Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser
Website und bei einer Bestellung in unserem Shop verarbeitet werden, wozu, auf
welcher Rechtsgrundlage und wie lange.
1. Verantwortlicher
Bäckerei & Konditorei Tilo Grafe
Weißiger Straße 82
01705 Freital
Telefon: 0351 643351
E-Mail: kontakt@baeckerei-grafe.de
Einen Datenschutzbeauftragten haben wir nicht bestellt; dazu sind wir
gesetzlich nicht verpflichtet.
2. Das Wichtigste vorab
Diese Website lädt **keine Inhalte von fremden Servern** — keine fremden
Skripte, keine fremden Schriften, keine fremden Bilder, keine Karten, keine
Videos und keine Zählpixel. Alles, was Ihr Browser lädt, kommt von
baeckerei-grafe.de.
Wir messen in **zwei Schichten**, und nur die zweite fragt Sie:
1. **Ohne Ihre Einwilligung** zählen wir, wie oft eine Seite an einem Tag
aufgerufen wurde, grob woher der Aufruf kam (direkt, über eine Suchmaschine
oder über einen Verweis) und ob er von einem Handy, Tablet oder Rechner kam.
Dabei entsteht **keine Kennung**, nichts wird in Ihrem Browser gespeichert,
und es entsteht kein Datensatz zu Ihrem Besuch — nur ein hochgezählter Wert.
Aus „am 3. November wurde das Sortiment 412-mal aufgerufen" lässt sich
niemand wiedererkennen.
2. **Mit Ihrer Einwilligung** erkennen wir Ihren Browser über einen längeren
Zeitraum wieder und können dadurch sehen, welchen Weg Besucher durch die
Seite nehmen und über welche Kampagne sie gekommen sind. Dafür fragen wir
Sie beim ersten Besuch.
Sie können jederzeit **Nein** sagen und eine einmal gegebene Zustimmung
jederzeit widerrufen; der Weg dazu steht dauerhaft in der Fußzeile. Lehnen Sie
ab, bleibt es bei Schicht 1 — und die Seite funktioniert unverändert.
Wir geben derzeit **keine Daten an Google, Meta/Facebook oder vergleichbare
Werbenetzwerke** weiter. Sollte sich das ändern, erfahren Sie es hier und
werden vorher gefragt.
3. Aufruf der Website (Serverprotokoll)
Beim Aufruf einer Seite übermittelt Ihr Browser technisch notwendige Daten an
unseren Server. Verarbeitet werden: die aufgerufene Adresse, Datum und Uhrzeit,
die übertragene Datenmenge, der Status der Anfrage, die verweisende Seite und
die Angaben Ihres Browsers zu Typ und Version.
**Zweck:** Auslieferung der Seite, Betriebssicherheit und Fehlersuche.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes
Interesse ist der sichere und störungsfreie Betrieb.
Missbrauchsabwehr
Um Massenanfragen auf Formulare und die Anmeldung zu begrenzen, speichern wir
Ihre IP-Adresse kurzzeitig zusammen mit einem Zähler. Diese Einträge werden
spätestens eine Stunde nach Ablauf des jeweiligen Zeitfensters automatisch
gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO; unser
berechtigtes Interesse ist der Schutz vor automatisiertem Missbrauch.
Hosting
Die Website läuft auf einem Server der Contabo GmbH, Aschauer Straße 32a,
81549 München, in einem Rechenzentrum in Deutschland. Contabo verarbeitet die
Daten als Auftragsverarbeiter nach unseren Weisungen.
4. Speicherung im Browser
Wir setzen auf den öffentlichen Seiten **keine Cookies**. Für die von Ihnen
angeforderten Shop-Funktionen nutzen wir den Speicher Ihres Browsers:
- **Warenkorb** (`localStorage`): die gewählten Artikel und Mengen. Der Eintrag
bleibt, bis Sie den Warenkorb leeren oder den Browserspeicher löschen. - **Bestellbestätigung** (`sessionStorage`): die Antwort auf Ihre abgeschickte
Bestellung, damit die Bestätigungsseite sie anzeigen kann. Der Eintrag endet
mit dem Schließen des Browsertabs.
