Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist die Bauerntüte GmbH, Maarweg 233, 50825 Köln, Deutschland, vertreten durch den Geschäftsführer Manuel Perera.

Telefon: [Telefonnummer wird ergänzt]. E-Mail: [E-Mail-Adresse wird ergänzt].

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte können Sie sich an diese Adresse wenden.

2. Worum es geht

Der Shop richtet sich an Unternehmen. Personenbezogene Daten betreffen deshalb vor allem die Ansprechpartner und Nutzer der Firmen, Mitarbeitende, deren Namen eine Firma für Jubiläen oder Gratulationen einträgt, und Mitarbeitende, die mit Erlaubnis ihrer Firma privat bestellen.

Wir verarbeiten nur Daten, die wir für den Betrieb des Shops, für die Abwicklung von Bestellungen oder aufgrund gesetzlicher Pflichten benötigen. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

3. Hosting und Server-Logs

Der Shop läuft auf einem Server der Hostinger International Ltd. Das Rechenzentrum befindet sich in Düsseldorf, Deutschland. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Bei jedem Aufruf des Shops erfasst der Server automatisch IP-Adresse, Datum und Uhrzeit, aufgerufene Seite und Browserkennung (Server-Logs). Wir speichern diese Daten 14 Tage zur Sicherheit des Betriebs, etwa zur Abwehr von Angriffen und zur Fehleranalyse, und löschen sie danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

Zusätzlich zählen wir, wie oft welche Seite an welchem Tag aufgerufen wurde. Gespeichert werden nur Datum, Seitenadresse und Anzahl, keine IP-Adresse, keine Cookies und keine Kennung, mit der sich Besuche einer Person zuordnen ließen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, das Angebot zu verbessern).

4. Cookies

Der Shop verwendet ausschließlich technisch notwendige Cookies: ein Cookie für die Anmeldesitzung und das Warenkorb-Cookie „wk“, das 90 Tage gültig ist.

Wir setzen keine Tracking- oder Werbe-Cookies ein und nutzen keine Analyse-Dienste.

Die Speicherung dieser Cookies ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die weitere Verarbeitung beruht auf Art. 6 Abs. 1 lit. b und lit. f DSGVO. Eine Einwilligung ist dafür nicht erforderlich.

Sie können Cookies in Ihrem Browser blockieren oder löschen. Anmeldung und Warenkorb funktionieren dann nicht.

5. Schriften und Produktbilder

Die Schriften des Shops liegen auf unserem eigenen Server. Es werden keine Schriften oder Dienste von Google nachgeladen, und es erfolgen keine Anfragen an Google.

Produktbilder laden wir von bauerntuete.de. Das ist eine eigene Domain der Bauerntüte GmbH. Beim Laden der Bilder verarbeitet der Server dieser Domain wie bei jedem Abruf Ihre IP-Adresse und die technischen Abrufdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung des Sortiments).

6. Firmenkonto und Zugänge

Für das Firmenkonto verarbeiten wir Firmendaten und Ansprechpartnerdaten, die Umsatzsteuer-Identifikationsnummer, Lieferadressen sowie die Zugänge der Nutzer mit E-Mail-Adresse, Passwort und Rolle (Verwalter, Besteller, Mitarbeiter). Passwörter speichern wir nur als Hash, nicht im Klartext.

Zweck ist die Einrichtung und Verwaltung des Kontos und die Durchführung der Verträge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit die Daten weiterer Nutzer einer Firma betreffen, die nicht selbst Vertragspartei sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwicklung der Geschäftsbeziehung mit der Firma).

Wir speichern die Daten, solange das Konto besteht. Nach der Löschung des Kontos löschen wir sie, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Die Angabe der Konto- und Bestelldaten ist für den Vertragsschluss erforderlich. Ohne sie können wir keine Bestellung abwickeln.

7. Bestellungen, Dauerbestellungen und Rechnungen

Für Bestellungen verarbeiten wir Bestelldaten (Positionen, Preise, Liefertag, Lieferadresse), bei Dauerbestellungen Turnus und Positionen, Rechnungsdaten und Ihre Kontaktdaten für Rückfragen zur Lieferung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bestelldaten und Rechnungen bewahren wir nach den Fristen aus § 147 Abgabenordnung und § 257 Handelsgesetzbuch auf, bis zu zehn Jahre (Art. 6 Abs. 1 lit. c DSGVO). Eine Dauerbestellung speichern wir, bis sie beendet wird.

8. Zahlung per SEPA-Lastschrift

Wenn Sie per SEPA-Lastschrift zahlen, speichern wir Kontoinhaber, IBAN und Mandatsreferenz, um die Rechnungsbeträge einzuziehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir speichern diese Daten, solange das Mandat besteht, und danach nur, soweit gesetzliche Aufbewahrungspflichten es verlangen.

9. Jubiläen und Gratulation

Im Konto können Firmen Namen und Daten eigener Mitarbeitender eintragen (Geburtstag, Jubiläum, Grußtext). Wir erinnern dann an den Anlass und legen der Bestellung eine Grußkarte bei.

