Datenschutz


1. Verantwortlicher

GoCaps GmbH
Am Gewerbering 4/6
83533 Edling
Vertreten durch: Axel Stok
E-Mail: info@gocaps.com
Telefon: +49 8071 903146-0

Datenschutzbeauftragter (sofern benannt):
Michael Vienhues
KDM Kontor für Datenschutz- und Managementberatung UG
Grasbrunn bei München
www.kdm.com.de
E-Mail: datenschutz@gocaps.com

Zuständige Datenschutz-Aufsichtsbehörde:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
www.lda.bayern.de

2. Arten der verarbeiteten Daten

  • Bestandsdaten (z.B. Namen, Adressen)
  • Kontaktdaten (z.B. E-Mail, Telefonnummern)
  • Inhaltsdaten (z.B. Texteingaben, Fotografien, Videos)
  • Nutzungsdaten (z.B. besuchte Webseiten, Interesse an Inhalten, Zugriffszeiten)
  • Meta-/Kommunikationsdaten (z.B. Geräte-Informationen, IP-Adressen)
  • Vertragsdaten (z.B. Vertragsgegenstand, Laufzeit, Kundenkategorie)
  • Zahlungsdaten (z.B. Bankverbindung, Zahlungshistorie)

Ansprechpartner und Mitarbeiter von Interessenten, Kunden und Geschäftspartnern (als natürliche Personen im Sinne der DSGVO) sowie Besucher des Onlineangebotes werden nachfolgend zusammenfassend als „Nutzer" bezeichnet. Hinweis: Die DSGVO schützt ausschließlich natürliche Personen, nicht Unternehmen als solche. Verarbeiten wir Daten einer beruflichen Kontaktadresse (z.B. vorname.nachname@firma.de), handelt es sich dennoch um personenbezogene Daten der jeweiligen natürlichen Person.

3. Zwecke der Verarbeitung

  • Zurverfügungstellung des Onlineangebotes, seiner Funktionen und Inhalte
  • Beantwortung von Kontaktanfragen und Kommunikation mit Geschäftskontakten
  • Sicherheitsmaßnahmen und Schutz vor Missbrauch
  • Reichweitenmessung und Analyse der Websitenutzung (nur mit Einwilligung)
  • Direktmarketing und Newsletter gegenüber bestehenden Geschäftskontakten (auf Basis berechtigter Interessen) sowie gegenüber neuen Kontakten (nur mit Einwilligung)
  • Anbahnung, Durchführung und Abwicklung von Verträgen mit Geschäftskunden
  • Kundenpflege und Beziehungsmanagement im B2B-Kontext
  • Durchführung von Bewerbungsverfahren

4. Verwendete Begrifflichkeiten

„Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person") beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung (z.B. Cookie) oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann.

„Verarbeitung" ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten. Der Begriff umfasst praktisch jeden Umgang mit Daten.

„Pseudonymisierung" ist die Verarbeitung personenbezogener Daten in einer Weise, dass diese ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese Informationen gesondert aufbewahrt werden und technischen sowie organisatorischen Maßnahmen unterliegen.

„Profiling" ist jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, diese Daten zu verwenden, um bestimmte persönliche Aspekte einer natürlichen Person zu bewerten, insbesondere Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten oder Aufenthaltsort.

Als „Verantwortlicher" wird die natürliche oder juristische Person bezeichnet, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

„Auftragsverarbeiter" ist eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

5. Maßgebliche Rechtsgrundlagen

Nach Maßgabe des Art. 13 DSGVO teilen wir die Rechtsgrundlagen unserer Datenverarbeitungen mit:

  • Einwilligung – Art. 6 Abs. 1 lit. a, Art. 7 DSGVO
  • Vertragserfüllung – Art. 6 Abs. 1 lit. b DSGVO
  • Rechtliche Verpflichtung – Art. 6 Abs. 1 lit. c DSGVO
  • Lebenswichtige Interessen – Art. 6 Abs. 1 lit. d DSGVO
  • Berechtigte Interessen – Art. 6 Abs. 1 lit. f DSGVO

Für Beschäftigtendaten gilt ergänzend § 26 BDSG. Soweit besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO verarbeitet werden, gelten die Rechtsgrundlagen des Art. 9 Abs. 2 DSGVO.

