Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Wisteria GmbH
Hechtstr. 43
82266 Inning, Deutschland
E-Mail: support@puzzlepotato.com

2. Aufruf unserer Website (Server-Logfiles)

Bei jedem Aufruf unserer Website werden durch den Browser automatisch Informationen an den Server unserer Website gesendet und temporär in einem Logfile gespeichert. Erfasst werden:

• die aufgerufene Website und Uhrzeit des Zugriffs
• die übertragene Datenmenge in Byte
• die zuvor besuchte Website (Referrer)
• der verwendete Browser und das Betriebssystem
• die IP-Adresse (ggf. anonymisiert)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Sicherstellung eines reibungslosen Verbindungsaufbaus, einer komfortablen Nutzung sowie der Auswertung der Systemsicherheit und -stabilität.

3. Cookies

Wir verwenden Cookies und vergleichbare Technologien. Technisch notwendige Cookies – insbesondere zur Verwaltung deiner Sitzung, deines Warenkorbs und zum Speichern deiner Cookie-Einstellungen – setzen wir auf Grundlage von § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b und lit. f DSGVO ein; eine Einwilligung ist hierfür nicht erforderlich (zur cookielosen Reichweitenmessung siehe Ziffer 4).

Statistik- und Marketing-Cookies (siehe Ziffern 5 bis 7) setzen wir nur, wenn du über unseren Cookie-Banner eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Deine Einwilligung ist freiwillig und für die Nutzung des Shops nicht erforderlich; du kannst sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Footer widerrufen. Eine vollständige Liste aller eingesetzten Cookies mit Speicherdauern findest du auf unserer Seite „Cookie-Richtlinie“.

4. Reichweitenmessung (cookielos)

Zur Ermittlung der Auslastung und Nutzung unseres Shops führen wir eine eigene, cookielose Reichweitenmessung durch (Seitenaufrufe, die Zahl der Besucher je Tag und der gleichzeitig aktiven Besucher sowie die meistbesuchten Seiten). Dein Browser erzeugt dafür eine zufällige Kennung, die nur im Arbeitsspeicher des jeweiligen Browser-Tabs gehalten wird; es werden keine Cookies gesetzt und keine Daten auf deinem Gerät gespeichert. Damit wir dich je Tag nur einmal als Besucher zählen, bilden wir aus deiner IP-Adresse und der Browser-Kennung (User-Agent) einen täglich wechselnden, nicht umkehrbaren Schlüssel, der nur im Arbeitsspeicher unseres Servers besteht und nicht gespeichert wird.

Außerdem verarbeiten wir deinen ungefähren Standort, den unser Netzwerkdienstleister Cloudflare (siehe Ziffer 19) aus deiner IP-Adresse ermittelt: das Land und, soweit bekannt, die Stadt mit auf etwa 10 km gerundeten Koordinaten. Stadt und Koordinaten speichern wir nur, solange du auf unserer Website aktiv bist, und löschen sie spätestens 15 Minuten danach; wir zeigen damit die gerade laufenden Besuche auf einer Karte. Zu jedem Seitenaufruf speichern wir ohne Bezug zu deiner Person nur die aufgerufene Seite, das Land und den Zeitpunkt und löschen diese Angaben nach 91 Tagen. Kommst du von außerhalb in unseren Shop, zählen wir außerdem je Tag und Land, woher die Besuche kamen. Die Quelle leiten wir aus dem Namen der Website ab, die auf uns verwiesen hat (etwa google.com, ohne die Adresse der einzelnen Seite), aus den Kampagnenangaben im Link und daraus, ob der Link von einer Anzeige stammt; gespeichert wird nur die Zahl der Besuche je Quelle, ohne Bezug zu deiner Person. Bist du in deinem Kundenkonto angemeldet, ordnen wir den laufenden Besuch für diese Zeit deinem Konto zu; bei Geschäftskunden sehen unsere Mitarbeiter so, wer gerade im Kundenportal aktiv ist.

