Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Admir Fazlic, Tapenda
Germanenstr. 34
45888 Gelsenkirchen
E-Mail: info@tapenda.com

Die vollständigen Kontaktdaten entnehmen Sie unserem Impressum.

2. Hosting (Vercel)

Diese Website wird bei der Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet. Beim Aufruf der Website werden technisch notwendige Daten (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer, User-Agent) in Server-Logs verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Dabei kann eine Übermittlung in die USA stattfinden; diese wird auf die EU-Standardvertragsklauseln gestützt.

3. Datenbank & Authentifizierung (Supabase)

Für Datenbank und Authentifizierung nutzen wir Supabase (Supabase Inc.). Dort werden Produkt-, Bestell- und ggf. Kontodaten sowie Admin-Zugangsdaten gespeichert und verarbeitet. Für das Kundenkonto (Verwaltung erworbener Aufsteller) melden Sie sich passwortlos an: Wir senden einen einmaligen Anmeldecode an Ihre E-Mail-Adresse; gespeichert werden dabei Ihre E-Mail-Adresse sowie Anmeldezeitpunkte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit der Anwendung). Server-Standort: Frankfurt am Main, Deutschland (AWS eu-central-1). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung (AVV).

4. Zahlungsabwicklung (Stripe)

Zahlungen wickeln wir über Stripe (Stripe Payments Europe, Ltd., Irland; Stripe, Inc., USA) ab. Im Rahmen des Bezahlvorgangs werden u. a. Ihr Name, Ihre E-Mail-Adresse, Ihre Rechnungs- bzw. Lieferadresse sowie Zahlungsdaten an Stripe übermittelt und dort verarbeitet. Bestellen Sie als Unternehmen, können Sie dort freiwillig zusätzlich Ihren Firmennamen und Ihre Umsatzsteuer- Identifikationsnummer angeben; beides erscheint dann auf der Rechnung und wird von uns zu deren Ausstellung und Aufbewahrung gespeichert. Kreditkarten- und Bankdaten erheben und speichern wir selbst nicht — diese werden ausschließlich von Stripe verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention). Weitere Informationen: stripe.com/de/privacy.

5. E-Mail-Versand (Resend)

Für den Versand transaktionaler E-Mails (z. B. Bestell- und Versandbestätigungen) nutzen wir Resend (Resend, Inc., USA). Dabei werden Ihre E-Mail-Adresse sowie die Inhalte der jeweiligen Nachricht verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässiger Kommunikation). Eine Übermittlung in die USA wird auf die EU-Standardvertragsklauseln gestützt.

6. Versandabwicklung (Sendcloud, DHL)

Für die Erstellung von Versandetiketten nutzen wir Sendcloud (Sendcloud B.V., Niederlande). Dabei werden Name, Lieferadresse und — sofern für Zustellhinweise erforderlich — E-Mail-Adresse verarbeitet und an das ausführende Transportunternehmen weitergegeben. Der Versand erfolgt über DHL (DHL Paket GmbH, Deutschland), das diese Daten zur Zustellung in eigener Verantwortung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit Sendcloud besteht ein Vertrag zur Auftragsverarbeitung (AVV).

7. Cookies und ähnliche Speichertechnologien

Die folgenden Übersichten nennen alle Cookies und Local-Storage-Einträge, die beim Besuch dieser Website auf Ihrem Endgerät gespeichert werden können — jeweils mit Anbieter, Speicherdauer und Zweck.

Technisch notwendig

• cartCookie

  Speichert die Inhalte Ihres Warenkorbs, damit sie zwischen den Seitenaufrufen erhalten bleiben.

  Anbieter: tapenda · Speicherdauer: 30 Tage

• promoCookie

  Merkt sich einen von Ihnen eingegebenen oder über einen Aktionslink aufgerufenen Rabattcode, damit dieser im Warenkorb angezeigt und beim Checkout eingelöst werden kann.

  Anbieter: tapenda · Speicherdauer: 30 Tage

• reservationCookie

  Hält fest, bis wann der für Sie zurückgelegte Bestand reserviert ist, und steuert den Countdown im Warenkorb.

  Anbieter: tapenda · Speicherdauer: 1 Stunde

• cookie-consentCookie

  Speichert Ihre Entscheidung zum Cookie-Banner, damit wir sie beachten und Sie nicht erneut fragen.