Die Firma ist dafür verantwortlich, dass sie diese Daten eintragen und an uns weitergeben darf. Dazu gehört, dass sie die betroffenen Mitarbeitenden informiert und, soweit erforderlich, deren Einwilligung einholt. Wir verarbeiten die Daten nur für die Erinnerung und für die Grußkarte der Bestellung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber der Firma und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, der Firma diesen Dienst zu erbringen). Die Daten stammen von der Firma. Wir löschen sie, wenn die Firma den Eintrag löscht oder das Konto gelöscht wird. Betroffene Mitarbeitende können sich an uns oder an ihren Arbeitgeber wenden und ihre Rechte nach Abschnitt 16 geltend machen.

10. KI-Einkaufshelfer

Der Shop bietet einen KI-Einkaufshelfer, der aus einem frei formulierten Text einen Warenkorbvorschlag erzeugt. Die Nutzung ist freiwillig. Der Shop lässt sich vollständig ohne den Helfer nutzen.

Wenn Sie den Helfer nutzen, übermitteln wir den eingegebenen Freitext und den Firmennamen an Anthropic, PBC, San Francisco, USA (EU-Niederlassung: Anthropic Ireland Ltd.), damit dort der Warenkorbvorschlag erzeugt wird. Konto- und Bestelldaten übermitteln wir nicht. Bitte geben Sie im Freitext keine personenbezogenen Daten Dritter und keine sensiblen Daten ein.

Anthropic verwendet die übermittelten Daten nicht zum Training seiner Modelle. Die Übermittlung in die USA stützen wir auf das EU-US Data Privacy Framework und auf Standardvertragsklauseln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie den Helfer für Ihre Bestellung nutzen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Bestellung zu erleichtern).

11. Schnittstelle (API und MCP)

Wenn eine Firma im Konto einen API-Schlüssel erzeugt, speichern wir den Schlüssel nur als Hash. Aufrufe der Schnittstelle (REST-API und MCP-Server) werden protokolliert, damit wir Missbrauch erkennen und Bestellungen nachvollziehen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Wir löschen die Protokolle, wenn sie für diese Zwecke nicht mehr erforderlich sind. Die Nutzung der Schnittstelle ist freiwillig.

12. Kita-Anfragen ohne Kundenkonto

Über die Seite /kita können Kitas und Träger ohne Kundenkonto ein Angebot anfragen. Wir verarbeiten dabei den Namen der Einrichtung, Postleitzahl und E-Mail-Adresse sowie, wenn angegeben, Ansprechperson, Telefonnummer, Kinder- oder Portionszahl, Warengruppen, Liefertage, besondere Anforderungen, den beschriebenen Bedarf, ausgewählte Rezepte und mitgeschickte Dateien wie eine Einkaufsliste. Daten einzelner Kinder fragen wir nicht ab; bitte geben Sie keine an.

Zweck ist die Beantwortung der Anfrage und die Vorbereitung eines Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Sie erhalten eine Eingangsbestätigung per E-Mail, intern geht eine Benachrichtigung an unser Team.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je Anschluss. Dafür speichern wir einen nicht umkehrbaren Prüfwert der IP-Adresse, nicht die Adresse selbst. Enthält die Einstiegsadresse Angaben zur Herkunft, etwa Ausgabe und Seite unseres Magazins, speichern wir diese mit der Anfrage, um zu sehen, welche Hefte und Aktionen genutzt werden. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO.

Anfragen und Dateien sind nur für die Mitarbeitenden zugänglich, die sie bearbeiten. Wir löschen sie automatisch zwei Jahre nach der letzten Bearbeitung.

13. Empfänger und Übermittlung in Drittländer

Wir geben Daten nur weiter, soweit das zur Vertragsdurchführung erforderlich ist, eine Rechtspflicht besteht oder ein Dienstleister weisungsgebunden für uns arbeitet.

Empfänger sind die Hostinger International Ltd. als Hosting-Anbieter, bei Nutzung des KI-Einkaufshelfers Anthropic, PBC beziehungsweise Anthropic Ireland Ltd., im Lastschriftverfahren unsere Bank, Stellen, die uns bei Buchhaltung und Steuern unterstützen, sowie Behörden und die Öko-Kontrollstelle, soweit das gesetzlich vorgeschrieben ist.

Eine Übermittlung in Länder außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet nur beim KI-Einkaufshelfer statt (USA, siehe Abschnitt 10).

14. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck der Verarbeitung entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Im Einzelnen: Server-Logs nach 14 Tagen, das Warenkorb-Cookie nach 90 Tagen, Kontodaten mit der Löschung des Kontos, Bestelldaten und Rechnungen nach den gesetzlichen Fristen (bis zu zehn Jahre), Protokolle der Schnittstelle, sobald sie nicht mehr erforderlich sind, Kita-Anfragen samt Dateien zwei Jahre nach der letzten Bearbeitung.

15. Keine automatisierten Entscheidungen

Eine ausschließlich automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

Der KI-Einkaufshelfer macht nur Vorschläge. Ob und was bestellt wird, entscheidet der Mensch, der die Bestellung aufgibt.

16. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20).

Sie können der Verarbeitung Ihrer Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die in Abschnitt 1 genannte Adresse.

17. Beschwerderecht und Änderungen

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, https://www.ldi.nrw.de.

Wir passen diese Erklärung an, wenn sich der Shop oder die Rechtslage ändert. Es gilt die Fassung, die zum Zeitpunkt Ihres Besuchs veröffentlicht ist.