Zum Hauptinhalt springen

Datenschutz

Datenschutzerklärung

1. Verantwortlicher

Happy Coffee GmbH
Theodor-Heuss-Str. 15
53562 St. Katharinen

E-Mail: support@happycoffee.org
Chat (Klick auf Kontakt oder Chat-Icon)

Geschäftsführung: Christian Häfner
Handelsregister: HRB 25042, Amtsgericht Montabaur

2. Überblick

Wir nehmen den Schutz deiner persönlichen Daten sehr ernst. In dieser Datenschutzerklärung erklären wir, welche Daten wir verarbeiten, zu welchen Zwecken wir das tun und welche Rechte du hast.

Unsere gesamte Infrastruktur wird bei europäischen Anbietern betrieben. Deine Daten verlassen die EU nicht.

3. Hosting und technische Infrastruktur

Hetzner Online GmbH (Deutschland)

Unsere Server, Datenbanken und Dateispeicher werden bei Hetzner betrieben. Alle Daten befinden sich im Hetzner Rechenzentrum in Falkenstein, Deutschland. Hetzner verarbeitet technisch notwendige Daten wie IP-Adressen in Server-Logs, um den sicheren Betrieb der Systeme zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem und stabilem Betrieb).

Auftragsverarbeitung: Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Datenschutzhinweise: https://www.hetzner.com/rechtliches/datenschutz

Bunny CDN (BunnyWay d.o.o., Slowenien)

Wir nutzen ein Content Delivery Network, um Inhalte performant auszuliefern. Dabei wird deine IP-Adresse verarbeitet, um den nächstgelegenen Server zu bestimmen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an performanter Bereitstellung).

Auftragsverarbeitung: Mit BunnyWay besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

4. Kundenkonto und Bestellungen

Bei Registrierung und Bestellungen verarbeiten wir u. a. folgende Daten:

  • Name, Adresse
  • E-Mail-Adresse, ggf. Telefonnummer
  • Bestell- und Zahlungsinformationen
  • Kommunikationseinstellungen
  • Login-Daten und Präferenzen

Rechtsgrundlagen:

  • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrugsprävention und Kundenpflege)
  • Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung bei steuerrechtlich relevanten Daten)

Speicherdauer

  • Rechnungen und buchhalterische Unterlagen: 10 Jahre gemäß § 147 AO
  • Sonstige Bestelldaten: Löschung nach 2 Jahren (gesetzliche Gewährleistung), sofern nicht länger erforderlich
  • Kundenkonto-Daten: Löschung nach 3 Jahren Inaktivität (mit vorheriger Benachrichtigung per E-Mail)
  • Bei Einwilligung: Speicherung bis Widerruf
  • Bei berechtigtem Interesse: max. 5 Jahre Inaktivität, sofern kein Widerspruch erfolgt

5. Datenqualität und E-Mail-Validierung

Um die Qualität unserer Kundendaten zu gewährleisten und fehlerhafte E-Mail-Adressen zu vermeiden, nutzen wir den E-Mail-Validierungsservice der Byteplant GmbH (Deutschland).

Verarbeitete Daten:

  • E-Mail-Adressen neuer Kunden zur Validierung der Syntax und Erreichbarkeit
  • Bei der Adress-Eingabe: Teilweise Adressdaten zur Autovervollständigung (ohne Personenbezug)

Zeitpunkt: Die E-Mail-Validierung erfolgt einmalig bei Neuregistrierung oder Änderung der E-Mail-Adresse, nicht bei jedem Login.

Zweck:

  • Sicherstellung der Erreichbarkeit für Bestellbestätigungen und wichtige Mitteilungen
  • Vermeidung von Tippfehlern bei der Registrierung
  • Reduzierung von Zustellproblemen

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an korrekter Kundenkommunikation und Vermeidung von Zustellfehlern)

Auftragsverarbeitung: Mit Byteplant besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Datenübermittlung: Die E-Mail-Adresse wird zur Validierung an Byteplant übermittelt. Byteplant speichert keine personenbezogenen Daten dauerhaft.

Weitere Informationen: https://www.byteplant.com/

6. Zahlungsabwicklung

Wir nutzen Mollie B.V. (Niederlande) für die Zahlungsabwicklung. Je nach Zahlungsart werden unterschiedliche Daten übertragen (z. B. Karten- oder Kontoinformationen).

Verarbeitete Daten:

  • Name, E-Mail-Adresse
  • Rechnungs- und ggf. Lieferadresse
  • Bestellbetrag und Bestellnummer
  • Je nach Zahlungsart: Zahlungsmitteldaten (z.B. IBAN, Kreditkartennummer)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Verantwortlichkeit: Mollie ist für die Zahlungsabwicklung eigenständiger Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO.

Datenschutzhinweise von Mollie: https://www.mollie.com/de/privacy

7. Versand

Wir übermitteln Name und Lieferadresse an unsere Versanddienstleister:

  • DHL (Deutsche Post AG, Deutschland)
  • UPS (United Parcel Service Deutschland S.à r.l. & Co. OHG, Deutschland)

Die Daten werden ausschließlich zur Auslieferung deiner Bestellung verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Datenschutzhinweise:

8. E-Mail-Kommunikation und Newsletter

Für den Versand von E-Mails nutzen wir den Dienst Brevo (Sendinblue GmbH, Deutschland/Frankreich). Brevo ist ein europäischer E-Mail-Dienstleister mit Sitz in der EU.

Transaktions-E-Mails (Bestellbestätigungen, etc.)

Wir speichern E-Mails zur Bearbeitung deiner Anfragen und zur Dokumentation unserer Geschäftsbeziehung.