  Anbieter: tapenda · Speicherdauer: 6 Monate

• NEXT_LOCALECookie

  Merkt sich die von Ihnen gewählte Sprache, damit der Shop beim nächsten Besuch in derselben Sprache erscheint.

  Anbieter: tapenda · Speicherdauer: 1 Jahr

• admin_sessionCookie

  Hält im Admin-Bereich angemeldete Personen eingeloggt (nur für uns als Betreiber relevant).

  Anbieter: tapenda · Speicherdauer: 24 Stunden

• sb-*-auth-tokenCookie

  Hält Sie im Kundenportal angemeldet. Wird nur gesetzt, wenn Sie sich anmelden.

  Anbieter: Supabase Inc. · Speicherdauer: 400 Tage, bei fortgesetzter Nutzung jeweils erneuert

• __stripe_midCookie

  Betrugsprävention beim Bezahlvorgang. Wird gesetzt, sobald die Express-Bezahlweisen (Apple Pay, Google Pay, Link) im Warenkorb geladen werden.

  Anbieter: Stripe Payments Europe, Ltd. · Speicherdauer: 1 Jahr

• __stripe_sidCookie

  Betrugsprävention innerhalb eines laufenden Bezahlvorgangs. Gleiche Voraussetzung wie __stripe_mid.

  Anbieter: Stripe Payments Europe, Ltd. · Speicherdauer: 30 Minuten

• tapenda_tour_gesehenLocal Storage

  Merkt sich, dass Sie die Einführungstour im Kundenportal bereits gesehen haben.

  Anbieter: tapenda · Speicherdauer: unbegrenzt, bis Sie den Browserspeicher löschen

• ms:*Local Storage

  Merkt sich je Aufsteller, welcher Meilenstein im Kundenportal zuletzt gefeiert wurde, damit dieselbe Ansicht nicht mehrfach erscheint.

  Anbieter: tapenda · Speicherdauer: unbegrenzt, bis Sie den Browserspeicher löschen

Diese Einträge sind für den Betrieb der Website erforderlich; Rechtsgrundlage ist § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Eine Einwilligung ist hierfür nicht erforderlich. Ein Teil davon entsteht erst durch eine Handlung von Ihnen — etwa die Anmeldung im Kundenportal oder der Aufruf des Warenkorbs, in dem die Express-Bezahlweisen geladen werden.

Statistik — nur mit Ihrer Einwilligung

• _gaCookie

  Vergibt eine pseudonyme Kennung, mit der Google Analytics wiederkehrende Besuche unterscheidet.

  Anbieter: Google Ireland Ltd. · Speicherdauer: 2 Jahre

• _ga_*Cookie

  Hält den Sitzungszustand für unsere Google-Analytics-Property (Seitenaufrufe und Ereignisse einer Sitzung).

  Anbieter: Google Ireland Ltd. · Speicherdauer: 2 Jahre

• _clckCookie

  Vergibt eine pseudonyme Kennung für Microsoft Clarity, damit mehrere Besuche derselben Auswertung zugeordnet werden.

  Anbieter: Microsoft Ireland Operations Ltd. · Speicherdauer: 1 Jahr

• _clskCookie

  Fasst die Seitenaufrufe einer Sitzung für Microsoft Clarity zusammen (Heatmaps, Sitzungsaufzeichnung).

  Anbieter: Microsoft Ireland Operations Ltd. · Speicherdauer: 1 Tag

Marketing — nur mit Ihrer Einwilligung

• _gcl_*Cookie

  Ordnet einen Kauf einem vorangegangenen Klick auf eine unserer Anzeigen zu (Conversion-Messung).

  Anbieter: Google Ireland Ltd. · Speicherdauer: 90 Tage

• _gac_*Cookie

  Verbindet Kampagnen-Informationen aus Google Ads mit den Analytics-Daten unserer Website.

  Anbieter: Google Ireland Ltd. · Speicherdauer: 90 Tage

• tap_attrCookie

  Speichert die beim Anzeigenklick übergebene Klick-ID sowie Kampagnen-Parameter, um eine spätere Bestellung der Kampagne zuzuordnen. Wird bei Widerruf gelöscht.

  Anbieter: tapenda · Speicherdauer: 90 Tage

Statistik- und Marketing-Einträge werden ausschließlich nach Ihrer jeweiligen Einwilligung über das Cookie-Banner gesetzt (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); die dahinter stehenden Dienste beschreiben die Abschnitte 7a und 7b. Ihre Einwilligung können Sie jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen.

