Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

[Firma / Betreiber]
[Straße, Hausnummer]
[PLZ, Ort, Land]
E-Mail: [datenschutz@getyellowpoint.com]
Vertretungsberechtigt: [Geschäftsführer:in]

Datenschutzbeauftragte:r (soweit bestellt): [Name, E-Mail]

Wir verarbeiten personenbezogene Daten nur, wenn eine gesetzliche Grundlage nach Art. 6 Abs. 1 DSGVO vorliegt. Insbesondere:

• Art. 6 Abs. 1 lit. a (Einwilligung), z. B. für nicht-essentielle Cookies.
• Art. 6 Abs. 1 lit. b (Vertragserfüllung), z. B. Bestellabwicklung, Versand, Kundenkonto.
• Art. 6 Abs. 1 lit. c (rechtliche Pflicht), z. B. steuer- und handelsrechtliche Aufbewahrung.
• Art. 6 Abs. 1 lit. f (berechtigtes Interesse), z. B. Betrieb und Sicherheit der Website, Betrugsprävention, reichweitenmessende Analytik ohne Personenbezug.

Diese Website wird auf einer Infrastruktur betrieben, die technische Zugriffs-Logs (IP-Adresse, Zeitpunkt, aufgerufene Ressource, User-Agent) für die Dauer von [z. B. 14 Tagen] verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Hosting-Anbieter: [Cloudflare Workers / Lovable Cloud].

Bei einer Bestellung verarbeiten wir Name, E-Mail-Adresse, Rechnungs- und Lieferadresse, Telefonnummer (optional), Bestellinhalt sowie die Angaben zur Notfallkarte (Treffpunkt, freiwillige Notizen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zahlungsabwicklung: Zahlungen werden über Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin, Irland) abgewickelt. Wir selbst speichern keine Kartendaten. Details: stripe.com/de/privacy.

Versand: Zur Zustellung übermitteln wir Empfängerdaten an unseren Versanddienstleister [DHL / DPD / …]. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Notfallkarten-Daten: Anschrift und optionale Angaben (Treffpunkt, Kontakte) werden ausschließlich zur Erstellung deiner persönlichen Karte verwendet und nach Produktion bzw. spätestens nach [30] Tagen aus dem Produktionsdatensatz gelöscht. Für Rechnungen gelten die gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB — bis zu 10 Jahre).

Für ein Kundenkonto verarbeiten wir E-Mail-Adresse, Passwort-Hash sowie – bei Nutzung von „Anmelden mit Google" – die von Google übermittelten Profildaten (Name, E-Mail, Profilbild). Grundlage: Art. 6 Abs. 1 lit. b DSGVO. Auth-Anbieter im Auftrag: Supabase via Lovable Cloud (Anbieter siehe Auftragsverarbeiter).

Wenn du das Empfehlungsprogramm nutzt, verarbeiten wir deinen persönlichen Empfehlungs-Code sowie die E-Mail-Adresse eingeladener Freund:innen zur Zuordnung von Bestellungen und Gutschriften. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Programmteilnahme) bzw. lit. f (berechtigtes Interesse an Betrugsprävention).

Wir setzen Cookies und ähnliche Technologien in zwei Kategorien ein:

• Essenziell: notwendig für den Betrieb (Session, Warenkorb, Consent-Auswahl). Rechtsgrundlage: § 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. b/f DSGVO.
• Analyse & Marketing: Google Analytics, Google Ads, Meta Pixel & CAPI, TikTok Pixel, LinkedIn Insight Tag, Microsoft Clarity — werden nur nach deiner ausdrücklichen Einwilligung („Alle akzeptieren") geladen. Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Du kannst die Einwilligung jederzeit über den Cookie-Banner widerrufen.

Plausible Analytics (cookielos, ohne Einwilligung). Wir nutzen Plausible zur anonymen Reichweitenmessung. Plausible setzt keine Cookies, verarbeitet keine personenbezogenen Daten und legt keine geräteübergreifenden Profile an. Es werden nur aggregierte Kennzahlen (Seitenaufrufe, Referrer, Land, Gerätekategorie) erhoben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an reichweitenmessender, datensparsamer Analyse). Anbieter: Plausible Insights OÜ, Estland. Details: plausible.io/data-policy.

Google Analytics 4 (mit Einwilligung). Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Erfasst werden IP-Adresse (anonymisiert), Geräte-/Browserdaten, Seitenaufrufe, Verweildauer sowie E-Commerce-Ereignisse (view_item, add_to_cart, begin_checkout,purchase). Speicherdauer: [14] Monate. Es findet Datenübermittlung in die USA statt; Rechtsgrundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 DSGVO) sowie das EU-US Data Privacy Framework.

Microsoft Clarity (mit Einwilligung). Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland. Erstellt anonymisierte Session-Aufzeichnungen und Heatmaps zur UX-Analyse. Eingaben in Formularfelder werden maskiert. Details: privacy.microsoft.com.