6. Sicherheitsmaßnahmen

Wir treffen nach Maßgabe des Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Zu den Maßnahmen gehören insbesondere die Sicherung der Vertraulichkeit, Integrität und Verfügbarkeit von Daten durch Kontrolle des physischen Zugangs sowie des logischen Zugriffs, der Eingabe, Weitergabe, der Sicherung der Verfügbarkeit und ihrer Trennung. Ferner berücksichtigen wir den Schutz personenbezogener Daten bereits bei der Entwicklung und Auswahl von Hardware, Software sowie Verfahren entsprechend dem Prinzip des Datenschutzes durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

7. Zusammenarbeit mit Auftragsverarbeitern und Dritten

Sofern wir im Rahmen unserer Verarbeitung Daten gegenüber anderen Personen und Unternehmen (Auftragsverarbeitern oder Dritten) offenbaren, sie an diese übermitteln oder ihnen sonst Zugriff auf die Daten gewähren, erfolgt dies nur auf Grundlage einer gesetzlichen Erlaubnis, einer erteilten Einwilligung, einer rechtlichen Verpflichtung oder auf Grundlage unserer berechtigten Interessen.

Sofern wir Dritte mit der Verarbeitung von Daten auf Grundlage eines Auftragsverarbeitungsvertrages beauftragen, geschieht dies auf Grundlage des Art. 28 DSGVO.

8. Übermittlungen in Drittländer

Sofern wir Daten in einem Drittland (d.h. außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR)) verarbeiten oder dies im Rahmen der Inanspruchnahme von Diensten Dritter geschieht, erfolgt dies nur beim Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

Als Transfermechanismen setzen wir ein:

  • EU-Standarddatenschutzklauseln (SCCs) gemäß Durchführungsbeschluss der EU-Kommission 2021/914/EU (Art. 46 Abs. 2 lit. c DSGVO)
  • EU-US Data Privacy Framework (DPF) – Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, sofern der jeweilige Empfänger unter dem DPF zertifiziert ist. Zertifizierte Unternehmen sind abrufbar unter: https://www.dataprivacyframework.gov/

9. Rechte der betroffenen Personen

  • Auskunftsrecht (Art. 15 DSGVO): Bestätigung, ob und welche Daten verarbeitet werden, sowie Kopie der Daten.
  • Berichtigungsrecht (Art. 16 DSGVO): Vervollständigung oder Berichtigung unrichtiger Daten.
  • Löschungsrecht (Art. 17 DSGVO): Unverzügliche Löschung unter den gesetzlichen Voraussetzungen.
  • Einschränkungsrecht (Art. 18 DSGVO): Einschränkung der Verarbeitung unter den gesetzlichen Voraussetzungen.
  • Datenübertragbarkeit (Art. 20 DSGVO): Erhalt und Übermittlung der Daten an andere Verantwortliche.
  • Beschwerderecht (Art. 77 DSGVO): Einreichung einer Beschwerde bei der zuständigen Aufsichtsbehörde.

10. Widerrufsrecht

Sie haben das Recht, erteilte Einwilligungen gemäß Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft zu widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung.

11. Widerspruchsrecht

Hinweis gemäß Art. 21 DSGVO: Werden Ihre personenbezogenen Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung einzulegen, wenn Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben.

Werden Ihre Daten zum Zweck der Direktwerbung verarbeitet, können Sie jederzeit und ohne Angabe von Gründen Widerspruch einlegen. Nach Eingang Ihres Widerspruchs werden Ihre Daten nicht mehr für Direktwerbung verarbeitet.