Zur Erfüllung unserer Nachweispflicht (Art. 7 Abs. 1 DSGVO) speichern wir bei einer Bestellung den Stand Ihrer Einwilligungsentscheidung zum Bestellzeitpunkt zusammen mit der Bestellung.

Kurze Frage nach dem Kauf. Auf der Bestellbestätigungsseite fragen wir freiwillig, wie Sie auf uns aufmerksam geworden sind. Ihre Antwort — die gewählte Kategorie und bei „Etwas anderes“ ein optionaler Zusatz von höchstens 120 Zeichen — speichern wir zusammen mit der Bestellung, um den Erfolg unserer Werbung beurteilen zu können. Die Angabe ist freiwillig; ohne sie ändert sich nichts an Ihrer Bestellung. Rechtsgrundlage ist unser berechtigtes Interesse an der Auswertung der eigenen Werbemaßnahmen (Art. 6 Abs. 1 lit. f DSGVO). Es werden dabei weder Cookies gesetzt noch Ihre IP-Adresse oder Ihr Browser gespeichert; die Antwort wird gemeinsam mit der Bestellung gelöscht.

7a. Webanalyse (Google Analytics 4)

Nur mit Ihrer Einwilligung (Cookie-Banner, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) nutzen wir Google Analytics 4 der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Verarbeitet werden pseudonymisierte Nutzungsdaten (aufgerufene Seiten, Ereignisse wie „in den Warenkorb“, gekürzte IP-Adresse, daraus abgeleiteter ungefährer Standort auf Stadt- bzw. Regionsebene, Geräteinformationen). Dabei kann eine Übermittlung an Google LLC in die USA stattfinden; diese stützt sich auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Die Speicherdauer der Analytics-Daten beträgt maximal 14 Monate.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ im Seitenfuß können Sie das Banner erneut öffnen und Ihre Auswahl ändern (alternativ durch Löschen des Consent-Cookies). Ohne Einwilligung findet keine Webanalyse statt. Bestellabschlüsse (Bestellwert und Produkte) messen wir zusätzlich server-seitig — ausschließlich dann, wenn zum Bestellzeitpunkt Ihre Analytics-Einwilligung vorlag; dabei verwenden wir die Client- und die Sitzungs-ID aus den Google-Analytics-Cookies (_ga, _ga_*), um die Bestellung Ihrer Sitzung zuzuordnen, und übermitteln den Stand Ihrer Marketing-Einwilligung mit (Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung werden dabei keine Daten an Google übermittelt. Beide Kennungen speichern wir zur Bestellung und löschen sie 30 Tage nach der Bestellung; die Bestellung selbst bleibt aus handels- und steuerrechtlichen Gründen erhalten (siehe Ziffer 11). Auf demselben Weg und unter denselben Voraussetzungen melden wir eine spätere Erstattung (Bestellnummer und erstatteter Betrag), damit die Auswertung nicht dauerhaft einen Umsatz ausweist, den es nicht gab.

Kundenkonto. Sind Sie im Kundenportal angemeldet und haben in die Kategorie „Statistik“ eingewilligt, übermitteln wir an Google Analytics zusätzlich eine pseudonyme Kontokennung(zufällige Zeichenfolge, sogenannte User-ID). Sie erlaubt uns, Besuche desselben Kontos auf verschiedenen Geräten als zusammengehörig zu zählen. Ihre E-Mail-Adresse, Ihr Name oder andere Angaben, aus denen Google auf Sie schließen könnte, werden dabei nicht übermittelt.

Microsoft Clarity. Ebenfalls nur mit Ihrer Einwilligung in die Kategorie „Statistik“ nutzen wir Microsoft Clarity der Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Clarity zeichnet den Ablauf Ihres Besuchs auf (Mausbewegungen, Klicks, Scrollverhalten, Seitenwechsel) und erstellt daraus Heatmaps und Sitzungswiedergaben. Unser Zweck ist allein, Bedienprobleme zu erkennen — etwa an welcher Stelle des Bestellvorgangs Besucherinnen und Besucher abbrechen. Eingegebene Texte sowie Inhalte von Formularfeldern sind dabei maskiert und werden nicht übertragen. Dabei kann eine Übermittlung an die Microsoft Corporation in die USA stattfinden; diese stützt sich auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln. Microsoft löscht Sitzungswiedergaben nach 30 Tagen sowie Heatmaps, markierte Sitzungen und Klickdaten nach 9 Monaten.