Die IP-Adresse selbst speichern wir für die Reichweitenmessung nicht. Um Missbrauch zu begrenzen, zählen wir lediglich im Arbeitsspeicher unseres Servers mit, wie viele Seitenaufrufe am selben Tag von einer IP-Adresse eingehen, und verwerfen diese Zählung spätestens zum Tageswechsel. Eine Zusammenführung mit anderen Datenquellen oder ein geräteübergreifendes Tracking findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der statistischen Auswertung und der Sicherstellung des stabilen Betriebs unseres Angebots.

5. Google Analytics 4

Sofern du eingewilligt hast, setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google Analytics verwendet Cookies (_ga und _ga_*, Speicherdauer jeweils 2 Jahre) und verarbeitet pseudonyme Kennungen (Client- und Sitzungs-ID) sowie Geräte- und Nutzungsdaten, um die Nutzung unseres Shops auszuwerten. Nach einem Kauf übermitteln wir zudem serverseitig ein Kauf-Ereignis mit Client-/Sitzungs-ID, Bestellnummer und Warenkorbdaten an Google Analytics (Measurement Protocol), um den Kauf der Sitzung zuzuordnen; auch dies erfolgt nur bei erteilter Einwilligung.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); ohne Einwilligung wird Google Analytics nicht geladen. Google verarbeitet diese Daten in unserem Auftrag als Auftragsverarbeiter auf Grundlage der Google-Datenverarbeitungsbedingungen (Art. 28 DSGVO). Daten können an Google LLC in die USA übertragen werden; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Google LLC zertifiziert ist (für UK/Schweiz gelten die UK Extension bzw. das Swiss-U.S. DPF). Soweit das DPF im Einzelfall nicht greift, stützt sich die Übermittlung auf deine Einwilligung (Art. 49 Abs. 1 lit. a DSGVO); in den USA besteht dann möglicherweise kein gleichwertiges Datenschutzniveau, und Behörden können auf Daten zugreifen, ohne dass dir wirksame Rechtsbehelfe zustehen. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen. Weitere Informationen: https://policies.google.com/privacy.

6. Google Ads

Sofern du eingewilligt hast, nutzen wir Google Ads (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) zur Messung des Erfolgs unserer Anzeigen (Conversion-Messung) und für Remarketing. Dabei werden Cookies wie _gcl_au und _gcl_aw (jeweils 3 Monate) sowie IDE (13 Monate) gesetzt, um zu erkennen, ob du über eine Anzeige zu uns gelangt bist und ob es zu einem Kauf gekommen ist. Nach einem Kauf übermitteln wir zudem eine pseudonymisierte (SHA-256-gehashte) Form deiner E-Mail-Adresse an Google („Enhanced Conversions“), um den Kauf der Anzeige zuzuordnen; das Hashing erfolgt bereits in deinem Browser, die E-Mail-Adresse selbst wird nicht an Google übertragen. Auch dies erfolgt nur bei erteilter Einwilligung in Google Ads.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du jederzeit über „Cookie-Einstellungen“ im Footer widerrufen kannst. Für die Verarbeitung der Werbedaten in seinen eigenen Systemen ist Google datenschutzrechtlich eigenständig verantwortlich; insoweit gelten die Controller-Controller-Datenschutzbedingungen von Google. Daten können an Google LLC in die USA übertragen werden; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Google LLC zertifiziert ist (für UK/Schweiz gelten die UK Extension bzw. das Swiss-U.S. DPF). Soweit das DPF im Einzelfall nicht greift, stützt sich die Übermittlung auf deine Einwilligung (Art. 49 Abs. 1 lit. a DSGVO); in den USA besteht dann möglicherweise kein gleichwertiges Datenschutzniveau, und Behörden können auf Daten zugreifen, ohne dass dir wirksame Rechtsbehelfe zustehen. Weitere Informationen: https://policies.google.com/privacy.

