Datenschutzerklärung

Stand: offen: Datum

1. Verantwortlicher

shroom-mates GbR, vertreten durch Emmelie Kunz und Tim Eder
Markranstädter Straße 8, 04229 Leipzig
E-Mail: hey@shroom-mates.de

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir hierzu gesetzlich nicht verpflichtet sind.

Diese Datenschutzerklärung gilt für unsere Website und unseren Online-Shop unter shroom-mates.de, die zugehörige Schnittstelle api.shroom-mates.de sowie die E-Mails, die wir im Zusammenhang mit Bestellungen und Widerrufen versenden.

2. Hosting und Server-Logfiles

Website, Shop und Schnittstelle werden auf Servern der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland prüfen: Anschrift, in Deutschland betrieben. Wir betreiben die Shop-Software (Medusa), die Datenbank (PostgreSQL), einen Zwischenspeicher (Redis) und den Webserver (Caddy) selbst. netcup verarbeitet Daten in unserem Auftrag; mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf unserer Website und des Shops verarbeitet unser Webserver automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL und Browserkennung (User-Agent). Dies ist technisch erforderlich, um die Seiten auszuliefern und die Sicherheit und Stabilität zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, funktionsfähigen Betrieb). Die IP-Adressen werden dabei vor dem Speichern gekürzt (siehe Ziffer 17). Server-Logfiles werden nach offen: z. B. 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

3. Hosting über GitHub Pages

Unsere Website wird über GitHub Pages bereitgestellt, einen Dienst der GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. Beim Aufruf der Website verarbeitet GitHub technisch notwendige Zugriffsdaten (u. a. Ihre IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browserkennung). Nach Angaben von GitHub wird die IP-Adresse von Besuchern aus Sicherheitsgründen protokolliert und gespeichert. Auf diese Protokolle haben wir keinen Zugriff.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer zuverlässigen und sicheren Bereitstellung der Website. Dabei werden Daten in die USA übermittelt. GitHub ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO) prüfen: Eintrag auf dataprivacyframework.gov bestätigen. Weitere Informationen: https://docs.github.com/de/site-policy/privacy-policies/github-general-privacy-statement prüfen: Dieser Abschnitt gilt nur, solange Teile der Website noch über GitHub Pages ausgeliefert werden; bei Auslieferung allein über unseren Server entfällt er.

4. Kontaktformular

Wenn Sie unser Kontaktformular nutzen, werden Ihre Angaben (Name, E-Mail-Adresse, Nachricht) sowie Ihre IP-Adresse an den Dienst Web3Forms übermittelt, der von Web3Creative, offen: Anschrift, Kerala, Indien, betrieben wird, und von dort per E-Mail an uns weitergeleitet. Web3Forms nutzt nach eigenen Angaben Server in den USA (Amazon Web Services) und kann Formulareingaben bis zu drei Jahre speichern. Web3Forms verarbeitet die Daten in unserem Auftrag. Für Indien besteht kein Angemessenheitsbeschluss der EU-Kommission; die Übermittlung stützen wir auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). prüfen: nur zutreffend, wenn der Auftragsverarbeitungsvertrag von Web3Forms Standardvertragsklauseln enthält und abgeschlossen wurde – empfohlen ist, das Formular über unseren eigenen Server zu senden

Zweck ist die Beantwortung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag (z. B. eine Bestellung frischer Pilze oder eine Zusammenarbeit mit Gastronomiebetrieben) gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen Ihre Anfrage, wenn sie abschließend bearbeitet ist, es sei denn, gesetzliche Aufbewahrungspflichten (z. B. 6 Jahre für Geschäftsbriefe) stehen entgegen.

5. Google Maps (nur nach Klick)

Auf unserer Kontaktseite können Sie eine Karte von Google Maps laden. Die Karte wird erst angezeigt, wenn Sie auf „Karte laden“ klicken. Vorher werden keine Daten an Google übermittelt.

Nach Ihrem Klick lädt Ihr Browser Inhalte von Servern von Google. Dabei werden insbesondere Ihre IP-Adresse, Informationen zu Ihrem Browser und die aufgerufene Seite an Google übermittelt; Google kann zudem Cookies oder ähnliche Technologien auf Ihrem Endgerät speichern und auslesen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an die Google LLC in den USA ist möglich; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG). Ihre Entscheidung wird nicht gespeichert; die Karte wird bei jedem Seitenaufruf erst nach erneutem Klick geladen. Sie können Ihre Einwilligung daher jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Seite neu laden. Details: https://policies.google.com/privacy

6. Instagram-Link

Wir verlinken auf unser Instagram-Profil. Es handelt sich um einen einfachen Link; beim Aufruf unserer Website werden keine Daten an Instagram übermittelt. Erst wenn Sie den Link anklicken, gelten die Datenschutzbestimmungen der Meta Platforms Ireland Limited.

7. Bestellung

Wenn Sie bestellen, verarbeiten wir: Name, Lieferadresse, ggf. abweichende Rechnungsadresse, E-Mail-Adresse, Telefonnummer (freiwillig), bestellte Produkte, Preise, gewählte Versand- und Zahlungsart, Bestellnummer, Zeitpunkt der Bestellung sowie den Zahlungsstatus.