Den Widerspruch richten Sie an: GoCaps GmbH, E-Mail: datenschutz@gocaps.com, Postanschrift: Am Gewerbering 4/6, 83533 Edling

12. Cookies und Consent-Management

Als „Cookies" werden kleine Dateien bezeichnet, die auf Rechnern der Nutzer gespeichert werden. Cookies können unterschiedliche Angaben speichern und dienen primär dazu, die Angaben zu einem Nutzer während oder auch nach seinem Besuch innerhalb eines Onlineangebotes zu speichern.

Technisch notwendige Cookies werden auf Grundlage von § 25 Abs. 2 TTDSG ohne Einwilligung gespeichert, da sie für den Betrieb der Website erforderlich sind. Alle übrigen Cookies (Analyse, Marketing, Drittanbieter) werden ausschließlich nach Ihrer ausdrücklichen Einwilligung gemäß § 25 Abs. 1 TTDSG i.V.m. Art. 6 Abs. 1 lit. a DSGVO gespeichert.

Beim ersten Besuch unserer Website wird Ihnen ein Cookie-Consent-Banner angezeigt, über das Sie differenziert in einzelne Cookie-Kategorien einwilligen oder diese ablehnen können. Ihre Einstellungen können Sie jederzeit über Cookie Einstellungen anpassen.

Einen generellen Widerspruch gegen den Einsatz von Tracking-Cookies können Sie zusätzlich über folgende Seiten erklären:

  • EU: http://www.youronlinechoices.com/
  • USA: http://www.aboutads.info/choices/

13. Löschung von Daten und Speicherfristen

Die von uns verarbeiteten Daten werden nach Maßgabe der Art. 17 und 18 DSGVO gelöscht oder in ihrer Verarbeitung eingeschränkt, sobald sie für ihren Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Nach gesetzlichen Vorgaben in Deutschland erfolgt die Aufbewahrung insbesondere für 10 Jahre gemäß §§ 147 Abs. 1 AO, 257 Abs. 1 Nr. 1 und 4 HGB (Bücher, Buchungsbelege, Handelsbücher, steuerrelevante Unterlagen) und für 6 Jahre gemäß § 257 Abs. 1 Nr. 2 und 3 HGB (Handelsbriefe).

Konkrete Speicherfristen nach Verarbeitungsvorgang:

  • Kontaktanfragen: Löschung spätestens nach 3 Jahren ab Abschluss der Anfrage, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  • Server-Logfiles (Hosting): Automatisierte Löschung nach spätestens 7 Tagen, außer bei laufenden Sicherheitsuntersuchungen.
  • Google Analytics: Nutzereinzeldaten werden nach 14 Monaten gelöscht oder anonymisiert.
  • Google reCAPTCHA: Protokolldaten werden nach 30 Tagen gelöscht (gemäß Google-Angaben).
  • Newsletter / E-Mail-Marketing: Kontaktdaten werden nach Widerruf der Einwilligung bzw. nach Eingang eines Widerspruchs für Marketingzwecke gesperrt und gelöscht, sofern keine andere Rechtsgrundlage (z.B. laufende Geschäftsbeziehung) besteht.
  • Bewerberdaten: Löschung nach 6 Monaten nach Abschluss des Bewerbungsverfahrens.
  • Vertragsdaten: Nach Maßgabe der gesetzlichen Aufbewahrungspflichten, in der Regel 6–10 Jahre.

14. Geschäftsbezogene Verarbeitung

Wir verarbeiten Kontakt-, Vertrags- und Zahlungsdaten von Ansprechpartnern bei Geschäftskunden, Interessenten und Geschäftspartnern zwecks Anbahnung, Durchführung und Abwicklung von Verträgen, Leistungserbringung, Service, Kundenpflege sowie Marktforschung.