Microsoft ist hier eigenständig verantwortlich — nicht unser Auftragsverarbeiter. Das ist ein Unterschied, der Sie unmittelbar betrifft, deshalb steht er hier und nicht im Kleingedruckten: Nach den Nutzungsbedingungen von Clarity sind Microsoft und wir zwei voneinander unabhängige Verantwortliche. Microsoft handelt also nicht auf unsere Weisung, und wir können Microsofts Umgang mit den Daten nicht bestimmen. Microsoft darf die erhobenen Daten nach eigener Angabe für eigene Zwecke nutzen: um den Dienst bereitzustellen, um eigene Produkte und Dienste zu verbessern und um Nutzerprofile zu bilden, auch zu Werbezwecken; nicht personenbezogene Daten außerdem für Forschung, Entwicklung und das Training von Modellen. Genau hierfür fragen wir Ihre Einwilligung mit ab — willigen Sie in die Kategorie „Statistik“ nicht ein, findet nichts davon statt. Was Microsoft mit den Daten tut, steht im Microsoft-Datenschutzerklärung. Ein Löschen der Daten einzelner Personen sieht Clarity nicht vor; einen Antrag auf Auskunft oder Löschung dieser Daten richten Sie deshalb an Microsoft. Wenden Sie sich an uns, leiten wir ihn weiter.

Welche Cookies Clarity setzt — und welche nicht. Mit Ihrer Einwilligung in die Kategorie „Statistik“ setzt Clarity die beiden eigenen Cookies _clck und _clsk. Darüber hinaus kann Clarity Cookies auf Microsoft-Domains setzen (MUID, CLID, MR, SM, ANONCHK); die Kennung MUIDnutzt Microsoft nach eigenen Angaben auch für Werbung. Diese Cookies entstehen bei uns nicht — auch dann nicht, wenn Sie in die Kategorie „Marketing“ einwilligen. Wir übermitteln Clarity die Einwilligung für Werbespeicherung (ad_Storage) dauerhaft als verweigert und nur die Statistik-Entscheidung als solche (analytics_Storage). Der Grund ist einfach: Wir wollen Bedienprobleme erkennen und schalten keine Microsoft-Werbung, also gibt es keinen Anlass für Kennungen, die Sie über Microsoft-Dienste hinweg wiedererkennen. Cookies auf Microsoft-Domains könnten wir technisch auch nicht löschen — was nicht entsteht, muss man nicht löschen. Widerrufen Sie die Statistik-Einwilligung, beendet Clarity die Sitzung, löscht seine eigenen Cookies und zeichnet nur noch ohne wiedererkennbare Kennung auf; _clck und _clsk löschen wir zusätzlich selbst.

Welche zusätzlichen Angaben wir an Clarity übermitteln. Damit sich die Aufzeichnungen überhaupt auswerten lassen, geben wir Clarity dieselben Merkmale mit, die auch in unserer Reichweitenmessung stehen: die Art der Seite (etwa Produktseite oder Warenkorb), ob wir Sie als Neu- oder Bestandskunde bzw. mit welchem Portal-Tarif erkennen, den Kenncode der Anzeige oder des gedruckten Werbemittels, über das Sie zu uns gekommen sind, und die Bezeichnung der jeweiligen Handlung — dieselbe, die auch unsere Reichweitenmessung zählt: etwa das Ansehen eines Produkts, das Legen in den Warenkorb, den Beginn des Bestellvorgangs oder die Anmeldung im Kundenportal. Übermittelt wird dabei nur die Bezeichnung, nicht deren Inhalt: also weder Warenwert noch Artikel noch Bestellnummer. Sitzungen mit einem Warenkorb- oder Bestellschritt melden wir Clarity zusätzlich als vorrangig, damit gerade sie nicht dem Aufzeichnungslimit zum Opfer fallen. Diese Angaben beschreiben den Besuch, nicht die Person: Namen, E-Mail-Adressen, Anschriften, Bestell- und Kundennummern übermitteln wir Clarity nicht, und die Funktion, mit der sich Sitzungen einem Konto zuordnen ließen, nutzen wir bewusst nicht.