- **Ihre Entscheidung zur Besuchsstatistik** (Cookie `bg_einwilligung`): ob Sie
zugestimmt oder abgelehnt haben, zu welcher Fassung, dazu eine zufällige
Kennung. Laufzeit ein Jahr, danach fragen wir erneut.
Warenkorb und Bestellbestätigung bleiben in Ihrem Browser und werden nicht an
uns übertragen. Alle drei Einträge sind für die von Ihnen gewünschte Funktion
unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) — auch das
Einwilligungs-Cookie: Es führt aus, was Sie verlangt haben, nämlich nicht
erneut gefragt zu werden.
Stimmen Sie der Besuchsstatistik zu, kommt eine **Besucher- und
Sitzungskennung** hinzu; die ist **nicht** notwendig und entsteht nur mit Ihrer
Einwilligung (siehe Abschnitt 4a).
4a. Besuchsstatistik
**Ohne Einwilligung (Schicht 1).** Wir erhöhen je Kalendertag einen Zähler für
die aufgerufene Seite, die Herkunftsklasse und die Geräteklasse. Es entsteht
keine Kennung, nichts wird auf Ihrem Gerät gespeichert oder von dort gelesen,
und es entsteht kein Eintrag, der sich Ihnen zuordnen ließe.
**Zweck:** zu erkennen, welche Seiten gebraucht werden und ob die Darstellung
auf dem Handy taugt.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe f DSGVO; unser berechtigtes
Interesse ist der bedarfsgerechte Betrieb der Website. Eine Einwilligung nach
§ 25 TDDDG ist nicht erforderlich, weil wir auf Ihrem Gerät weder speichern
noch lesen.
**Mit Einwilligung (Schicht 2).** Stimmen Sie zu, legen wir eine zufällige
Besucher- und Sitzungskennung in Ihrem Browser ab und zeichnen auf, welche
Seiten Sie in welcher Reihenfolge aufrufen, worauf Sie klicken (die Beschriftung
des Knopfes oder Verweises, nicht der Inhalt von Eingabefeldern), ob Sie
wiederkommen und über welche Kampagne Sie gekommen sind (Werte wie
`utm_quelle`, `utm_kampagne`, `gclid`, `fbclid` aus der aufgerufenen Adresse).
Dazu speichern wir aus Ihrer Browserkennung: **Browserfamilie mit
Hauptfassung** (etwa „Chrome 130"), **Betriebssystem mit Hauptfassung** (etwa
„Android 14") und ob es sich um den eingebauten Browser einer App oder um ein
Abrufprogramm handelt. Die **vollständige** Browserkennung speichern wir
nicht: Baunummer und Gerätemodell machen daraus einen Fingerabdruck und
beantworten keine der Fragen, um die es uns geht (funktioniert die Seite in
dieser Fassung, bricht sie im App-Browser ab, ist das überhaupt ein Mensch).
Diese Daten bleiben bei uns.
**Zweck:** zu verstehen, an welcher Stelle eine Bestellung abgebrochen wird.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe a DSGVO und § 25 Abs. 1 TDDDG.
**Wenn Sie bestellen.** Bis dahin hängt Schicht 2 an einer zufälligen Kennung
und an keinem Namen. Geben Sie eine Bestellung auf, vermerken wir **die
Bestellnummer an diesem Besuch** — damit ist der aufgezeichnete Weg ab diesem
Zeitpunkt Ihrer Bestellung zugeordnet und nicht mehr anonym. Den Vermerk setzt
unser Server beim Anlegen der Bestellung; frühere Besuche derselben Kennung
sind dadurch ebenfalls zuordenbar.
**Zweck:** zu erkennen, welche Wege zu einer Bestellung führen und welche nicht.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe a DSGVO — dieselbe Einwilligung;
ohne sie entsteht weder der Weg noch der Vermerk. Die Bestellung selbst
verarbeiten wir unabhängig davon nach Abschnitt 5.