Google Kundenrezensionen: Nach einer Bestellung kannst du auf der Bestellbestätigungsseite freiwillig das Programm „Google Kundenrezensionen“ öffnen. Erst mit diesem Klick wird ein Modul von Google (Google Ireland Ltd.) geladen und deine Bestellnummer, E-Mail-Adresse, das Lieferland und das voraussichtliche Lieferdatum an Google übermittelt; stimmst du im Modul zu, sendet dir Google nach der Lieferung eine E-Mail mit der Bitte um eine Bewertung. Dabei kann Google in deinem Browser Cookies oder ähnliche Technologien (z. B. Zählpixel) setzen und auslesen; du kannst Cookies jederzeit in deinen Browsereinstellungen löschen oder blockieren. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie ist freiwillig, und ohne deinen Klick werden keine Daten an Google übertragen. Für die weitere Verarbeitung ist Google eigenständig verantwortlich; für die Übermittlung in die USA gilt das oben Gesagte.

7. Meta Pixel und Conversions API

Sofern du eingewilligt hast, setzen wir den Meta Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“) ein, um den Erfolg unserer Werbung auf Facebook und Instagram zu messen und Zielgruppen (Custom Audiences) zu bilden. Der Pixel setzt Cookies (_fbp, _fbc und fr, Speicherdauer jeweils 3 Monate) und erfasst deine Interaktionen mit unserem Shop. Nach einem Kauf übermitteln wir zudem serverseitig über die Meta Conversions API eine pseudonymisierte (SHA-256-gehashte) Form deiner E-Mail-Adresse, die Cookie-IDs _fbp/_fbc sowie Bestelldaten (z. B. Bestellwert und Währung) an Meta, um den Kauf der Anzeige zuzuordnen; auch dies erfolgt nur bei erteilter Einwilligung.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); ohne Einwilligung in Marketing wird weder der Pixel geladen noch erfolgt die serverseitige Übermittlung. Für die Erhebung und Übermittlung dieser Daten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung hierzu ist das Controller Addendum von Meta. Danach ist Meta für die anschließende Verarbeitung der Daten in eigener Verantwortung zuständig. Daten können an Meta Platforms Inc. in die USA übertragen werden; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Meta Platforms Inc. zertifiziert ist (für UK/Schweiz gelten die UK Extension bzw. das Swiss-U.S. DPF). Soweit das DPF im Einzelfall nicht greift, stützt sich die Übermittlung auf deine Einwilligung (Art. 49 Abs. 1 lit. a DSGVO); in den USA besteht dann möglicherweise kein gleichwertiges Datenschutzniveau, und Behörden können auf Daten zugreifen, ohne dass dir wirksame Rechtsbehelfe zustehen. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen. Weitere Informationen: https://www.facebook.com/privacy/policy.

8. Herkunft von Bestellungen (Kampagnen-Attribution)

Um zu verstehen, über welche Seiten und Kampagnen Bestellungen zustande kommen, merken wir uns während deines Besuchs, ohne dafür etwas auf deinem Gerät zu speichern: die Seite, über die du unseren Shop betreten hast (ohne angehängte Parameter), die Domain der Website, von der du zu uns gekommen bist, die Kampagnen-Parameter der aufgerufenen Adresse (UTM-Parameter, z. B. Quelle, Medium und Kampagnenname) und ein Kürzel, mit dem wir Links und Empfehlungen auf unseren eigenen Seiten kennzeichnen. Legst du einen Artikel in den Warenkorb oder bestellst du, speichern wir diese Angaben zusammen mit dem Warenkorb und der Bestellung, außerdem die Geräteart (Smartphone, Tablet oder Computer), die wir aus den Angaben ableiten, die dein Browser bei jedem Seitenaufruf übermittelt. Bestellst du später aus demselben Warenkorb, ordnen wir die Bestellung dieser Herkunft zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, zu erkennen, welche Werbung und welche Inhalte zu Käufen führen. Wir löschen diese Angaben 14 Monate nach der Bestellung; an einem Warenkorb nach einer Bestellung oder nach 90 Tagen ohne Änderung.