7b. Werbung (Google Ads)

Nur mit Ihrer Einwilligung (Cookie-Banner, Kategorie „Marketing“, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) nutzen wir Google Ads der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, für Conversion-Messung und Remarketing. Dabei werden Cookies gesetzt (u. a. _gcl_*, _gac_*) und Informationen über Ihre Nutzung unserer Website verarbeitet, um den Erfolg unserer Werbeanzeigen zu messen und Ihnen auf Google-Diensten und Partner-Websites interessenbezogene Werbung anzuzeigen; Google bildet dafür Interessenprofile über mehrere Websites hinweg. Dabei kann eine Übermittlung an Google LLC in die USA stattfinden; diese stützt sich auf das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Zur Zuordnung von Bestellungen zu Anzeigenklicks speichern wir außerdem ein eigenes First-Party-Cookie tap_attr: Es enthält die von Google beim Klick auf eine Anzeige übergebene Klick-ID (gclid, gbraid bzw. wbraid) sowie ggf. Kampagnen-Parameter (utm_*) und hat eine Laufzeit von 90 Tagen. Es wird nur nach Ihrer Einwilligung in die Kategorie „Marketing“ gesetzt und bei Widerruf gelöscht. Schließen Sie eine Bestellung ab, speichern wir diese Angaben zur Bestellung, um den Werbeerfolg unserer Kampagnen auszuwerten, und löschen sie dort 90 Tage nach der Bestellung.

Für das Remarketing übermitteln wir dabei auch, welche Produkte Sie angesehen oder in den Warenkorb gelegt haben: die Artikelnummer der jeweiligen Variante — dieselbe, die auch in unserem Produktdatenfeed steht — sowie den zugehörigen Preis. Google kann Ihnen damit später Anzeigen genau zu diesen Produkten zeigen. Schließen Sie eine Bestellung ab, übermitteln wir zusätzlich die Artikelnummern, Mengen und Preise der gekauften Artikel sowie einen gewährten Rabatt, damit wir den Werbeerfolg je Produkt auswerten können. Auch das geschieht ausschließlich nach Ihrer Einwilligung in die Kategorie „Marketing“ und unterbleibt ohne sie vollständig.

Zur Verbesserung der Conversion-Messung nutzen wir außerdem „erweiterte Conversions“ von Google: Schließen Sie eine Bestellung ab, übermitteln wir die dabei angegebenen Bestelldaten (E-Mail-Adresse, Name, Telefonnummer, Anschrift) in gehashter, d. h. mittels SHA-256 pseudonymisierter Form an Google. Google verwendet diese Daten ausschließlich in unserem Auftrag, um sie mit eingeloggten Google-Konten abzugleichen und Conversions unseren Anzeigen zuzuordnen. Klartextdaten werden dabei nicht an Google übertragen. Rechtsgrundlage ist ebenfalls Ihre Einwilligung in die Kategorie „Marketing“ (Art. 6 Abs. 1 lit. a DSGVO); ohne diese Einwilligung findet keine Übermittlung statt.

Dasselbe gilt für unsere Kontakt- und Anfrageformulare: Schicken Sie eines ab, übermitteln wir — wiederum nur bei Einwilligung in die Kategorie „Marketing“ — allein Ihre gehashte E-Mail-Adresse(SHA-256) an Google, damit Google die Anfrage einem vorangegangenen Anzeigenklick zuordnen kann. Der Hash entsteht auf unserem Server; Ihre Adresse im Klartext, Ihr Name und der Inhalt Ihrer Nachricht verlassen unser System dabei nicht. Ohne Einwilligung unterbleibt die Übermittlung vollständig — die Anfrage selbst erreicht uns unabhängig davon.

Wir setzen den Google Consent Mode v2 ein: Ohne Ihre Einwilligung werden keine Marketing-Cookies gesetzt und keine Werbedaten (ad_storage, ad_user_data, ad_personalization) an Google übermittelt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Link „Cookie-Einstellungen“ im Seitenfuß; die zugehörigen Cookies werden beim Widerruf gelöscht. Weitere Informationen zur Datenverarbeitung durch Google: policies.google.com/privacy.

7c. Einrichtung Ihres Aufstellers

Im Bestellvorgang fragen wir Name und Ort Ihres Geschäfts ab; freiwillig können Sie zusätzlich den Link zu Ihrem Google-Eintrag angeben. Wir verwenden diese Angaben ausschließlich, um vor dem Versand das Weiterleitungsziel Ihres Aufstellers einzurichten — in der Regel den Bewertungslink Ihres Google-Unternehmensprofils. Dazu rufen wir Ihren öffentlich einsehbaren Eintrag bei Google Maps auf; dabei werden Ihre Angaben nicht an Google übermittelt, sondern nur wie bei einer gewöhnlichen Suche nachgeschlagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Kaufvertrags): die eingerichtete Weiterleitung gehört zum geschuldeten Leistungsumfang.