Verarbeitete Daten durch Brevo:

  • E-Mail-Adresse
  • Name (sofern angegeben)
  • Technische Metadaten (Zustellstatus, Öffnungs- und Klickverhalten bei Marketing-E-Mails)

Rechtsgrundlagen:

  • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Qualitätssicherung)

Auftragsverarbeitung: Mit Brevo besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Speicherdauer: 2 Jahre (für Rückfragen und Qualitätskontrolle), sofern nicht gesetzliche Aufbewahrungspflichten länger greifen.

Datenschutzhinweise: https://www.brevo.com/de/legal/privacypolicy/

KI-gestützte E-Mail-Verarbeitung

Zur Bearbeitung eingehender E-Mail-Anfragen (z. B. Kategorisierung, Entwurf von Antwortvorschlägen) setzen wir KI-Sprachmodelle ein. Die Verarbeitung erfolgt über die API von Nebius B.V. (Niederlande) — einem europäischen Unternehmen mit Sitz in Amsterdam. Die Datenverarbeitung erfolgt ausschließlich auf Servern innerhalb der EU.

Verarbeitete Daten durch Nebius:

  • Inhalt der E-Mail-Nachricht
  • Ggf. Bestellnummer oder Kundennummer (sofern für die Bearbeitung erforderlich)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizientem Kundenservice und schneller Bearbeitung von Anfragen)

Auftragsverarbeitung: Mit Nebius B.V. besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Weitere Informationen: https://docs.studio.nebius.com/legal/dpa

Hinweis: E-Mail-Antworten können automatisch von der KI erstellt und versendet werden - und werden als solche gekennzeichnet. Es handelt sich dabei um automatisierte Verarbeitung im Sinne des Art. 22 DSGVO, jedoch ohne rechtliche Wirkung oder ähnlich erhebliche Beeinträchtigung — die Antworten dienen ausschließlich dem Kundenservice. Du kannst jederzeit eine Bearbeitung durch einen Mitarbeiter anfordern, indem du dies in deiner Anfrage angibst.

Marketing-E-Mails und Newsletter

Mit deiner Einwilligung senden wir dir Marketing-E-Mails und Newsletter mit Informationen zu unseren Produkten, Angeboten und Neuigkeiten. Der E-Mail-Versand erfolgt über Brevo.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)

Anmeldung: Du kannst den Empfang von Marketing-E-Mails in den Kommunikationseinstellungen deines Kundenkontos aktivieren. Marketing-E-Mails sind standardmäßig deaktiviert und erfordern deine aktive Zustimmung.

Widerruf: Du kannst deine Einwilligung jederzeit widerrufen durch:

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Speicherdauer: Bis zum Widerruf der Einwilligung.

Wichtig: Bestellbestätigungen und andere vertragsrelevante E-Mails (z.B. Versandbenachrichtigungen) sind von dieser Einstellung unabhängig und werden auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) versendet. Diese können nicht deaktiviert werden, da sie für die ordnungsgemäße Abwicklung deiner Bestellung erforderlich sind.

9. Chat-Support

Wahlmöglichkeit: KI oder Mensch

Du kannst in unserem Chat jederzeit wählen, ob deine Nachricht von einer KI oder von einem Mitarbeiter beantwortet werden soll. Die Auswahl erfolgt über einen Umschalter („KI" / „Mensch") in der Chat-Oberfläche. Wenn du „Mensch" wählst, wird deine Nachricht nicht an externe KI-Dienstleister übermittelt, sondern ausschließlich von einem Mitarbeiter bearbeitet.

KI-gestützter Chat

Wenn du den KI-Modus wählst, setzen wir KI-Sprachmodelle zur Beantwortung deiner Anfragen ein. Die Verarbeitung erfolgt über

  • Nebius B.V. (Niederlande): Für die eigentliche Beantwortung von Chat-Anfragen nutzen wir die API von Nebius. Nebius ist ein europäisches Unternehmen mit Sitz in Amsterdam. Die Datenverarbeitung erfolgt ausschließlich auf Servern innerhalb der EU. Nebius wird außerdem für die semantische Suche (Embedding-Berechnung) in unserer Wissensdatenbank eingesetzt.

Antworten im KI-Modus werden automatisch erstellt und angezeigt. Es handelt sich dabei um automatisierte Verarbeitung, jedoch ohne rechtliche Wirkung oder ähnlich erhebliche Beeinträchtigung im Sinne des Art. 22 DSGVO — die Antworten dienen ausschließlich dem Kundenservice. Du kannst jederzeit zum Modus „Mensch" wechseln.

Verarbeitete Daten:

  • Chat-Nachrichten und technische Metadaten (wie die Seite, auf der du dich befindest)
  • Name und Email zur Kontaktaufnahme

Verarbeitete Daten durch Nebius:

  • Inhalt der Chat-Nachricht inkl. Name (ohne Email)
  • Ggf. Bestellnummer oder Kundennummer (sofern für die Bearbeitung erforderlich)
  • Suchanfragen zur semantischen Suche in der Wissensdatenbank

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kundenservice) und lit. f DSGVO (berechtigtes Interesse an effizientem Support)

Auftragsverarbeitung: Mit Nebius B.V. besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Weitere Informationen: https://docs.studio.nebius.com/legal/dpa

Speicherdauer: max. 1 Jahr zur Qualitätssicherung. Chat-Verläufe werden nach 12 Monaten automatisch gelöscht.

10. Produktdiskussionen und Q&A-Benachrichtigungen

Auf unseren Geräte-Detailseiten (Equipment-PDPs) sowie unter Blogartikeln und Produktseiten kannst du Fragen stellen, Antworten verfassen und einzelnen Diskussionen folgen ("Folgen"-Button). Über E-Mail-Benachrichtigungen halten wir dich auf dem Laufenden, wenn neue Beiträge in einer von dir verfolgten Diskussion erscheinen.