Sofern du in Statistik-Cookies eingewilligt hast, speichern wir die Kampagnen-Parameter, die Einstiegsseite und die Herkunft eines Besuchs, der über eine Kampagne oder einen solchen gekennzeichneten Link begonnen hat, zusätzlich für bis zu 90 Tage in deinem Browser. Bestellst du innerhalb dieses Zeitraums bei einem späteren Besuch, ordnen wir die Bestellung dieser ersten Kampagne zu („First-Touch“-Attribution). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du jederzeit über „Cookie-Einstellungen“ im Footer widerrufen kannst.

Sofern du in Google Ads eingewilligt hast und über eine Google-Anzeige zu uns gekommen bist, übermitteln wir beim Bestellen außerdem die Klick-Kennung, die Google an die aufgerufene Adresse anhängt (gclid, gbraid oder wbraid), und speichern sie zusammen mit der Bestellung, damit wir den Kauf der Anzeige zuordnen können. Wir selbst speichern die Klick-Kennung dafür nicht auf deinem Gerät; Google legt sie mit deiner Einwilligung im Cookie _gcl_aw ab (siehe Abschnitt 6). An der Bestellung löschen wir sie 90 Tage nach der Bestellung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

9. Einwilligungsprotokoll (Cookie-Einwilligungen)

Deine Entscheidung im Cookie-Banner (Einwilligung oder Ablehnung) protokollieren wir serverseitig, um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO). Gespeichert werden eine pseudonyme, in deinem Browser erzeugte Einwilligungs-ID, deine Entscheidung je Kategorie, die Version des Einwilligungstexts, der Zeitpunkt, die aufgerufene Seite, eine gekürzte (nicht vollständige) IP-Adresse sowie die Browser-Kennung (User-Agent). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht) in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Das Protokoll wird 13 Monate aufbewahrt und anschließend gelöscht.

10. Kundenkonto und Registrierung

Du kannst bei uns ein Kundenkonto anlegen. Die hierbei erhobenen Daten (z. B. Name, E-Mail-Adresse, Rechnungs- und Lieferanschrift) verarbeiten wir zur Vertragsabwicklung und zur Verwaltung deines Kontos auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Dein Kundenkonto kannst du jederzeit löschen lassen, indem du uns kontaktierst.

Bei Geschäftskunden (B2B) verarbeiten wir zusätzlich die Umsatzsteuer-Identifikationsnummer zur Prüfung der Steuerpflicht. Die Anmeldung zum Kundenkonto erfolgt passwortlos über einen per E-Mail versandten Einmal-Code.

10a. Rangliste

In deinem Kundenkonto kannst du an unserer Rangliste teilnehmen: Du wählst einen Nickname und lädst zu jeder gelösten Puzzlebox ein Foto hoch, das unser Team prüft und freigibt oder ablehnt. Jedes Foto prüfen wir zuerst auf Viren. Die hochgeladene Datei selbst speichern wir nicht, sondern zwei daraus neu erzeugte, quadratische Kopien: eine mit bis zu 1200 Pixeln, die nur du und unser Team sehen, und eine mit 256 Pixeln für die Rangliste. Dabei entfernen wir alle im Foto eingebetteten Metadaten, etwa den Aufnahmeort (GPS). Virenprüfung und Verarbeitung laufen auf unserem eigenen Server. Außerdem vergleichen wir jedes Foto automatisch mit den bereits eingereichten, anhand einer Graustufenkopie mit 64 Pixeln, die wir dafür aufbewahren: Ein identisches lehnen wir sofort ab, ein sehr ähnliches zeigen wir unserem Team zum Vergleich.

Auf der öffentlichen Rangliste zeigen wir deinen Nickname, deinen Rang, deine Stufe (die Zahl deiner freigegebenen Boxen), deine freigegebenen Fotos in der kleinen Größe und wann du sie hochgeladen hast; hast du ein Land angegeben, auch dessen Flagge. Auf anderen Seiten unseres Shops, etwa den Hinweis-Seiten, zeigen wir die ersten drei Plätze mit ihrer Flagge, aber ohne Nickname, jeweils mit einem ihrer freigegebenen Fotos, das wir jeden Tag neu auswählen. Die Rangliste ist für jeden abrufbar und kann von Suchmaschinen erfasst werden. Deinen Namen und deine E-Mail-Adresse zeigen wir dort nie.