Die Angaben werden mit Ihrer Bestellung gespeichert und mit dieser gelöscht (siehe Ziffer 11). Ändern oder löschen können Sie das eingestellte Ziel jederzeit selbst in Ihrem Kundenkonto.

8. Redirect- & Scan-Statistik

Beim Aufruf eines Weiterleitungs-Links (Pfad /r/{code}, z. B. durch Scannen eines QR-Codes oder Antippen eines NFC-Tags) protokollieren wir zu statistischen Zwecken den Zeitpunkt des Aufrufs, eine grobe Geräteklasse (iOS, Android oder sonstige) und den Host der verweisenden Seite (z. B. google.com). Den vollständigen User-Agent und die vollständige verweisende Adresse speichern wir nicht; beide werden bereits bei der Anfrage auf diese beiden Angaben reduziert und im Übrigen verworfen. Diese Daten dienen der Reichweiten- und Nutzungsauswertung der von uns bereitgestellten Codes; der Inhaber des jeweiligen Aufstellers sieht sie in seinem Kundenkonto.

Ihre IP-Adresse wird nicht zum Scan gespeichert. Sie wird ausschließlich flüchtig verarbeitet und ausschließlich als kryptografischer Hash (SHA-256 mit Server-Geheimnis) in einem Missbrauchsschutz-Zähler abgelegt, der Scan-Spam begrenzt. Dieser Zähler wird spätestens 24 Stunden nach Ablauf des Zeitfensters gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung der Nutzung unserer Produkte und Weiterleitungen sowie am Schutz vor missbräuchlicher Nutzung). Speicherdauer der Einzel-Ereignisse: 14 Monate; danach werden sie automatisiert gelöscht. Erhalten bleiben lediglich anonyme Monatssummen je Aufsteller (reine Zahlen ohne Geräte-, Referrer- oder Zeitangaben), die keinen Personenbezug mehr aufweisen. Sie können der Verarbeitung gemäß Art. 21 DSGVO widersprechen.

Gedruckte Werbemittel. QR-Codes auf unseren eigenen Flyern und Plakaten führen über den Pfad /f/{code} auf unsere Website. Hier protokollieren wir noch weniger: ausschließlich das Kürzel des Werbemittels, den Zeitpunkt, das Land (Ländercode aus der Netzverbindung, z. B. DE) und die Angabe, ob der Aufruf von einem Mobilgerät kam. Weder Referrer noch User-Agent werden gespeichert; mit Ihrer IP-Adresse verfahren wir wie oben beschrieben. Diese Angaben lassen keinen Rückschluss auf Ihre Person zu — auch nicht in Verbindung miteinander — und dienen allein der Frage, wie oft ein Werbemittel gescannt wurde. Rechtsgrundlage für den Missbrauchsschutz ist Art. 6 Abs. 1 lit. f DSGVO. Auf der Zielseite gelten anschließend die üblichen Regeln dieser Erklärung; insbesondere werden Analyse- und Marketing-Dienste erst nach Ihrer Einwilligung geladen.

Zustimmungsquote des Cookie-Banners. Sobald Sie im Banner entscheiden — gleich ob Sie zustimmen, ablehnen oder eine Auswahl treffen — vermerken wir auf unserem Server ausschließlich, welche Kategorien gewählt wurden, ob die Entscheidung im Hinweis-Dialog oder in den Cookie-Einstellungen fiel, um welche Art von Seite es sich handelte (z. B. Startseite, Produktseite), in welcher Sprache und ob der Aufruf von einem Mobilgerät kam. Weder IP-Adresse noch User-Agent, Referrer oder eine Kennung werden dabei gespeichert; auf Ihrem Gerät wird zu diesem Zweck nichts gelesen oder abgelegt. Die Angaben lassen keinen Rückschluss auf Ihre Person zu und dienen allein der Frage, wie häufig unser Banner angenommen wird. Sie werden nach 90 Tagen gelöscht. Rechtsgrundlage für diese Auswertung und für den Missbrauchsschutz (Ihre IP-Adresse geht dabei ausschließlich gehasht in eine Aufrufbegrenzung ein und wird nicht gespeichert) ist unser berechtigtes Interesse an einer belastbaren Reichweitenaussage, Art. 6 Abs. 1 lit. f DSGVO. Eine Einwilligung ist dafür nicht nötig, weil auf Ihrem Endgerät weder etwas gespeichert noch ausgelesen wird (§ 25 Abs. 1 TDDDG).