Verarbeitete Daten:

  • E-Mail-Adresse und Anzeigename (display_name) deines Happy-Coffee-Kontos
  • Kommentartext, Antworten, Fragen und zugehörige Metadaten (Zeitstempel, Diskussions-ID, Eltern-Kommentar)
  • "Folgen"-Status pro Diskussion (conversation_participants-Eintrag)
  • Lesestatus pro Diskussion (unread_count, last_read_at)
  • Benachrichtigungspräferenz auf Kontoebene (comment_replies)

Zeitpunkt der Einwilligung: Die Einwilligung in E-Mail-Benachrichtigungen wird automatisch durch Klick auf "Folgen" einer Diskussion erteilt. Mit dem Klick stimmst du zu, dass wir dich per E-Mail über neue Antworten in dieser Diskussion benachrichtigen, bis du den "Folgen"-Status wieder aufhebst oder die Benachrichtigungen in deinem Konto deaktivierst.

Zweck:

  • Ermöglichung der Teilnahme an Q&A und Produktdiskussionen
  • Benachrichtigung über neue Antworten in von dir verfolgten Diskussionen
  • Förderung des Austauschs zwischen Kunden, Käufer:innen und unserem Team

Rechtsgrundlage:

  • Q&A- und Kommentarfunktion: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (berechtigtes Interesse an Kundenkommunikation)
  • E-Mail-Benachrichtigungen für gefolgte Diskussionen: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Klick auf "Folgen")

Widerruf: Du kannst die Benachrichtigungen jederzeit, ohne Angabe von Gründen und ohne Kosten widerrufen durch:

  • Erneuten Klick auf den "Folgen"-Button (Status wechselt zu "Folge ich" → klick wieder zu "Folgen")
  • Anpassung der Einstellung comment_replies in deinem Kundenkonto unter /account/settings
  • E-Mail an support@happycoffee.org

Speicherdauer:

  • Kommentare und Antworten: Solange dein Kundenkonto besteht oder bis zur Löschung des Beitrags
  • "Folgen"-Einträge: Bis zum Klick auf "Folge ich" zum Aufheben oder bis zur Löschung deines Kundenkontos
  • Benachrichtigungspräferenzen: Bis zur Deaktivierung oder Löschung deines Kundenkontos

11. Wieder-Verfügbar-Alerts (Produkt-Erinnerung)

Wenn ein auf unseren Equipment-Detailseiten gezeigtes Gerät aktuell bei keinem unserer Affiliate-Händler verfügbar ist, kannst du einen "Wieder-Verfügbar-Alert" abonnieren. Du erhältst dann eine einmalige E-Mail, sobald wieder ein Angebot für dieses Gerät in unserem Preisvergleich auftaucht.

Verarbeitete Daten:

  • E-Mail-Adresse
  • Verknüpftes Gerät (equipment_id)
  • Zeitpunkt der Einwilligung (consent_at)
  • IP-Adresse zum Zeitpunkt der Einwilligung (consent_ip) — als Nachweis im Sinne der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO
  • Version des akzeptierten Einwilligungstextes (consent_locale, z.B. consent_back_in_stock_v1:de-DE)
  • Status der Benachrichtigung (notified_at, unsubscribed_at)

Zeitpunkt und Form der Einwilligung: Die Einwilligung erfolgt im Double-Opt-in-Verfahren:

  1. Du gibst auf der Geräte-Detailseite deine E-Mail-Adresse ein und sendest das Formular ab.
  2. Du erhältst eine Bestätigungs-E-Mail mit einem Link.
  3. Klick auf den Link bestätigt deine E-Mail-Adresse und führt dich zu einer Einwilligungsseite.
  4. Auf der Einwilligungsseite setzt du aktiv ein Häkchen, mit dem du der Benachrichtigung zustimmst. Erst dann wird der Alert aktiviert.

Zweck: Einmalige E-Mail-Benachrichtigung, sobald das von dir markierte Gerät wieder bei einem Händler in unserem Preisvergleich verfügbar ist. Es handelt sich nicht um einen wiederkehrenden Newsletter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 7 Abs. 2 Nr. 3 UWG (Wirksamkeit der Einwilligung in elektronische Werbung).

Widerruf: Du kannst die Einwilligung jederzeit, ohne Angabe von Gründen und ohne Kosten widerrufen durch:

  • Klick auf den "Hier abmelden"-Link in jeder Benachrichtigungs-E-Mail (One-Click-Unsubscribe)
  • Manuelle Deaktivierung in deinem Kundenkonto unter /account/alerts
  • E-Mail an support@happycoffee.org

Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Speicherdauer:

  • Aktive Alerts: Bis zur einmaligen Auslösung der Benachrichtigung oder bis zur Abmeldung
  • Bereits ausgelöste oder abgemeldete Alerts: 24 Monate nach notified_at bzw. unsubscribed_at für Nachweiszwecke (Art. 7 Abs. 1 DSGVO Rechenschaftspflicht), anschließend Löschung

Empfänger: Versand der E-Mails erfolgt über unsere Auftragsverarbeiter (siehe Abschnitt "Auftragsverarbeiter (Art. 28 DSGVO)"): n8n.io GmbH (Workflow-Automatisierung) und unseren SMTP-Anbieter. Beide verarbeiten Daten ausschließlich nach unseren Weisungen innerhalb der EU.

12. KI-gestützte Funktionen

Wir setzen KI-Modelle ein, z. B. für:

  • Produktempfehlungen
  • Automatisierte Chat-Antworten
  • Suchfunktionen
  • Inhaltsmoderation
  • KI-gestützte E-Mail-Bearbeitung (siehe Abschnitt 8)

Externer KI-Dienstleister (EU)

Für spezialisierte Aufgaben wie Chat-Antworten, E-Mail-Bearbeitung und semantische Suche nutzen wir die API von Nebius B.V. (Niederlande).

  • Nebius ist ein europäisches Unternehmen mit Sitz in Amsterdam, Niederlande (Schiphol Boulevard 165, 1118 BG Schiphol).
  • Die Datenverarbeitung erfolgt ausschließlich auf Servern innerhalb der EU.
  • Nebius verarbeitet Chat- und E-Mail-Anfragen (einschließlich ggf. enthaltener personenbezogener Daten wie Bestellnummern oder Kundennummern) sowie Suchanfragen für die semantische Suche in unserer Wissensdatenbank.