Freiwillig kannst du ein Land und darin eine Stadt oder Postleitzahl angeben oder deinen Ort auf einer Karte antippen. Aus der Stadt oder Postleitzahl bestimmen wir mit einem Ortsverzeichnis auf unserem Server eine auf etwa 11 km genaue Position; einen angetippten Ort rundet schon dein Browser auf etwa 11 km, und das Land bestimmen wir daraus. Während du eine Stadt oder Postleitzahl tippst, schlagen wir dir passende Orte und Postleitzahlen aus diesem Verzeichnis vor; dafür geht das Getippte an unseren Server, gespeichert wird es erst, wenn du speicherst. Die Karte zum Antippen kommt von unserem eigenen Server, nicht von einem Kartendienst. Deine freigegebenen Boxen zeigen wir an dieser Position als Punkt auf einer Weltkarte; hast du nur ein Land angegeben, zählen sie dort für dieses Land. Ein Punkt zeigt nur das Land und wie viele Boxen dort gelöst wurden, nie deinen Nickname und nie den Namen des Ortes. Als Vorschlag, den du mit einem Tippen übernehmen kannst, zeigen wir dir das Land und die Stadt, die Cloudflare aus deiner IP-Adresse ermittelt (siehe Ziffer 19), und öffnen die Karte in dieser Gegend; gespeichert wird davon nur, was du übernimmst und speicherst.

Wir schreiben dir eine E-Mail, wenn du eine neue Stufe erreichst oder wir ein Foto nicht freigeben. Zu einer Ablehnung kann unser Team einen Hinweis schreiben; er steht in der E-Mail und bei der Box in deinem Kundenkonto. Deine Änderungen und unsere Entscheidungen halten wir in der Historie deines Kundenkontos fest.

Nimmst du den Haken bei „Meinen Nickname und meine Fotos auf der öffentlichen Rangliste zeigen“ heraus, verschwinden dein Eintrag, deine Fotos und deine Punkte auf der Karte sofort von allen öffentlichen Seiten; in deinem Kundenkonto zählen deine Boxen weiter. Löschst du ein Foto, entfernen wir sofort beide Kopien. Bereits abgerufene Bilder können noch bis zu einer Stunde in Zwischenspeichern erhalten bleiben. Nickname, Land und Stadt kannst du jederzeit ändern, Land und Stadt auch entfernen. Fotos speichern wir, bis du sie löschst oder durch ein neues ersetzt; deinen Nickname und deine übrigen Angaben, solange dein Kundenkonto besteht oder bis du uns um Löschung bittest. Mit deinem Kundenkonto löschen wir auch deine Teilnahme samt aller Fotos.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Wir verarbeiten diese Daten, um dir die Teilnahme an der Rangliste zu ermöglichen, die du selbst gewählt hast. Die öffentliche Anzeige ist der Zweck dieser Teilnahme und deshalb voreingestellt; ob sie stattfindet, entscheidest du mit dem Haken. Die Virenprüfung, den Fotovergleich und den Ortsvorschlag stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit unserer Systeme, einer fairen Rangliste und einer bequemen Eingabe.

11. Bestellabwicklung

Zur Abwicklung deiner Bestellung verarbeiten wir die von dir angegebenen Bestell-, Rechnungs- und Lieferdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtlich) bestehen, speichern wir die betreffenden Daten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO für die Dauer dieser Fristen (in der Regel bis zu zehn Jahre).

12. Weitergabe an Versanddienstleister

Zur Lieferung der bestellten Waren geben wir deine Lieferdaten an das mit der Zustellung beauftragte Versandunternehmen weiter, soweit dies zur Lieferung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Je nach Bestellung kann dies eines der folgenden Unternehmen sein:

• DHL / Deutsche Post AG
• DPD Deutschland GmbH
• United Parcel Service Deutschland S.à r.l. & Co. OHG (UPS)
• General Logistics Systems Germany GmbH & Co. OHG (GLS)
• Hermes Germany GmbH

13. Zahlungsabwicklung

Kartenzahlung über Stripe

Bei der Zahlung per Kreditkarte oder vergleichbaren Zahlungsmitteln erfolgt die Abwicklung über die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Die für die Zahlung erforderlichen Daten werden direkt an Stripe übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Zahlung über PayPal

Bei Zahlung über PayPal erfolgt die Abwicklung über die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg. Die Zahlungsdaten werden direkt an PayPal übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Es gelten zusätzlich die Datenschutzbestimmungen von PayPal.