Zweck ist die Abwicklung des Kaufvertrags (Vertragsschluss, Bestellbestätigung, Versand, Zahlung, Gewährleistung, Widerruf). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit wir gesetzliche Aufbewahrungspflichten erfüllen, Art. 6 Abs. 1 lit. c DSGVO.

Die Pflichtfelder sind für den Vertragsschluss erforderlich; ohne sie können wir Ihre Bestellung nicht ausführen. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.

8. Zahlungsabwicklung mit SumUp

Für die Zahlung nutzen wir SumUp. Unser Vertragspartner ist die SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland prüfen: Anschrift, ein von der irischen Zentralbank (Central Bank of Ireland) zugelassenes E-Geld-Institut.

Das Zahlungsformular wird direkt von Servern von SumUp (gateway.sumup.com) in unseren Shop geladen. Dabei werden Ihre IP-Adresse und technische Gerätedaten an SumUp übermittelt. Ihre Kartendaten geben Sie direkt bei SumUp ein; sie werden nicht an uns übertragen und nicht von uns gespeichert. Von uns erhält SumUp den Zahlungsbetrag, eine Bestellreferenz, eine Beschreibung der bestellten Artikel sowie Ihren Namen und Ihre E-Mail-Adresse. Wir erhalten von SumUp das Ergebnis der Zahlung (erfolgreich/fehlgeschlagen) und eine Transaktionsnummer.

Bei Kartenzahlungen kann Ihre kartenausgebende Bank eine Authentifizierung (3-D Secure) verlangen. Wenn Sie Apple Pay, Google Pay oder PayPal nutzen, werden Daten zusätzlich vom jeweiligen Anbieter (Apple Distribution International Ltd., Irland; Google Ireland Limited, Irland; PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) nach dessen Datenschutzbestimmungen verarbeitet. prüfen: nur die tatsächlich aktivierten Zahlungsarten nennen

SumUp verarbeitet die Zahlungsdaten als eigenständig Verantwortlicher, u. a. zur Zahlungsabwicklung, Betrugsprävention und zur Erfüllung gesetzlicher Pflichten (z. B. Geldwäscheprävention). SumUp kann Daten auch in Länder außerhalb des EWR übermitteln. Näheres: https://www.sumup.com/de-de/datenschutzbestimmungen/

Rechtsgrundlage für die Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Das Laden des Zahlungsformulars und ggf. damit verbundene Speichervorgänge auf Ihrem Endgerät sind für die von Ihnen gewünschte Zahlung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

9. Versand mit DHL

Zur Zustellung geben wir Ihren Namen und Ihre Lieferadresse an die DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn, weiter (Art. 6 Abs. 1 lit. b DSGVO). Ihre E-Mail-Adresse oder Telefonnummer geben wir nicht an DHL weiter.

10. E-Mail-Versand (Resend)

Bestellbestätigungen, Versandbenachrichtigungen, Eingangsbestätigungen für Widerrufe sowie interne Bestellbenachrichtigungen an uns versenden wir über den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Wir nutzen die EU-Versandregion (Frankfurt am Main) prüfen: Region in der Resend-Konfiguration bestätigen. Dabei werden Ihre E-Mail-Adresse, Ihr Name und der Inhalt der E-Mail (Bestelldaten) verarbeitet. Resend verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Da Resend ein US-Unternehmen ist, ist ein Zugriff aus den USA nicht ausgeschlossen. Resend ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); zusätzlich sind EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO). Unser E-Mail-Postfach wird betrieben von offen: E-Mail-Provider für hey@shroom-mates.de, Anschrift, AV-Vertrag.

12. Online-Widerruf („Vertrag widerrufen“)

Wenn Sie die Widerrufsfunktion im Shop nutzen, verarbeiten wir Ihren Namen, die Bestellnummer, ggf. die widerrufenen Artikel, Ihre E-Mail-Adresse, eine optionale Nachricht sowie Datum und Uhrzeit des Eingangs, um den Widerruf zu bearbeiten und Ihnen die gesetzlich vorgeschriebene Eingangsbestätigung zu senden (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden zusammen mit den Bestelldaten gespeichert und nach Ablauf der unter Ziffer 14 genannten Fristen gelöscht.

13. Speicherung im Browser (kein Tracking)

Wir setzen keine Cookies, keine Werbe- oder Tracking-Dienste Dritter und keine Social-Media-Plugins ein. Für die Reichweitenmessung nutzen wir eine eigene, cookielose Installation von Umami (siehe Ziffer 16). Schriftarten werden von unserem eigenen Server geladen; dabei werden keine Daten an Dritte (z. B. Google Fonts) übermittelt.

Wir speichern im Speicher Ihres Browsers ausschließlich die folgenden Einträge:

• cart_id (localStorage): ID Ihres Warenkorbs („Pilzkorb“), damit er beim Weiterklicken und bei einem erneuten Besuch erhalten bleibt.