Es erfolgt KEINE Übermittlung personenbezogener Daten an KI-Anbieter außerhalb der EU (wie OpenAI, Google, etc.).

Automatisierte Einzelentscheidungen: Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung gemäß Art. 22 DSGVO. Produktempfehlungen sind unverbindliche Vorschläge.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an verbesserter Nutzerfreundlichkeit)

Auftragsverarbeitung: Mit Nebius B.V. besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Weitere Informationen: https://docs.studio.nebius.com/legal/dpa

13. Cookies

Wir setzen ausschließlich technisch notwendige und funktionale Cookies ein. Funktionale Cookies (siehe _refcode, _affcode und _forcode in der Tabelle unten) dienen der Zuordnung von Empfehlungs-, Partner- und Kampagnenlinks. Sie werden ausschließlich gesetzt, nachdem du selbst einen entsprechenden Link angeklickt hast, und sind erforderlich, um die damit verbundene Funktion (Empfehlungsrabatt, Partner-Provision bzw. Aktionsrabatt) bereitzustellen – die Speicherung erfolgt daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne gesonderte Einwilligung. In diesen Attributions-Cookies werden ausschließlich Codes (Empfehlungs-, Partner- bzw. Kampagnen-Schlüssel), aber KEINE personenbezogenen Daten gespeichert. Es werden KEINE Tracking-, Analyse- oder Marketing-Cookies (z.B. von Google, Meta, etc.) verwendet.

Eingesetzte Cookies

Cookie-Name Zweck Laufzeit Sicherheit
better_auth.session_token Authentifizierung (Login-Status, Sitzungsverwaltung) 7 Tage HttpOnly, Secure, SameSite=Lax
better_auth.session_token_cache Performance-Cache für Sitzungsprüfung 5 Minuten HttpOnly, Secure, SameSite=Lax
cart_session_id Warenkorb-Zuordnung für Gast-Nutzer 30 Tage HttpOnly, Secure, SameSite=Lax
cart Warenkorb-Daten für Gast-Nutzer 7 Tage Secure, SameSite=Lax
guest_session_id Gast-Sitzung (anonyme Nutzung) Browser-Sitzung HttpOnly, Secure, SameSite=Lax
cart_payment_method Bevorzugte Zahlungsmethode (Gast) 7 Tage HttpOnly, Secure, SameSite=Lax
payment_origin Rücksprung-URL während Zahlungsvorgang 30 Minuten HttpOnly, Secure, SameSite=Lax
mollie_oauth_state CSRF-Schutz bei Mollie-Anbindung 10 Minuten HttpOnly, Secure, SameSite=Lax
benefit_invitation Benefit-Einladungsdaten während Registrierung 24 Stunden HttpOnly, Secure, SameSite=Lax
payment_method_added UI-Status nach Zahlungsmittel-Hinzufügung 5 Minuten Secure, SameSite=Lax
pending_payment_id Verknüpft eine laufende Zahlungsmittel-Hinterlegung mit deiner Sitzung während der Mollie-Weiterleitung 30 Minuten HttpOnly, Secure, SameSite=Lax
open_payment_dialog UI-Status: öffnet nach Rückkehr aus der Zahlungsmittel-Hinterlegung den passenden Dialog 5 Minuten Secure, SameSite=Lax
oauth_callback_url Rücksprung-Ziel während einer OAuth-Anbindung (z. B. Mollie) 10 Minuten HttpOnly, Secure, SameSite=Lax
clear_cart Kurzlebiges Signal, den Warenkorb nach erfolgreicher Bestellung zu leeren 1 Minute SameSite=Lax
_trk_skip Kurzlebiger technischer Helfer, der bei serverseitigen Weiterleitungen eine doppelte Zählung desselben Seitenaufrufs verhindert 10 Sekunden HttpOnly, SameSite=Lax
analytics_optout Opt-out für serverseitige Webanalyse (wird nur gesetzt, wenn du der Analyse widersprichst) 1 Jahr HttpOnly, Secure, SameSite=Lax
hc_return_to Speichert die Rücksprungseite während des Anmelde-/Registrierungsvorgangs 30 Minuten Secure, SameSite=Lax
_refcode Persönliche Empfehlungslink-Zuordnung (5 % Rabatt für den geworbenen Neukunden + Guthaben für den Werber). Anbieter: Happy Coffee. Rechtsgrundlage für die Speicherung: § 25 Abs. 2 Nr. 2 TDDDG (vom Nutzer selbst durch Klick auf den Empfehlungslink initiierte Funktion); für die nachgelagerte Verarbeitung: Art. 6 Abs. 1 lit. b/f DSGVO 30 Tage HttpOnly, Secure, SameSite=Lax
_affcode Affiliate-Partner-Zuordnung (Partner-Programm). Speichert den Partner-Code aus einem ?aff=-Link, damit eine spätere Erstbestellung dem werbenden Partner zugeordnet werden kann. Anbieter: Happy Coffee (Provisionsabwicklung über Partnero, siehe Abschnitt zum Partnerprogramm). Es werden dabei KEINE personenbezogenen Daten im Cookie gespeichert (nur der Partner-Code). Rechtsgrundlage für die Speicherung: § 25 Abs. 2 Nr. 2 TDDDG (vom Nutzer selbst durch Klick auf den Partnerlink initiierte Funktion); für die nachgelagerte Verarbeitung: Art. 6 Abs. 1 lit. b/f DSGVO 30 Tage HttpOnly, Secure, SameSite=Lax
_forcode Kampagnen-Zuordnung. Speichert den Kampagnen-Schlüssel aus einem ?for=-Link, damit ein dazugehöriger Aktionsrabatt im Warenkorb erhalten bleibt, auch wenn das Produkt von einer anderen Seite hinzugefügt wird. Anbieter: Happy Coffee. Rechtsgrundlage für die Speicherung: § 25 Abs. 2 Nr. 2 TDDDG (vom Nutzer selbst durch Klick auf den Kampagnenlink initiierte Funktion); für die nachgelagerte Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO 30 Tage HttpOnly, Secure, SameSite=Lax
_credit_optin Speichert deine Wahl, ob vorhandenes Empfehlungs-Guthaben auf eine Bestellung angerechnet werden soll. Wird nur gesetzt, wenn du diese Einstellung selbst änderst. Anbieter: Happy Coffee. Rechtsgrundlage für die Speicherung: § 25 Abs. 2 Nr. 2 TDDDG (vom Nutzer selbst gewählte Einstellung) 1 Jahr Secure, SameSite=Lax
bunny_shield_id_* Bot- und DDoS-Schutz auf CDN-Ebene. Anbieter: Bunny.net (BunnyWay d.o.o., Slowenien, siehe Abschnitt Hosting). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit) Sitzung HttpOnly, Secure