Zu den verarbeiteten Daten gehören insbesondere Name und Funktion des Ansprechpartners, berufliche Kontaktdaten (Firmen-E-Mail, Telefon, Anschrift), Vertragsgegenstand, Laufzeiten sowie Zahlungsdaten im Rahmen der üblichen B2B-Zahlungsabwicklung (z.B. Bankverbindung für Überweisung, Rechnungsadresse, Zahlungshistorie).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an einer effizienten Geschäftsbeziehung). Marketing gegenüber Bestandskunden erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO i.V.m. § 7 Abs. 3 UWG, sofern die Daten im Rahmen der bestehenden Geschäftsbeziehung erhalten wurden und der Inhalt in sachlichem Zusammenhang mit der ursprünglichen Geschäftsbeziehung steht. Gegenüber neuen Kontakten ohne bestehende Geschäftsbeziehung erfolgt Direktmarketing nur auf Grundlage einer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

15. Datenschutzhinweise im Bewerbungsverfahren

Wir verarbeiten Bewerberdaten nur zum Zweck und im Rahmen des Bewerbungsverfahrens im Einklang mit den gesetzlichen Vorgaben. Die Verarbeitung der Bewerberdaten erfolgt auf folgenden Rechtsgrundlagen:

  • Art. 6 Abs. 1 lit. b DSGVO i.V.m. § 26 Abs. 1 BDSG: zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses
  • Art. 9 Abs. 2 lit. b DSGVO i.V.m. § 26 Abs. 3 BDSG: für besondere Kategorien personenbezogener Daten (z.B. Behinderung), soweit für die Ausübung von Rechten oder die Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich
  • Art. 6 Abs. 1 lit. f DSGVO: zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (z.B. Nachweispflichten nach dem AGG)

Eine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO wird für das reguläre Bewerbungsverfahren nicht eingeholt und ist nicht die Rechtsgrundlage der Verarbeitung. Möchten wir Ihre Bewerbung in einem Bewerberpool für zukünftige Stellen aufbewahren, werden wir Sie hierzu gesondert um Ihre ausdrückliche Einwilligung bitten.

Das Bewerbungsverfahren setzt voraus, dass Bewerber uns die erforderlichen Bewerberdaten mitteilen. Die notwendigen Angaben umfassen insbesondere Angaben zur Person, Post- und Kontaktadressen sowie die zur Bewerbung gehörenden Unterlagen wie Anschreiben, Lebenslauf und Zeugnisse. Daneben können Bewerber freiwillig zusätzliche Informationen mitteilen.

Soweit im Rahmen des Bewerbungsverfahrens freiwillig besondere Kategorien von personenbezogenen Daten im Sinne des Art. 9 Abs. 1 DSGVO mitgeteilt werden, erfolgt deren Verarbeitung zusätzlich nach Art. 9 Abs. 2 lit. b DSGVO.

Sofern zur Verfügung gestellt, können Bewerber ihre Bewerbungen mittels eines Onlineformulars auf unserer Website übermitteln. Die Daten werden entsprechend dem Stand der Technik verschlüsselt übertragen. Ferner können Bewerber ihre Bewerbungen per E-Mail übermitteln; wir weisen jedoch darauf hin, dass E-Mails grundsätzlich nicht verschlüsselt versendet werden. Für den Übertragungsweg per E-Mail kann keine Verantwortung übernommen werden. Alternativ steht der postalische Versand zur Verfügung.

Die von Bewerbern zur Verfügung gestellten Daten können im Fall einer erfolgreichen Bewerbung für die Zwecke des Beschäftigungsverhältnisses weiterverarbeitet werden. Andernfalls werden die Bewerberdaten nach Ablauf von sechs Monaten nach Abschluss des Bewerbungsverfahrens gelöscht, damit etwaige Anschlussfragen beantwortet und Nachweispflichten aus dem Gleichbehandlungsgesetz erfüllt werden können. Rechnungen über Reisekostenerstattungen werden entsprechend den steuerrechtlichen Vorgaben archiviert.

16. Kontaktaufnahme

Bei der Kontaktaufnahme mit uns (z.B. per Kontaktformular, E-Mail oder Telefon) werden die Angaben des Nutzers zur Bearbeitung der Anfrage und deren Abwicklung verarbeitet. Im B2B-Kontext verarbeiten wir dabei typischerweise Name, Funktion, Unternehmen und berufliche Kontaktdaten des Ansprechpartners.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an der Bearbeitung geschäftlicher Anfragen). Die Angaben können in einem CRM-System gespeichert werden.