**Nachweis Ihrer Entscheidung.** Wir speichern, wann Sie entschieden haben, wie
Sie entschieden haben und zu welcher Fassung dieses Hinweises. Dazu gehört die
zufällige Kennung aus dem Einwilligungs-Cookie — nicht Ihre IP-Adresse und
nicht Ihre Mailadresse. Ohne diesen Nachweis könnten wir nicht belegen, dass
wir Sie gefragt haben.
**Widerruf.** Jederzeit über die Fußzeile, mit Wirkung für die Zukunft. Nach dem
Widerruf wird Schicht 2 eingestellt; der Widerruf selbst wird festgehalten,
damit er belegbar bleibt. Ändern wir den Wortlaut der Frage, fragen wir erneut
— eine Zustimmung gilt nur für den Text, zu dem sie gegeben wurde.
5. Bestellung im Shop
Für eine Bestellung verarbeiten wir: Name, Lieferanschrift, E-Mail-Adresse,
gegebenenfalls abweichende Rechnungsanschrift, freiwillig Ihre Telefonnummer
für Rückfragen zur Lieferung, bei Geschäftskunden Firma und freiwillig die
Umsatzsteuer-Identifikationsnummer, dazu die bestellten Artikel, Beträge, den
gewählten Zahlungsweg und Ihre Anmerkung, falls Sie eine machen.
**Zweck:** Abschluss und Abwicklung des Kaufvertrags.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe b DSGVO.
Ein Kundenkonto legen wir nicht an. Jede Bestellung steht für sich.
**Aufbewahrung:** Rechnungen und die darauf stehenden Angaben bewahren wir nach
§ 147 Abgabenordnung und § 257 Handelsgesetzbuch auf. Die Frist beträgt zehn
Jahre und beginnt mit dem Ende des Kalenderjahres, in dem die Rechnung
entstanden ist. Rechtsgrundlage für diese Aufbewahrung ist Art. 6 Abs. 1
Buchstabe c DSGVO. Während dieser Zeit sind die Angaben in der Verarbeitung
eingeschränkt: Sie dienen nur noch dem Zweck der Aufbewahrung.
6. Zahlung
Je nach gewählter Zahlungsart geben wir die zur Abwicklung nötigen Daten an den
Zahlungsdienstleister weiter. Rechtsgrundlage ist jeweils Art. 6 Abs. 1
Buchstabe b DSGVO.
- **Kredit- und Debitkarte über Stripe.** Anbieter für Kunden im Europäischen
Wirtschaftsraum ist die Stripe Payments Europe, Limited, 1 Grand Canal
Street Lower, Dublin, Irland. Wir übermitteln den Bestellbezug, den Betrag
und Ihre E-Mail-Adresse. Ihre Kartendaten geben Sie unmittelbar bei Stripe
ein; wir sehen sie nicht und speichern sie nicht. - **PayPal.** Anbieter ist die PayPal (Europe) S.à r.l. et Cie, S.C.A.,
22-24 Boulevard Royal, 2449 Luxemburg. Wir übermitteln den Bestellbezug und
den Betrag. Ihre Zugangsdaten geben Sie unmittelbar bei PayPal ein. - **Vorkasse.** Hier geben wir keine Daten an Dritte weiter. Ihre Überweisung
erreicht uns über unser Geschäftskonto. Zum Abgleich verarbeiten wir Betrag,
Währung, Verwendungszweck, Datum und die Kennung des Zahlungsvorgangs. Den
Namen des Zahlenden und seine Bankverbindung speichern wir dabei nicht.
7. Versand
Für den Versand übermitteln wir Ihren Namen und die Lieferanschrift an die DHL
Paket GmbH, Sträßchensweg 10, 53113 Bonn. Haben Sie eine E-Mail-Adresse oder
Telefonnummer angegeben, geben wir diese mit, damit DHL Sie über die Sendung
benachrichtigen kann.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe b DSGVO.