• checkout_cart_id (localStorage): ID des Warenkorbs, der gerade bezahlt wird, damit der Bezahlvorgang zuverlässig abgeschlossen werden kann.

• cart_snapshot (sessionStorage): Warenkorb-ID und Artikelanzahl, damit die Anzeige im Seitenkopf beim Seitenwechsel sofort stimmt; wird beim Schließen des Browser-Tabs verworfen.

• umami.disabled (localStorage): wird nur gesetzt, wenn Sie selbst auf der Seite die Statistik für Ihren Browser deaktivieren (siehe Ziffer 16); er merkt sich diese Entscheidung.

Ihre Entscheidung zum Laden der Karte (siehe Ziffer 5) wird nicht gespeichert. Die Warenkorb-ID und die ID des zu bezahlenden Warenkorbs werden nach Abschluss der Bestellung gelöscht.

Diese Speicherungen sind unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst (Warenkorb/Bestellung) bereitzustellen; eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Sie können die Daten jederzeit über Ihre Browsereinstellungen löschen.

14. Speicherdauer

Wir löschen personenbezogene Daten, sobald sie für den Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Für Bestelldaten gelten insbesondere:

• Rechnungen und sonstige Buchungsbelege: 8 Jahre (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 257 Abs. 1 Nr. 4, Abs. 4 HGB; § 14b UStG),
• Handels- und Geschäftsbriefe (z. B. Bestellbestätigungen, geschäftliche E-Mails): 6 Jahre,
• Bücher, Aufzeichnungen und Jahresabschlüsse: 10 Jahre.

Die Fristen beginnen mit dem Schluss des Kalenderjahres, in dem die Unterlagen entstanden sind. Bis zum Ablauf der Fristen schränken wir die Verarbeitung auf die Aufbewahrung ein.

15. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, zu widersprechen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Wenden Sie sich dazu an hey@shroom-mates.de.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Sächsische Datenschutz- und Transparenzbeauftragte
Maternistraße 17, 01067 Dresden
Telefon: +49 351 85471-101
https://www.datenschutz.sachsen.de prüfen: Postanschrift laut Behörde (Postfach 11 01 32, 01330 Dresden)

16. Reichweitenmessung mit Umami

Wir messen die Nutzung unserer Website mit der Software Umami. Umami läuft ausschließlich auf unserem eigenen Server (netcup, siehe Ziffer 2); es werden keine Daten an Dritte weitergegeben und keine externen Dienste eingebunden. Die Messung kommt ohne Cookies aus und verfolgt Sie nicht über andere Websites hinweg. Ihre IP-Adresse wird nicht gespeichert: Sie wird nur kurz im Arbeitsspeicher verwendet, um daraus das Land abzuleiten und eine regelmäßig wechselnde, nicht umkehrbare Kennung (Hash) zu bilden; danach wird sie verworfen.

Erhoben werden: aufgerufene Seite (ohne Parameter hinter dem Fragezeichen und ohne Anker; Bestellnummern werden aus der Adresse entfernt), Referrer, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, Land sowie im Shop die Ereignisse „In den Pilzkorb gelegt“ (Produkt, Variante, Menge), „Pilzkorb geöffnet“, „Kasse begonnen“ (Warenkorbwert) und „Bestellung abgeschlossen“ (Gesamtbetrag in Euro). Bestellnummer, Name, E-Mail-Adresse und Anschrift werden nicht übermittelt.

Zweck ist, zu verstehen, welche Seiten und Produkte genutzt werden und an welcher Stelle Besucher im Bestellprozess abbrechen, um das Angebot zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Optimierung unseres Angebots). Da auf Ihrem Endgerät weder Informationen gespeichert noch ausgelesen werden, die über das Abrufen der Messdatei hinausgehen, und die Messwerte nicht auf Sie als Person zurückgeführt werden, gehen wir davon aus, dass § 25 TDDDG nicht einschlägig ist und keine Einwilligung erforderlich ist. Die Browser-Einstellung „Do Not Track“ beachten wir: Dann findet keine Messung statt. prüfen: Einschätzung zu § 25 TDDDG und Rechtsgrundlage

Die Messdaten löschen wir nach offen: z. B. 14 Monaten. Sie können der Messung jederzeit widersprechen (Art. 21 DSGVO), indem Sie sie für Ihren Browser abschalten:

Statistik für diesen Browser deaktivieren

17. Gekürzte Zugriffsprotokolle

Unser Webserver (Caddy) schreibt für Website und Shop ein Zugriffsprotokoll im JSON-Format (Zeitpunkt, aufgerufene Adresse, Statuscode, Datenmenge, Browserkennung). IP-Adressen werden vor dem Speichern gekürzt (bei IPv4 auf die ersten 16 Bit, bei IPv6 auf die ersten 32 Bit), sodass sie keiner einzelnen Person mehr zugeordnet werden können. Cookies und Zugangsdaten (Cookie- und Authorization-Header) werden nicht protokolliert. Das Protokoll dient der Fehleranalyse und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO) und wird nach 30 Tagen gelöscht. prüfen: Löschfrist mit Ziffer 2 (Server-Logfiles) abgleichen