Angaben zu einem Unternehmen (z.B. Firmenname, Adresse) sind für sich allein keine personenbezogenen Daten im Sinne der DSGVO. Soweit jedoch gleichzeitig Name und berufliche Kontaktdaten einer natürlichen Person erfasst werden, handelt es sich insoweit um personenbezogene Daten dieser Person.

Kontaktanfragen und die zugehörigen personenbezogenen Daten werden spätestens nach 3 Jahren ab Abschluss der Anfrage gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

17. E-Mail-Marketing und Newsletter (CleverReach)

Für den Versand von E-Mail-Newslettern und Marketingkommunikation setzen wir den Dienst CleverReach der CleverReach GmbH Co. KG, Schafjückenweg 2, 26180 Rastede, Deutschland, ein.

CleverReach verarbeitet personenbezogene Daten in unserem Auftrag als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) ist mit CleverReach abgeschlossen. Die Serverinfrastruktur von CleverReach befindet sich in Deutschland und der EU; ein Drittlandtransfer findet nicht statt.

Datenschutzerklärung CleverReach: https://www.cleverreach.com/de/datenschutz/

Im Rahmen des Newsletter-Versands werden folgende Daten verarbeitet:

  • Berufliche E-Mail-Adresse des Empfängers
  • Name und ggf. Funktion des Ansprechpartners (zur personalisierten Ansprache)
  • Firmenname und Branche (zur Segmentierung von Empfängerlisten)
  • Datum und Uhrzeit der Anmeldung sowie Einwilligungsnachweis (bei einwilligungsbasiertem Versand)
  • Öffnungs- und Klickdaten (pseudonymisiertes Tracking zur Erfolgsmessung)
  • Technische Metadaten (IP-Adresse zum Zeitpunkt der Anmeldung, verwendetes E-Mail-Programm, Betriebssystem)

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

  • Gegenüber bestehenden Geschäftskontakten: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) i.V.m. § 7 Abs. 3 UWG, sofern die E-Mail-Adresse im Rahmen einer bestehenden Geschäftsbeziehung erhalten wurde, ausschließlich eigene ähnliche Leistungen beworben werden und der Empfänger der Nutzung nicht widersprochen hat.
  • Gegenüber neuen Kontakten ohne bestehende Geschäftsbeziehung: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung wird vor dem ersten Versand über ein Double-Opt-in-Verfahren eingeholt: Nach Eingabe der E-Mail-Adresse erhält der Empfänger eine Bestätigungs-E-Mail, in der er den Anmeldelink aktiv anklicken muss. Ohne diese Bestätigung werden keine Newsletter versendet.
  • Das Öffnungs- und Klick-Tracking erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an der Erfolgsmessung und Optimierung der Kommunikation). Das Tracking kann durch Deaktivierung der Bildanzeige im E-Mail-Programm unterbunden werden.

Jede Marketing-E-Mail enthält einen Abmeldelink. Nach Eingang einer Abmeldung werden die Kontaktdaten in CleverReach für Marketingzwecke gesperrt und nicht mehr für den Newsletter-Versand genutzt. Die Abmeldung berührt nicht die übrige geschäftliche Kommunikation. Die Abmeldung kann auch schriftlich an [datenschutz@firma.de] erfolgen.

Speicherdauer: Einwilligungsnachweise werden für die Dauer der aktiven Newsletter-Beziehung sowie für 3 Jahre nach Abmeldung aufbewahrt, um etwaige Rechtsansprüche belegen zu können. Anschließend werden die Daten in CleverReach gelöscht.

18. Hosting und E-Mail-Versand

Die von uns in Anspruch genommenen Hosting-Leistungen dienen der Zurverfügungstellung der folgenden Leistungen: Infrastruktur- und Plattformdienstleistungen, Rechenkapazität, Speicherplatz und Datenbankdienste, E-Mail-Versand, Sicherheitsleistungen sowie technische Wartungsleistungen.