Funktionale Zwecke

  • Login-Verwaltung: Erhalt des Login-Status während der Nutzung (better_auth.session_token)
  • Warenkorb: Speicherung der Produkte im Warenkorb (auch als Gast)
  • Sitzungsverwaltung: Performance-Optimierung durch Sitzungs-Caching
  • Zahlungsabwicklung: Sichere Weiterleitung bei externen Zahlungsvorgängen
  • Benefit-Programme: Übertragung von Einladungsdaten bei der Registrierung

Sicherheitsmerkmale

Alle Cookies verwenden modernste Sicherheitsstandards:

  • HttpOnly: Schutz vor Cross-Site-Scripting (XSS) Angriffen (wo technisch sinnvoll)
  • Secure: Übertragung nur über verschlüsselte HTTPS-Verbindung
  • SameSite=Lax: Schutz vor Cross-Site-Request-Forgery (CSRF) Angriffen

Rechtsgrundlagen

  • § 25 Abs. 2 Nr. 2 TDDDG – maßgeblich für die Speicherung auf deinem Endgerät: Alle eingesetzten Cookies sind entweder technisch zwingend erforderlich (Login, Warenkorb, Zahlung, Sicherheit) oder dienen einer von dir selbst initiierten Funktion (Klick auf einen Empfehlungs-, Partner- oder Kampagnenlink); eine Einwilligung ist daher nicht erforderlich.
  • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f DSGVO (berechtigtes Interesse) – maßgeblich für die anschließende Verarbeitung der mit diesen Cookies verbundenen Daten.

Wichtiger Hinweis

Wir setzen ausschließlich technisch notwendige und funktional erforderliche Cookies ein. Für die Speicherung aller dieser Cookies gilt gemäß § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligungspflicht:

  • Technisch zwingend notwendige Cookies (Login, Warenkorb, Sitzung, Zahlungsabwicklung, Sicherheit) sind für den Betrieb der von dir aufgerufenen Funktionen unerlässlich.
  • Attributions-Cookies (_refcode, _affcode, _forcode) werden ausschließlich dann gesetzt, wenn du selbst aktiv einen Empfehlungs-, Partner- oder Kampagnenlink anklickst. Sie sind erforderlich, um die von dir damit angeforderte Funktion (Empfehlungsrabatt, Partner-Provision bzw. Aktionsrabatt) korrekt bereitzustellen, und stellen damit ebenfalls eine vom Nutzer selbst initiierte, unbedingt erforderliche Funktion im Sinne des § 25 Abs. 2 Nr. 2 TDDDG dar. Sie enthalten ausschließlich Codes, keine personenbezogenen Daten, und werden nicht für werbliches Tracking über Drittanbieter (Google, Meta o. Ä.) eingesetzt.

Eine separate Cookie-Einwilligung (Cookie-Banner) ist daher nicht erforderlich. Möchtest du keine Attribution, klicke die jeweiligen Links nicht an bzw. lösche die genannten Cookies in deinem Browser – die Kernfunktionen des Shops bleiben davon unberührt.

14. Webanalyse

13.1 Umami (clientseitig)

Wir nutzen Umami, eine datenschutzfreundliche, quelloffene Webanalysesoftware (umami.is), um die Nutzung unserer Website statistisch auszuwerten und unser Angebot zu verbessern.

Selbst-Hosting

Umami wird von uns selbst gehostet und läuft auf unseren eigenen Servern bei Hetzner in Falkenstein, Deutschland. Eine Weitergabe der Daten an Dritte findet nicht statt. Ein Drittlandtransfer erfolgt nicht.

Keine Cookies

Umami setzt keine Cookies und greift nicht aktiv auf Informationen auf deinem Endgerät zu. Ein geräte- oder websiteübergreifendes Tracking findet nicht statt.

Verarbeitete Daten

Bei jedem Seitenaufruf werden folgende Daten verarbeitet:

  • Aufgerufene Seite (URL) und Seitentitel
  • Referrer-URL (vorherige Seite)
  • Browsertyp und -version
  • Betriebssystem
  • Gerätetyp (Desktop, Tablet, Mobil)
  • Bildschirmauflösung
  • Spracheinstellung
  • Ungefährer Standort (Land, Region, Stadt — ermittelt aus der IP-Adresse)

IP-Adresse

Deine IP-Adresse wird nicht gespeichert. Sie wird ausschließlich zur Ermittlung des ungefähren Standorts verwendet und anschließend verworfen. Zur Unterscheidung von Besuchern wird ein pseudonymisierter Hash-Wert gebildet, der aus IP-Adresse, User-Agent und einem regelmäßig wechselnden Schlüssel besteht. Dieser Hash ermöglicht keine Rückverfolgung auf einzelne Personen und wird nicht dauerhaft gespeichert.