Zur Messung der Wirksamkeit unserer Werbekampagnen und zur Optimierung zielgruppengerechter Werbung nutzen wir – ausschließlich mit deiner Einwilligung – folgende Dienste:

• Google Ads Conversion Tracking & Enhanced Conversions. Anbieter: Google Ireland Ltd. Wir übermitteln beim Kaufabschluss die Bestellnummer, den Bestellwert sowie zur Verbesserung der Zuordnung deine gehashte (SHA-256) E-Mail- Adresse an Google. Die Übermittlung erfolgt nur nach deiner Einwilligung.
• Meta Pixel & Meta Conversions API (CAPI). Anbieter: Meta Platforms Ireland Ltd., Merrion Road, Dublin, Irland. Der Pixel läuft im Browser, zusätzlich übermitteln wir das Kaufereignis serverseitig (CAPI) mit gehashten Kontaktdaten (E-Mail, Telefon, Name, PLZ, Stadt, Land) sowie ggf. der Klick-ID fbclid. Zweck: Conversion-Messung und – bei aktiviertem Werbekonto – Custom/Lookalike Audiences. Beide Wege sind über eine gemeinsameevent_id dedupliziert. Details: facebook.com/privacy/policy. Gemeinsame Verantwortlichkeit gem. Art. 26 DSGVO für die Pixel-Erhebung (Meta Controller Addendum).
• TikTok Pixel. Anbieter: TikTok Technology Ltd., Dublin, Irland. Misst Seitenaufrufe, Warenkorb- und Kaufaktionen für TikTok-Kampagnen.
• LinkedIn Insight Tag. Anbieter: LinkedIn Ireland Unlimited Company, Dublin, Irland. Erfasst Seitenaufrufe und Conversions für LinkedIn-Kampagnen.

Attributionsdaten: Wir speichern beim ersten und letzten Besuch die UTM-Parameter (utm_source, utm_medium, utm_campaign,utm_content, utm_term), die Klick-IDs gclid(Google) und fbclid (Meta), die Landing-Page und den HTTP-Referrer in deinem Browser (localStorage). Diese Daten werden bei Bestellung an unseren Shop übermittelt, um die Herkunft der Bestellung intern auswerten zu können. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. – bei rein erstanbieter-bezogener Auswertung – Art. 6 Abs. 1 lit. f DSGVO.

Bei Kontaktaufnahme per E-Mail verarbeiten wir die uns mitgeteilten Daten zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b/f DSGVO). Transaktions-E-Mails (Bestell- und Versandbestätigung) versenden wir auf Grundlage des Vertrags.

Ein Newsletter wird — sofern angeboten — nur mit deiner ausdrücklichen Einwilligung im Double-Opt-in-Verfahren versendet (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Du kannst dich jederzeit per Link am Ende jeder E-Mail abmelden.

Wir setzen die folgenden Dienstleister nach Art. 28 DSGVO ein:

• Lovable Cloud / Supabase (Hosting, Datenbank, Auth) – EU-Region
• Stripe Payments Europe Ltd. (Zahlungsabwicklung) – Irland
• Google Ireland Ltd. (Analytics, Ads) – Irland / USA (EU-US Data Privacy Framework)
• Meta Platforms Ireland Ltd. (Pixel, CAPI) – Irland
• TikTok Technology Ltd. (Pixel) – Irland
• LinkedIn Ireland Unlimited Company (Insight Tag) – Irland
• Microsoft Ireland Operations Ltd. (Clarity) – Irland
• Plausible Insights OÜ (Analytics) – Estland
• [Versanddienstleister (z. B. DHL)]
• [Buchhaltungs-/Steuerberatung, falls zutreffend]

Bei einigen der genannten Dienste (insbesondere Google, Meta, TikTok, LinkedIn, Microsoft) ist eine Datenübermittlung in die USA nicht ausgeschlossen. Diese erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und – soweit zertifiziert – des EU-US Data Privacy Framework (Art. 45 DSGVO).

Wir speichern personenbezogene Daten nur so lange, wie es zur Zweckerreichung erforderlich ist. Konkret:

• Bestellabwicklung: bis Vertragserfüllung + gesetzliche Aufbewahrungsfristen.
• Rechnungs- und Buchhaltungsdaten: 10 Jahre (§ 147 AO, § 257 HGB).
• Kundenkonto: bis zum Widerruf bzw. zur Löschung durch dich.
• Notfallkarten-Rohdaten: nach Kartenerstellung, spätestens [30 Tage].
• Analyse-/Werbe-Cookies: gemäß Angabe des Anbieters bzw. bis zum Widerruf.

Du hast nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. bei der [zuständigen Landesdatenschutzbehörde].

Zur Ausübung genügt eine formlose Nachricht an [datenschutz@getyellowpoint.com].

Die Website ist durchgängig per TLS (HTTPS) verschlüsselt. Passwörter werden ausschließlich als kryptographische Hashes gespeichert. Datenbankzugriffe sind über Row-Level-Security und rollenbasierte Berechtigungen geschützt. Zahlungsdaten werden ausschließlich beim PCI-DSS-zertifizierten Zahlungsdienstleister Stripe verarbeitet.

Wir passen diese Datenschutzerklärung an, wenn sich rechtliche oder technische Rahmenbedingungen ändern. Die jeweils aktuelle Fassung ist unter /datenschutz abrufbar.