Hierbei verarbeiten wir bzw. unser Hostinganbieter Bestandsdaten, Kontaktdaten, Inhaltsdaten, Vertragsdaten, Nutzungsdaten, Meta- und Kommunikationsdaten auf Grundlage unserer berechtigten Interessen an einer effizienten und sicheren Zurverfügungstellung dieses Onlineangebotes gemäß Art. 6 Abs. 1 lit. f DSGVO i.V.m. Art. 28 DSGVO (Auftragsverarbeitungsvertrag). Server-Logfiles werden automatisiert nach spätestens 7 Tagen gelöscht.

18. Shopware – Shopsystem (Cloud)

Für den Betrieb unseres Onlineshops setzen wir die Shopware Cloud der Shopware AG, Ebbinghoff 10, 48624 Schöppingen, Deutschland, ein. Shopware wird als Software-as-a-Service (SaaS/Cloud) genutzt; Infrastruktur, Betrieb und Wartung der Shopware-Instanz liegen bei der Shopware AG.

Die Shopware AG verarbeitet personenbezogene Daten unserer Nutzer und Kunden in unserem Auftrag als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag (AVV) mit der Shopware AG ist abgeschlossen. Die Serverinfrastruktur befindet sich in Deutschland und der EU; ein Drittlandtransfer findet nicht statt.

Datenschutzerklärung Shopware: https://www.shopware.com/de/datenschutz/

Im Rahmen des Cloud-Betriebs verarbeitet die Shopware AG in unserem Auftrag insbesondere folgende Datenkategorien: Kundenstammdaten, Bestelldaten, Zahlungsdaten, Nutzungsdaten sowie technische Metadaten des Shopbetriebs. Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an einem sicheren und effizienten Shopbetrieb) i.V.m. Art. 28 DSGVO.

19. Shopware – Kundenkonto und Bestellabwicklung

Im Rahmen des Bestellprozesses und der Nutzung unseres Onlineshops verarbeiten wir folgende personenbezogene Daten von Ansprechpartnern und Mitarbeitern unserer Geschäftskunden:

  • Firmenname, Rechtsform, Umsatzsteuer-ID (USt-IdNr.)
  • Name, Vorname und Funktion des Ansprechpartners
  • Liefer- und Rechnungsanschrift des Unternehmens
  • Berufliche E-Mail-Adresse und Telefonnummer
  • Bestelldaten (Artikel, Mengen, Preise, Bestellnummer, Bestelldatum)
  • Zahlungsdaten (Zahlungsart, Bankverbindung für Rechnung/Lastschrift, Zahlungsstatus)
  • Kommunikationsdaten im Zusammenhang mit der Bestellung (z.B. Bestellbestätigungen, Lieferavise)
  • Zugangsdaten zum Kundenkonto (E-Mail-Adresse, verschlüsseltes Passwort)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und Vertragserfüllung). Soweit steuerrechtliche oder handelsrechtliche Aufbewahrungspflichten bestehen, ist zusätzlich Art. 6 Abs. 1 lit. c DSGVO Rechtsgrundlage.

Die Anlage eines Kundenkontos ist freiwillig. Sie ermöglicht den Zugriff auf Bestellhistorie, gespeicherte Adressen und Angebote. Ohne Kundenkonto ist eine Gastbestellung möglich.

Bestelldaten und Rechnungsdaten werden nach Maßgabe der gesetzlichen Aufbewahrungspflichten aufbewahrt (in der Regel 10 Jahre gemäß §§ 147 Abs. 1 AO, 257 Abs. 1 HGB). Kundenkontodaten werden nach Löschung des Kontos gelöscht, sofern keine Aufbewahrungspflichten entgegenstehen.