9. Produktbewertungen

Nach dem Versand einer Bestellung senden wir einmalig eine E-Mail mit der Bitte um eine Produktbewertung (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Kundenfeedback zu gekauften Produkten; § 7 Abs. 3 UWG). Reichen Sie eine Bewertung ein, verarbeiten wir die Bewertungsinhalte, den optional angegebenen Anzeigenamen sowie die Zuordnung zu Ihrer Bestellung (Nachweis „Verifizierter Kauf“). Freigegebene Bewertungen werden mit Anzeigename (oder „Anonym“) öffentlich auf der Produktseite angezeigt. Sie können die Löschung Ihrer Bewertung jederzeit formlos verlangen.

10. Newsletter

Sie können sich über das Newsletter-Formular oder über ein nicht vorausgewähltes Kontrollkästchen im Warenkorb für unseren Newsletter anmelden. Bei Anmeldung speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung und der Bestätigung (Double Opt-in) — erst nach Klick auf den Bestätigungslink erhalten Sie Werbung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); der Versand erfolgt über Resend (siehe Abschnitt 5). Sie können sich jederzeit über den Link in jeder E-Mail abmelden.

Als Dankeschön für die Anmeldung erhalten Sie nach bestätigtem Double-Opt-in einen einmaligen Rabattcode über 10 % auf Ihre erste Bestellung (technisch als personengebundener Stripe-Gutschein umgesetzt, einmal einlösbar, 90 Tage gültig). Die Einwilligung ist freiwillig; der Rabatt ist kein Nachteil bei Nicht-Anmeldung, sondern ein zusätzlicher Vorteil. Ihr Abo können Sie jederzeit beenden, ohne dass ein bereits erhaltener Code verfällt.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. handels- und steuerrechtlich bis zu 10 Jahre) dies vorschreiben. Danach werden die Daten gelöscht oder anonymisiert.

11a. Übermittlung in Drittländer und wo Sie die Garantien einsehen

Mehrere der oben genannten Dienste verarbeiten Daten in den USA oder können sie dorthin übermitteln: Vercel (Hosting), Stripe (Zahlungsabwicklung), Resend (E-Mail-Versand), Google (Webanalyse und Werbung) und Microsoft (Clarity). Für die USA besteht kein allgemeiner Angemessenheitsbeschluss. Die Übermittlungen stützen sich deshalb auf zwei Instrumente:

• EU-U.S. Data Privacy Framework. Für Unternehmen, die sich nach diesem Rahmen zertifiziert haben, gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Ob ein bestimmtes Unternehmen zertifiziert ist, können Sie jederzeit selbst in der öffentlichen Liste nachsehen: dataprivacyframework.gov/list.
• EU-Standardvertragsklauseln. Wo keine Zertifizierung greift, haben wir mit dem jeweiligen Anbieter die Standardvertragsklauseln der EU-Kommission abgeschlossen. Ihr Wortlaut ist amtlich veröffentlicht im Durchführungsbeschluss (EU) 2021/914: eur-lex.europa.eu.

Kopie auf Anfrage. Eine Kopie der für einen bestimmten Dienst konkret abgeschlossenen Garantien stellen wir Ihnen auf Wunsch zur Verfügung. Eine kurze Nachricht an die unter Ziffer 1 genannte Anschrift oder E-Mail-Adresse genügt; nennen Sie darin bitte den Dienst, um den es geht. Geschäftsgeheimnisse und Angaben zu Dritten können wir darin unkenntlich machen — der datenschutzrechtliche Teil bleibt vollständig lesbar.

Bei Microsoft Clarity liegt der Fall anders, und wir sagen es deutlich: Microsoft ist dort eigenständig verantwortlich und nicht unser Auftragsverarbeiter (siehe Ziffer 7a). Wir können Ihnen deshalb keine mit Microsoft abgeschlossenen Garantien für diese Verarbeitung vorlegen — die Übermittlung innerhalb des Microsoft-Konzerns in die USA regelt Microsoft selbst.

12. Ihre Rechte als betroffene Person

Ihnen stehen folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an: info@tapenda.com.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist u. a. die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder die für uns zuständige Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.