Grundlage. Kurz zusammengefasst:

Wir setzen keine Analyse- oder Werbe-Tracker ein. Sollten wir künftig weitere Cookies einsetzen, die nicht technisch notwendig sind, tun wir das nur mit deiner vorherigen Einwilligung. Deine Auswahl kannst du jederzeit über „Cookie-Einstellungen“ im Seitenende ändern oder widerrufen.

6. Speicherdauer

Buchungs- und Steuerunterlagen, zu denen Bestellungen gehören, bewahren wir 10 Jahre auf (§ 147 AO, § 257 HGB). Löschst du dein Konto, werden dein Konto und deine Zugangsdaten gelöscht. Bestell- und Rechnungsdaten, die deinen Namen und deine Adresse enthalten, müssen wir trotzdem bis zum Ablauf der gesetzlichen Frist aufbewahren (Art. 17 Abs. 3 lit. b DSGVO). Sie werden getrennt archiviert, sind dann nicht mehr mit einem Konto verknüpft, werden nur für Buchhaltung und Prüfungen verwendet und danach gelöscht.

Gespeicherte Adressen und Bewertungen werden mit deinem Konto gelöscht (Bewertungen kannst du außerdem jederzeit einzeln löschen). Benachrichtigungs-E-Mails werden auf dem Mailserver unseres Dienstleisters nur so lange vorgehalten, wie es für den Versand erforderlich ist; deine Bestelldaten selbst unterliegen den oben genannten Aufbewahrungsfristen. [Aufbewahrung der versendeten E-Mails im Postausgang des Mailanbieters prüfen]

7. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, erteilte Einwilligungen jederzeit zu widerrufen.

In deinem Konto kannst du deine Daten selbst herunterladen, deinen Namen ändern und das Konto löschen. Der Download enthält auch deine gespeicherten Adressen und deine Bewertungen; Adressen ändern und Bewertungen löschen kannst du ebenfalls dort. Für alle übrigen Anfragen schreibe an info@bohnensee.de. Anfragen, die nicht aus deinem Konto kommen, kannst du auf der Seite Auskunft und Löschung stellen; wir bestätigen sie vor der Herausgabe oder Löschung über deine hinterlegte E-Mail-Adresse (Link, 24 Stunden gültig, nur einmal verwendbar). Wir beantworten Anfragen innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren: [zuständige Landesbehörde]

8. Stand

[Datum der letzten Änderung]