20. Shopware – B2B-Funktionen

Unser Onlineshop ist für Geschäftskunden ausgerichtet und nutzt B2B-spezifische Funktionen von Shopware. In diesem Zusammenhang werden folgende zusätzliche Verarbeitungen vorgenommen:

  • Firmenkonten: Geschäftskunden können ein Firmenkonto anlegen, dem mehrere Mitarbeiter zugeordnet werden können. Verarbeitet werden dabei Namen, berufliche E-Mail-Adressen und Rollen der jeweiligen Mitarbeiter.
  • Angebotsverwaltung: Anfragen für individuelle Angebote werden inkl. der zugehörigen Ansprechpartnerdaten gespeichert und zur Angebotserstellung verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Nettoanzeige und Preisgruppen: Kundenkontodaten werden genutzt, um kundenindividuelle Nettopreise, Rabattgruppen und Zahlungsbedingungen anzuzeigen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Rechtsgrundlage für alle B2B-Funktionen ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen an der effizienten Abwicklung von Geschäftsbeziehungen).

21. Shopware – Cookies und Sitzungsdaten

Shopware setzt technisch notwendige Cookies ein, die für den Betrieb des Shops erforderlich sind. Diese werden auf Grundlage von § 25 Abs. 2 Nr. 2 TTDSG ohne Einwilligung gespeichert, da sie für die vom Nutzer ausdrücklich gewünschte Leistung (Nutzung des Onlineshops) zwingend erforderlich sind.

Im Einzelnen werden folgende technisch notwendige Cookies von Shopware gesetzt:

  • Session-Cookie: Speichert die Sitzungs-ID für die Dauer des Browser-Besuchs (transient). Ermöglicht Login-Status, Warenkorb und Bestellvorgang. Wird beim Schließen des Browsers gelöscht.
  • Warenkorb-Cookie: Speichert den Inhalt des Warenkorbs. Laufzeit: bis zu 30 Tage oder bis zur Löschung durch den Nutzer.
  • Login-Cookie: Speichert den Anmeldestatus bei aktivierter „Angemeldet bleiben"-Funktion. Laufzeit: bis zu 30 Tage.
  • CSRF-Token-Cookie: Schützt Formulare vor Cross-Site-Request-Forgery-Angriffen. Technische Sicherheitsmaßnahme. Transient.
  • Cookie-Consent-Cookie: Speichert die Einwilligungsentscheidung des Nutzers für das Cookie-Consent-Banner. Laufzeit: 12 Monate.

Soweit Shopware-Plugins oder Erweiterungen zusätzliche Cookies setzen, die nicht technisch notwendig sind (z.B. für Analyse oder Marketing), erfolgt dies nur mit vorheriger Einwilligung gemäß § 25 Abs. 1 TTDSG i.V.m. Art. 6 Abs. 1 lit. a DSGVO über unser Cookie-Consent-Banner.

22. Shopware – Zahlungsabwicklung

Zur Abwicklung von Zahlungen im Onlineshop setzen wir keine Zahlungsdienstleister ein:

  • Kauf auf Rechnung: Die Verarbeitung der für die Rechnungsstellung erforderlichen Daten (Name, Anschrift, Bestelldaten) erfolgt durch uns direkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Kein externer Zahlungsdienstleister erforderlich.

23. Hosting und E-Mail-Versand

Die von uns in Anspruch genommenen Hosting-Leistungen dienen der Zurverfügungstellung der folgenden Leistungen: Infrastruktur- und Plattformdienstleistungen, Rechenkapazität, Speicherplatz und Datenbankdienste, E-Mail-Versand, Sicherheitsleistungen sowie technische Wartungsleistungen.

Hierbei verarbeiten wir bzw. unser Hostinganbieter Bestandsdaten, Kontaktdaten, Inhaltsdaten, Vertragsdaten, Nutzungsdaten, Meta- und Kommunikationsdaten auf Grundlage unserer berechtigten Interessen an einer effizienten und sicheren Zurverfügungstellung dieses Onlineangebotes gemäß Art. 6 Abs. 1 lit. f DSGVO i.V.m. Art. 28 DSGVO (Auftragsverarbeitungsvertrag). Server-Logfiles werden automatisiert nach spätestens 7 Tagen gelöscht.