Zweck der Verarbeitung

  • Statistische Analyse der Websitenutzung
  • Optimierung und bedarfsgerechte Gestaltung unseres Webangebots
  • Erkennung technischer Probleme (z.B. bei bestimmten Browsern oder Geräten)

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse liegt in der Verbesserung und bedarfsgerechten Gestaltung unseres Webangebots.

Speicherdauer

Die Analysedaten werden für 24 Monate gespeichert und anschließend automatisch gelöscht.

Widerspruchsrecht

Du hast das Recht, der Verarbeitung jederzeit zu widersprechen (Art. 21 Abs. 1 DSGVO).

Widerspruchsmöglichkeiten:

  • Do-Not-Track: Umami berücksichtigt die Do-Not-Track-Einstellung deines Browsers. Wenn du diese Einstellung aktiviert hast, werden keine Analysedaten erhoben. Deaktiviere diese Einstellungen über den Link Webanalyse ganz unten im Footer auf dieser Seite.

Keine Einwilligung erforderlich

Da Umami keine Cookies setzt und nicht aktiv auf Informationen auf deinem Endgerät zugreift, ist gemäß § 25 Abs. 2 Nr. 2 TDDDG keine separate Einwilligung erforderlich. Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses.

13.2 Serverseitige Analyse

Ergänzend zu Umami analysieren wir die Nutzung unserer Website serverseitig, um die Wirksamkeit unserer Marketingmaßnahmen zu bewerten. Diese Analyse erfolgt ausschließlich serverseitig — es werden hierfür keine zusätzlichen Tracking-Skripte in deinem Browser ausgeführt und keine Analyse-Cookies gesetzt.

Wie funktioniert die Analyse?

Bei jedem Seitenaufruf verarbeitet unser Server automatisch Informationen, die dein Browser im Rahmen der normalen HTTP-Kommunikation übermittelt. Es wird hierfür kein zusätzlicher JavaScript-Code in deinem Browser geladen und es findet kein Zugriff auf dein Endgerät im Sinne des § 25 TDDDG statt.

Verarbeitete Daten

Datenpunkt Beschreibung
Seitenpfad Welche Seite aufgerufen wurde (z.B. /de-de/shop). Query-Parameter werden entfernt. Sensible Pfade (Kontobereiche, Login, Checkout) werden nicht erfasst.
Referrer Von welcher Website du kommst (nur Hostname und Pfad, keine Query-Parameter).
Kampagnenparameter UTM-Parameter aus der URL (utm_source, utm_medium, utm_campaign), sofern vorhanden — z.B. bei Klick auf einen Newsletter-Link.
Anzeigen-Herkunft Ob der Besuch über eine Anzeige erfolgte (ja/nein).
Gerätetyp Ob du ein Mobilgerät, Tablet oder Desktop nutzt (abgeleitet aus dem User-Agent-Header).
Browser Welchen Browser du nutzt (z.B. Chrome, Safari, Firefox). Der vollständige User-Agent-String wird nicht gespeichert.
Zeitstempel Wann der Seitenaufruf stattfand.

Pseudonymisierte Sitzungserkennung

Um Seitenaufrufe innerhalb eines einzelnen Besuchs zusammenzufassen (z.B. „ein Besucher hat die Shop-Seite und dann eine Produktseite angesehen"), bilden wir einen pseudonymisierten Session-Stamp. Dieser wird serverseitig aus deiner IP-Adresse und deinem User-Agent-Header mittels eines kryptografischen Verfahrens (HMAC-SHA-256) erzeugt.

Wichtig:

  • Deine IP-Adresse wird nicht gespeichert. Sie wird ausschließlich zur Berechnung des Session-Stamps verwendet und danach sofort verworfen.
  • Der Session-Stamp ist nicht rückverfolgbar — aus dem gespeicherten Wert kann die IP-Adresse nicht rekonstruiert werden.
  • Der kryptografische Schlüssel wechselt alle 30 Minuten. Nach Ablauf dieses Zeitfensters kann der gleiche Session-Stamp nicht erneut erzeugt werden.
  • Eine sitzungsübergreifende Nachverfolgung ist technisch ausgeschlossen. Besuchst du unsere Website erneut (auch nur 30 Minuten später), erhältst du einen komplett neuen, nicht verknüpfbaren Session-Stamp.

Was wir NICHT tun

  • Keine IP-Adressen gespeichert — sofort nach Hashing verworfen
  • Kein zusätzliches JavaScript-Tracking — keine Skripte, Tracking-Pixel oder Browser-Fingerprinting
  • Keine Profilbildung — keine Verknüpfung mit deinem Kundenkonto oder deiner Bestellhistorie
  • Keine Weitergabe an Dritte — keine Datenübermittlung an Google, Meta oder sonstige Plattformen

Trennung von Analyse- und Kundendaten

Die Analysedaten werden in einer separaten Datenbank (ClickHouse) gespeichert, die von unseren Kundendaten (Bestellungen, Konten, etc.) getrennt ist. Die Analysedatenbank enthält keine Kundennummern, Namen, E-Mail-Adressen oder sonstige direkt identifizierende Merkmale. Für die Optimierung unserer Marketingaktivitäten werden ausschließlich aggregierte Statistiken (z.B. Conversion-Raten pro Kampagne, meistbesuchte Seiten) ausgewertet und als zusammenfassende Bewertungen gespeichert. Eine Zusammenführung einzelner Analysedatensätze mit personenbezogenen Kundendaten findet nicht statt.

Zweck der Verarbeitung

  • Bewertung der Wirksamkeit von Marketingkampagnen (z.B. Newsletter, Social Media)
  • Analyse von Besucherströmen und Conversion-Pfaden
  • Optimierung unseres Content-Angebots

Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse liegt in der effizienten Nutzung unseres Marketingbudgets. Da ausschließlich pseudonymisierte Daten mit kurzer Lebensdauer (30 Minuten) verarbeitet werden, keine Profilbildung stattfindet und keine Daten an Dritte weitergegeben werden, überwiegt unser Interesse die Schutzinteressen der Betroffenen. Eine dokumentierte Interessenabwägung liegt vor.