Zahlung per Überweisung (Vorkasse)

Bei Zahlung per Überweisung verarbeiten wir die für den Zahlungsabgleich erforderlichen Daten. Eine Weitergabe an einen Zahlungsdienstleister findet hierbei nicht statt; die Zahlung erfolgt über deine Bank.

14. Rechnungserstellung, Buchhaltung und Archivierung

Zur Erfüllung unserer steuer- und handelsrechtlichen Pflichten verarbeiten wir Bestell- und Rechnungsdaten in unserem Buchhaltungs- und Steuersystem (DATEV-Format) und archivieren Rechnungen revisionssicher. Die Archivierung erfolgt verschlüsselt auf einem von uns betriebenen bzw. in unserem Auftrag betriebenen Speicher (Nextcloud). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den gesetzlichen Aufbewahrungspflichten.

15. Auftragsabwicklung und Warenwirtschaft (ERP)

Zur Abwicklung von Bestellungen, zur Lager- und Bestandsführung sowie zur Steuerung des Versands setzen wir ein Warenwirtschaftssystem (LingXing) ein. Die hierfür erforderlichen Bestell- und Lieferdaten werden an dieses System übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung und effiziente Auftragsabwicklung).

16. E-Mail-Versand (Transaktions-E-Mails)

Wir versenden im Rahmen der Bestellabwicklung transaktionsbezogene E-Mails (z. B. Anmeldungs-Codes, Bestell- und Versandbestätigungen, Rechnungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

17. Newsletter

Wenn du dich für unseren Newsletter anmeldest, verwenden wir deine E-Mail-Adresse, um dir Informationen zu Produkten und Angeboten zuzusenden. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach deiner Anmeldung senden wir dir eine E-Mail mit einem Bestätigungslink; erst nach Klick auf diesen Link nehmen wir dich in den Verteiler auf. Meldest du dich bei einer Bestellung über das Kästchen an der Kasse an, entscheidet das Lieferland: Wo dieses Verfahren vorgeschrieben oder empfohlen ist, etwa in Deutschland, Österreich und Italien, schicken wir dir ebenfalls einen Bestätigungslink; bei anderen Lieferländern nehmen wir dich sofort in den Verteiler auf. Rechtsgrundlage ist deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Zum Nachweis der Einwilligung protokollieren wir den Zeitpunkt der Anmeldung und der Bestätigung, die dabei verwendeten IP-Adressen sowie den Wortlaut der Einwilligung. Du kannst den Newsletter jederzeit abbestellen, etwa über den Abmeldelink am Ende jeder Newsletter-E-Mail; der Widerruf deiner Einwilligung wirkt für die Zukunft. Unsere Newsletter messen Öffnungen und Klicks; Einzelheiten und dein Widerspruchsrecht stehen in Ziffer 17a.

17a. Messung von Öffnungen und Klicks im Newsletter; Versand

Wir messen, ob und wann unsere Newsletter geöffnet und welche Links darin angeklickt werden. Dazu enthält jede Newsletter-E-Mail ein unsichtbares Bild (Zählpixel), und ihre Links tragen eine zufällige Kennung, die nur deinem Abonnement zugeordnet ist. Lädt dein E-Mail-Programm das Bild oder klickst du einen Link, übermittelt es an unseren Server diese Kennung, den Zeitpunkt, deine IP-Adresse und die Kennung deines Programms (User-Agent). IP-Adresse und User-Agent werten wir nur im Moment des Abrufs aus: um automatische Abrufe (etwa das Vorabladen durch den Datenschutz von Apple Mail oder durch Virenscanner) von echten Öffnungen und Klicks zu unterscheiden und um die Art des E-Mail-Programms und des Geräts zu erkennen (etwa „Apple Mail“ oder „Mobilgerät“). Gespeichert wird nur dieses Ergebnis, weder die IP-Adresse noch der User-Agent.