24. Google Analytics

Wir setzen Google Analytics, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDSG ein.

Ihre Einwilligung erteilen Sie über unser Cookie-Consent-Banner beim ersten Besuch unserer Website. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen über [Link zu Cookie-Einstellungen] aufrufen und die Kategorie „Analyse" deaktivieren.

Google Analytics verwendet Cookies. Die durch das Cookie erzeugten Informationen über die Nutzung dieses Onlineangebotes werden an Server von Google übertragen und dort gespeichert. Wir setzen Google Analytics ausschließlich mit aktivierter IP-Anonymisierung ein. Die IP-Adresse der Nutzer wird innerhalb der EU bzw. des EWR vor der Übertragung gekürzt. Nur in Ausnahmefällen wird die vollständige IP-Adresse übertragen und erst dort gekürzt.

Personenbezogene Daten der Nutzer werden nach 14 Monaten gelöscht oder anonymisiert.

Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss 2021/914/EU) sowie des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework vom 10. Juli 2023, sofern Google unter dem DPF zertifiziert ist.

Opt-Out-Möglichkeiten:

  • Cookie-Einstellungen: Über Cookie Einstellungen die Kategorie „Analyse" deaktivieren.
  • Browser-Add-on zur Deaktivierung von Google Analytics: http://tools.google.com/dlpage/gaoptout?hl=de

Datenschutzerklärung Google: https://policies.google.com/privacy

25. Einbindung von Diensten und Inhalten Dritter

Wir setzen innerhalb unseres Onlineangebotes Inhalts- oder Serviceangebote von Drittanbietern ein (z.B. Videos, Schriftarten), um deren Inhalte und Services einzubinden. Dies setzt voraus, dass die Drittanbieter die IP-Adresse der Nutzer wahrnehmen, da sie ohne die IP-Adresse die Inhalte nicht an deren Browser senden könnten.

Soweit Drittanbieter sog. Pixel-Tags (Web Beacons) für statistische oder Marketingzwecke einsetzen, können pseudonyme Informationen in Cookies auf dem Gerät der Nutzer gespeichert und mit Informationen aus anderen Quellen verbunden werden. Wir binden solche Inhalte nur mit Ihrer Einwilligung gemäß § 25 Abs. 1 TTDSG ein.

26. Google Fonts (lokales Hosting)

Diese Seite nutzt zur einheitlichen Darstellung von Schriftarten so genannte Google Fonts, die von Google bereitgestellt werden. Die Google Fonts sind lokal auf unserem Server installiert. Eine Verbindung zu Servern von Google findet dabei nicht statt; es werden keine Daten an Google übertragen.

Weitere Informationen zu Google Fonts: https://developers.google.com/fonts/faq

27. Google reCAPTCHA

Wir binden die Funktion zur Erkennung von Bots in Onlineformularen (reCAPTCHA) des Anbieters Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und dem Schutz vor Missbrauch und Spam).

reCAPTCHA analysiert das Verhalten der Websitebesucher anhand verschiedener Merkmale (u.a. IP-Adresse, Verweildauer, Mausbewegungen). Die erhobenen Daten werden an Server von Google übertragen. Protokolldaten werden nach 30 Tagen gelöscht (gemäß Google-Angaben).

Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO sowie des EU-US Data Privacy Frameworks.

Datenschutzerklärung Google: https://policies.google.com/privacy

28. Google Maps

Wir binden die Landkarten des Dienstes Google Maps des Anbieters Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TTDSG ein.

Ohne Ihre Einwilligung wird die Karte nicht geladen. Stattdessen wird ein statisches Platzhalterbild oder ein Hinweis auf die fehlende Einwilligung angezeigt. Ihre Einwilligung erteilen Sie über unser Cookie-Consent-Banner.

Beim Laden der Karte werden insbesondere IP-Adresse und ggf. Standortdaten der Nutzer an Google übertragen. Standortdaten werden nur mit ausdrücklicher Geräteberechtigung erhoben.

Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standarddatenschutzklauseln gemäß A