§ 25 TDDDG: Da für diese Analyse kein Zugriff auf Informationen auf deinem Endgerät erfolgt und keine Informationen auf deinem Endgerät gespeichert werden, ist § 25 Abs. 1 TDDDG nicht einschlägig. Eine Einwilligung ist nicht erforderlich.

Speicherdauer

Datenebene Speicherdauer Erklärung
Rohdaten (einzelne Seitenaufrufe mit Session-Stamp) 90 Tage Ermöglicht kurzfristige Kampagnenanalyse. Danach automatisch gelöscht.
Aggregierte Statistiken (Summen und Durchschnitte pro Seite/Kampagne/Tag, ohne Personenbezug) 24 Monate Ermöglicht saisonale Jahresvergleiche. Enthält keine personenbezogenen Daten.

Die Löschung erfolgt automatisch.

Widerspruchsrecht (Opt-out)

Du hast das Recht, der serverseitigen Analyse jederzeit zu widersprechen (Art. 21 Abs. 1 DSGVO).

Widerspruchsmöglichkeiten:

  • Opt-out-Link: Klicke auf „Webanalyse" im Footer dieser Seite, um die serverseitige Analyse zu deaktivieren. Es wird ein Cookie (analytics_optout) gesetzt, das die Analyse bei zukünftigen Besuchen unterbindet.
  • E-Mail: Sende eine formlose Nachricht an support@happycoffee.org

15. Deine Rechte (DSGVO)

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:

  • Auskunft (Art. 15 DSGVO): Bestätigung, ob und welche Daten über dich verarbeitet werden
  • Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
  • Löschung (Art. 17 DSGVO): Löschung deiner Daten, sofern keine Aufbewahrungspflichten entgegenstehen
  • Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung unter bestimmten Voraussetzungen
  • Datenübertragbarkeit (Art. 20 DSGVO): Erhalt deiner Daten in strukturiertem Format
  • Widerruf von Einwilligungen: Jederzeit möglich, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird

⚠️ WIDERSPRUCHSRECHT (Art. 21 DSGVO)

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt, Widerspruch einzulegen.

Dies gilt insbesondere für:

  • Verarbeitung zur Betrugsprävention und Kundenpflege
  • Serverseitige Webanalyse und Kampagnenattribution
  • Verarbeitung für KI-gestützte Funktionen (Produktempfehlungen, Chat-Antworten, E-Mail-Bearbeitung)
  • Verarbeitung für E-Mail-Validierung
  • Verarbeitung für Qualitätssicherung im Support

Nach Eingang deines Widerspruchs werden wir die betroffenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch einlegen: support@happycoffee.org

Zur Ausübung deiner Rechte kontaktiere uns unter: support@happycoffee.org oder das Chat-Widget auf der Website.

Wir werden deine Anfrage innerhalb eines Monats beantworten.

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

  • Für Rheinland-Pfalz: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
  • Oder bei der Aufsichtsbehörde deines Bundeslandes

16. Datensicherheit

Wir nehmen die Sicherheit deiner Daten sehr ernst und setzen umfassende technische und organisatorische Maßnahmen ein, die weit über gesetzliche Mindestanforderungen hinausgehen.

Verschlüsselung

Datenübertragung:

  • TLS-Verschlüsselung für alle Datenübertragungen (Website, E-Mail, API)
  • Let's Encrypt Zertifikate mit automatischer Erneuerung
  • HSTS (HTTP Strict Transport Security) zum Schutz vor Downgrade-Angriffen

Datenspeicherung:

  • LUKS2-Verschlüsselung (Linux Unified Key Setup) aller produktiven Datenträger
    • Algorithmus: AES-XTS-Plain64
    • Schlüssellänge: 512 Bit
    • Hash-Algorithmus: SHA256
  • AES-256-CBC Verschlüsselung für archivierte Rechnungsdaten
  • Verschlüsselte Datenspeicherung auf unseren Servern
  • Keine unverschlüsselte Speicherung sensibler Daten

E-Mail-Sicherheit:

  • SPF (Sender Policy Framework): Verhindert E-Mail-Spoofing
  • DKIM (DomainKeys Identified Mail): Kryptographische Signatur aller ausgehenden E-Mails
  • DMARC (Domain-based Message Authentication): Strikte Policy zum Schutz vor unbefugter Domain-Nutzung
  • Alle E-Mail-Verbindungen über verschlüsselte Kanäle

Infrastruktur und Rechenzentrum

Standort:

  • Alle Server befinden sich im Hetzner Rechenzentrum in Falkenstein, Deutschland
  • Physische Sicherheit durch Hetzner (24/7 Überwachung, Zugangskontrollen, redundante Stromversorgung)
  • Compliance mit deutschen Datenschutzstandards

Server-Sicherheit:

  • Regelmäßige Sicherheitsupdates (Betriebssystem, Anwendungen)
  • Firewall und DDoS-Schutz
  • Verschlüsselte Volume-Speicher mit Passphrase-Schutz
  • Keine automatische Entschlüsselung bei Neustart (bewusste Sicherheitsentscheidung)

Zugriffskontrolle

  • Zugriffsbeschränkungen für Mitarbeiter nach Need-to-know-Prinzip
  • Zwei-Faktor-Authentifizierung (2FA) für administrative Zugänge
  • SSH-Schlüssel-basierte Authentifizierung für Server-Zugriff
  • Protokollierung aller administrativen Zugriffe
  • Starke Passwort-Richtlinien (Mindestlänge 16 Zeichen)