8. E-Mails zu Ihrer Bestellung
Bestellbestätigung, Zahlungsdaten, Versandmeldung und Rechnung verschicken wir
über die Resend, Inc. Der Versand erfolgt in der Region EU (Irland). Übermittelt
werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht
einschließlich der Rechnung.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe b DSGVO.
Unsere Postfächer für eingehende Nachrichten liegen bei der Zoho Corporation
B.V. im europäischen Rechenzentrum. Schreiben Sie uns eine E-Mail, verarbeiten
wir Ihre Nachricht dort, um sie zu beantworten (Art. 6 Abs. 1 Buchstabe b oder
f DSGVO).
9. Newsletter
Den Newsletter erhalten Sie nur, wenn Sie ihn bestellen und Ihre Anmeldung über
einen Link in einer Bestätigungsmail bestätigen (doppelte Einwilligung).
Verarbeitet werden Ihre E-Mail-Adresse, freiwillig Ihr Name, der Zeitpunkt der
Anmeldung und der Zeitpunkt der Bestätigung. Die Zeitpunkte dienen dem Nachweis
der Einwilligung.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe a DSGVO.
Für den Versand nutzen wir Mailchimp, einen Dienst der Intuit Inc., USA.
Übermittelt werden ausschließlich Ihre E-Mail-Adresse und der Zustand Ihres
Abonnements. Die Übermittlung in die USA stützt sich auf die Standardvertrags-
klauseln der Europäischen Kommission und auf das EU-US Data Privacy Framework.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
In jeder Newsletter-Mail steht dafür ein Abmeldelink; viele Mailprogramme
zeigen zusätzlich einen eigenen Abmeldeknopf an. Nach dem Widerruf merken wir
uns Ihre Adresse als abgemeldet, damit Sie keine weiteren Nachrichten erhalten.
10. Tortenanfrage
Schicken Sie uns eine Anfrage über das Tortenformular, verarbeiten wir die
Angaben aus dem Formular einschließlich Ihres Namens, Ihrer E-Mail-Adresse und
— falls angegeben — Ihrer Telefonnummer. Die Anfrage geht als E-Mail an unsere
Konditorei und wird dafür im Mailausgang unseres Shops gespeichert.
**Zweck:** Beantwortung Ihrer Anfrage und gegebenenfalls Anbahnung eines
Vertrags.
**Rechtsgrundlage:** Art. 6 Abs. 1 Buchstabe b DSGVO.
11. Empfänger im Überblick
Außer den oben genannten Dienstleistern geben wir Ihre Daten nicht weiter. Eine
Ausnahme gilt, wenn wir gesetzlich dazu verpflichtet sind — etwa gegenüber
Finanzbehörden — oder wenn es zur Durchsetzung unserer Rechte erforderlich ist.
Unsere Steuerberatung erhält die Buchungsdaten und Belege, soweit sie für die
Buchführung erforderlich sind (Art. 6 Abs. 1 Buchstabe c DSGVO).
Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.
12. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16),
Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18),
Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die wir
auf ein berechtigtes Interesse stützen (Art. 21).
Haben Sie in eine Verarbeitung eingewilligt, können Sie diese Einwilligung
jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis
dahin erfolgten Verarbeitung bleibt davon unberührt.
Für alle diese Anliegen genügt eine formlose Nachricht an
kontakt@baeckerei-grafe.de.
Bitte beachten Sie: Angaben, die auf einer Rechnung stehen, können wir vor
Ablauf der gesetzlichen Aufbewahrungsfrist nicht löschen. Wir schränken ihre
Verarbeitung in diesem Fall ein.
13. Beschwerderecht
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.
Für uns zuständig ist die oder der Sächsische Datenschutzbeauftragte,
Devrientstraße 5, 01067 Dresden.
14. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22
DSGVO findet nicht statt.
15. Änderungen dieser Erklärung
Ändert sich unser Angebot oder die Rechtslage, passen wir diese Erklärung an.
Es gilt jeweils die hier veröffentlichte Fassung.