Wir verwenden die Daten, um (1) zu sehen, wie viele Empfänger einen Newsletter öffnen und welche Inhalte sie anklicken, und Inhalte und Versandhäufigkeit danach auszurichten, (2) Bestellungen, die du innerhalb von 5 Tagen nach einem Klick in einem Newsletter mit derselben E-Mail-Adresse aufgibst, dieser Newsletter-Kampagne zuzuordnen, und (3) dein Abonnement als „inaktiv“ zu kennzeichnen, wenn du mindestens drei Newsletter erhalten und 90 Tage lang keinen davon geöffnet oder angeklickt hast, um dir dann weniger oder keine Newsletter mehr zu senden. Wir bilden daraus keine Profile für Werbung außerhalb unserer Newsletter und geben die Daten nicht an Dritte weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, die Wirkung unserer Newsletter zu messen, sie zu verbessern und sie nicht an Empfänger zu senden, die sie nicht mehr lesen. Du kannst der Messung jederzeit widersprechen (Art. 21 DSGVO): über den Link „Tracking abschalten“ in jeder Newsletter-E-Mail oder per E-Mail an support@puzzlepotato.com. Den Newsletter erhältst du dann weiter, ohne Zählpixel und ohne persönliche Links; bereits erfasste Öffnungen und Klicks löschen wir dabei. Mit der Abmeldung vom Newsletter endet die Messung ebenfalls.

Einzelne Öffnungs- und Klickereignisse löschen wir nach 180 Tagen; danach behalten wir nur zusammengefasste Kampagnenzahlen ohne Bezug zu dir sowie das Datum deiner letzten Aktivität, solange du angemeldet bist. Nach einer Abmeldung oder einem Widerspruch löschen wir deine Ereignisse innerhalb von 30 Tagen.

Die Links in unseren Newslettern, die in unseren Shop führen, tragen außerdem eine Kampagnenkennung, die für alle Empfänger gleich ist (z. B. utm_campaign); damit sehen wir nach Ziffer 8, wie viele Besuche und Bestellungen insgesamt über eine Kampagne kamen. Zudem erhalten wir von unserem Versanddienstleister Meldungen über unzustellbare E-Mails und Spam-Beschwerden und nehmen solche Adressen aus dem Verteiler. Rechtsgrundlage ist insoweit ebenfalls Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein aktueller, zustellbarer Verteiler.

Versand: Wir versenden den Newsletter über Amazon Simple Email Service (SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, aus dem Rechenzentrum Frankfurt am Main (Region eu-central-1). AWS verarbeitet deine E-Mail-Adresse und den Inhalt der Newsletter-E-Mails in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Zählpixel und Links laufen über unsere eigenen Server, nicht über AWS. Ein Zugriff durch die US-Muttergesellschaft Amazon Web Services, Inc. ist nicht völlig auszuschließen; eine Übermittlung stützt sich dann auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Amazon Web Services, Inc. zertifiziert ist, ergänzend auf die EU-Standardvertragsklauseln im AWS-Auftragsverarbeitungsvertrag.

18. Kontaktaufnahme

Wenn du mit uns per E-Mail oder über ein Kontaktformular in Verbindung trittst, verarbeiten wir die von dir mitgeteilten Daten zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (sofern die Anfrage einen Vertrag betrifft) bzw. Art. 6 Abs. 1 lit. f DSGVO. Den Schriftwechsel mit unserem Kundenservice bewahren wir auf, damit wir frühere Anliegen nachvollziehen, Gewährleistungs- und Kulanzfälle prüfen und ähnliche Anfragen besser beantworten können (Art. 6 Abs. 1 lit. f DSGVO); geschäftliche E-Mails müssen wir ohnehin sechs Jahre aufbewahren (§ 257 HGB, § 147 AO). Wir löschen ihn spätestens sechs Jahre nach Ende des Kalenderjahres, in dem die jeweilige E-Mail eingegangen oder abgeschickt worden ist, es sei denn, er wird für ein laufendes Verfahren oder eine noch offene Steuerfestsetzung länger benötigt. Deine Rechte nach Ziffer 20, etwa auf Löschung, bleiben unberührt.