Backup und Notfallwiederherstellung

  • Regelmäßige Backups mit verschlüsselter Speicherung
  • Tägliche Volume-Snapshots
  • Monatliche Vollbackups
  • Externe Sicherung der Backup-Daten
  • Dokumentierte Wiederherstellungsprozeduren
  • Regelmäßige Tests der Backup-Wiederherstellung

GoBD-konforme Rechnungsarchivierung

Für steuerrechtlich relevante Dokumente (Rechnungen) setzen wir ein besonders geschütztes Archivierungssystem ein:

  • WORM-Speicher (Write Once Read Many) mit Object Lock im Compliance-Modus
  • 10 Jahre Aufbewahrungsfrist automatisch gesetzt
  • Unveränderbarkeit der archivierten Rechnungen garantiert
  • AES-256 Verschlüsselung aller Rechnungsdaten
  • Vollständige Nachvollziehbarkeit durch Audit-Protokollierung
  • Konforme Umsetzung der GoBD-Anforderungen (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form)

Monitoring und Incident Response

  • Tägliches Monitoring der Systemverfügbarkeit
  • Automatische Benachrichtigung bei Anomalien
  • Dokumentierte Prozesse für Sicherheitsvorfälle
  • Regelmäßige Sicherheitsaudits unserer Infrastruktur

Datenschutz durch Technikgestaltung (Privacy by Design)

  • Minimierung der Datenerhebung auf das notwendige Maß
  • Verschlüsselung als Standard, nicht als Option
  • Keine Weitergabe von Daten an Drittländer außerhalb der EU
  • Selbst gehostete Infrastruktur statt Abhängigkeit von US-Cloud-Diensten
  • Externe KI-Verarbeitung ausschließlich über europäische Anbieter innerhalb der EU (Nebius B.V., Niederlande). Keine Nutzung von KI-Diensten außerhalb der EU.

17. Affiliate-Programm (Partnero)

Für unser Affiliate-Programm (Partnerprogramm) setzen wir den Dienst Partnero (Partnero, Inc., 515 W 18th St, New York, NY 10011, USA; Datenspeicherung in einem Rechenzentrum innerhalb der EU) ein, um vermittelte Erstbestellungen einer Partnerin oder einem Partner zuzuordnen und Provisionen abzurechnen.

  • Keine Übermittlung personenbezogener Klardaten. An Partnero übermitteln wir keinen Namen, keine E-Mail-Adresse und keine Anschrift. Übertragen wird ausschließlich ein pseudonymes, für Partnero nicht rückführbares Kennzeichen (ein serverseitig mit einem geheimen Schlüssel gebildeter Hash der internen Nutzer-ID), der Bestellwert sowie das Partner-Kennzeichen. Der zur Re-Identifizierung erforderliche Schlüssel verbleibt ausschließlich bei uns.
  • Kein Tracking-Skript, keine Drittanbieter-Cookies. Die Anbindung erfolgt vollständig serverseitig. Es wird kein JavaScript bzw. Tracking-Skript von Partnero in deinem Browser geladen, und Partnero setzt keine Cookies auf deinem Endgerät. Die Zuordnung erfolgt allein über einen von uns serverseitig gesetzten First-Party-Cookie (_affcode).
  • Datenspeicherung & Drittlandbezug. Partnero speichert Daten innerhalb der EU. Die Betreibergesellschaft (Partnero, Inc.) sowie einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA; für diese Übermittlungen gelten EU-Standardvertragsklauseln (SCC). Mit Partnero besteht ein Auftragsverarbeitungsvertrag.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der korrekten Zuordnung und Abrechnung von Vermittlungen) unter Wahrung der Datenminimierung und Pseudonymisierung (Art. 25 DSGVO).

18. Auftragsverarbeiter (Art. 28 DSGVO)

Wir haben Auftragsverarbeitungsverträge abgeschlossen mit:

  • Hetzner Online GmbH (Hosting, Server, Datenbanken)
  • BunnyWay d.o.o. (Content Delivery Network)
  • Byteplant GmbH (E-Mail-Validierung, Adress-Autovervollständigung)
  • Brevo (Sendinblue GmbH) (E-Mail-Versand)
  • Nebius B.V. (KI-gestützte Verarbeitung von Chat- und E-Mail-Anfragen, semantische Suche) — DPA
  • Partnero, Inc. (Affiliate-/Vermittlungs-Tracking; pseudonyme Daten, EU-Speicherung, US-Betreiber unter EU-SCC) — DPA

Alle Auftragsverarbeiter verarbeiten Daten ausschließlich nach unseren Weisungen. Die Verarbeitung erfolgt innerhalb der EU; einzige Ausnahme ist Partnero (Affiliate-Tracking), bei dem pseudonyme Daten in der EU gespeichert, der US-Betreiber und einzelne US-Unterauftragsverarbeiter jedoch durch EU-Standardvertragsklauseln (SCC) abgesichert sind (siehe Abschnitt 17).

19. Datenübermittlung in Drittländer

Mit einer Ausnahme übermitteln wir keine personenbezogenen Daten in Länder außerhalb der EU/EWR; alle übrigen Datenverarbeitungen erfolgen ausschließlich auf Servern innerhalb der Europäischen Union. Die Ausnahme betrifft unser Affiliate-Programm (Partnero, siehe Abschnitt 17): Dort werden lediglich pseudonyme, nicht auf eine Person rückführbare Daten verarbeitet und in der EU gespeichert; soweit der US-Betreiber Partnero, Inc. oder dessen US-Unterauftragsverarbeiter beteiligt sind, ist die Übermittlung durch EU-Standardvertragsklauseln (SCC) abgesichert.

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich gesetzliche oder technische Anforderungen ändern. Die jeweils aktuelle Version findest du auf unserer Website.

Bei wesentlichen Änderungen, die deine Rechte betreffen, informieren wir dich per E-Mail oder durch einen deutlichen Hinweis auf unserer Website.

Stand: 3. Juni 2026