Für E-Mails an unseren Kundenservice nutzen wir einen KI-Assistenten: Claude von Anthropic PBC (USA), als unseren Auftragsverarbeiter (Art. 28 DSGVO). Er übersetzt fremdsprachige E-Mails und schlägt unseren Mitarbeiterinnen und Mitarbeitern Antworten auf Anfragen von Privatkunden vor. Jede Antwort liest und versendet ein Mensch; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Für einen Antwortvorschlag erhält der Assistent den Inhalt deiner E-Mails und unseres bisherigen Schriftwechsels, deinen Namen, Fotos, die du uns schickst, und, soweit vorhanden, deine Bestellungen bei uns (Nummer, Datum, Artikel, Betrag, Versandstand und Sendungsverfolgung) sowie den Newsletter-Status deiner E-Mail-Adressen mit deinen Rabattcodes. Um ähnliche Anfragen besser zu beantworten, kann er frühere Gespräche unseres Kundenservice als Beispiele heranziehen. Für eine Übersetzung erhält er nur Betreff und Text der jeweiligen E-Mail.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage einen Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen schnell, vollständig und in deiner Sprache zu beantworten. Die Übermittlung in die USA stützen wir auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Teil unseres Auftragsverarbeitungsvertrags mit Anthropic sind; eine Kopie erhältst du auf Anfrage. Anthropic verwendet die Daten nicht zum Training seiner Modelle und löscht sie innerhalb von 30 Tagen, es sei denn, seine Systeme erkennen einen Verstoß gegen die Nutzungsrichtlinien; dann bewahrt es sie bis zu zwei Jahre auf.

19. Hosting und Auslieferung (Cloudflare)

Unsere Website und die zugehörigen Systeme werden bei einem Anbieter innerhalb der Europäischen Union gehostet. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt zur Bereitstellung unseres Online-Angebots auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Auslieferung und Schutz durch Cloudflare

Unsere Website wird über das Netzwerk der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA („Cloudflare“) ausgeliefert. Jeder Aufruf läuft über Server von Cloudflare, die unser Angebot vor Angriffen (etwa Überlastungsangriffen) schützen und Inhalte wie Bilder zwischenspeichern, damit sie schneller laden. Dabei verarbeitet Cloudflare die technischen Daten jedes Aufrufs, insbesondere deine IP-Adresse, die aufgerufene Adresse, den Zeitpunkt und die Browser-Kennung, und ermittelt aus der IP-Adresse deinen ungefähren Standort (Land, Region und Stadt), den es an unsere Server weitergibt; wofür wir ihn nutzen, steht in Ziffer 4.

Bei der Anmeldung zum Kundenkonto, der Anmeldung zum Newsletter und der Bewerbung als Geschäftskunde setzen wir außerdem Cloudflare Turnstile ein, um automatisierte Eingaben (Bots) zu erkennen. Das Turnstile-Skript wird erst geladen, wenn ein solches Formular angezeigt wird; dabei werden insbesondere deine IP-Adresse, die Browser-Kennung und technische Merkmale der Verbindung an Cloudflare übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, schnellen und vor Missbrauch geschützten Bereitstellung unseres Angebots. Soweit Turnstile dabei auf Informationen in deinem Endgerät zugreift, ist dies für die sichere Erbringung des von dir gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Daten können an Cloudflare, Inc. in die USA übertragen werden; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Cloudflare zertifiziert ist (für UK/Schweiz gelten die UK Extension bzw. das Swiss-U.S. DPF), sowie ergänzend auf die EU-Standardvertragsklauseln. Weitere Informationen: https://www.cloudflare.com/privacypolicy/.

20. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte genügt eine formlose Mitteilung an die oben genannten Kontaktdaten.

21. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten durch uns zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).