Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
So Geht TCG
Inhaberin: Sevgi Yurdakul
Am Hasenpfad 11
65451 Kelsterbach
Deutschland
E-Mail: info[at]sogehttcg[punkt]de

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website, zur Durchführung vorvertraglicher Maßnahmen, zur Vertragsabwicklung, zur Bearbeitung von Anfragen sowie zur Gewährleistung der Sicherheit und Stabilität unseres Angebots erforderlich ist. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst.

Diese Website wird auf einem von uns verwalteten Server bei IONOS gehostet. Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Inhalte, übertragene Datenmenge, Browsertyp, Betriebssystem und Referrer-URL. Die Verarbeitung erfolgt zur Auslieferung der Website, zur Fehleranalyse sowie zur Gewährleistung der Systemsicherheit auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Server-Logs werden nur so lange gespeichert, wie dies zur Sicherstellung des technischen Betriebs, zur Fehleranalyse und zur Abwehr von Missbrauch erforderlich ist. Weitere Informationen findest du in der Datenschutzerklärung von IONOS.

Diesem Server ist ein Content Delivery Network (CDN) und Reverse Proxy von Cloudflare vorgeschaltet (Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München; Muttergesellschaft: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA). Sämtliche Anfragen an diese Website werden daher zunächst über die Server von Cloudflare geleitet. Cloudflare verarbeitet dabei Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, die angeforderte URL, Browsertyp und Referrer-URL.

Zweck ist die schnellere Auslieferung der Website durch Zwischenspeicherung öffentlicher Inhalte in Rechenzentren in deiner Nähe sowie die Absicherung des Betriebs (unter anderem Abwehr von Überlastungsangriffen und Filterung schädlicher Anfragen). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, ausfallsicheren und performanten Betrieb dieser Website (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare kann Daten auch außerhalb der EU, insbesondere in den USA, verarbeiten; mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.

Ergänzend setzen wir Cloudflare Web Analytics ein, um die technische Performance der Website zu messen (etwa Ladezeiten und sogenannte Core Web Vitals). Diese Messung arbeitet cookielos: Es werden keine Cookies gesetzt, keine Daten im Local Storage deines Browsers gespeichert, es findet kein Fingerprinting und keine seitenübergreifende Wiedererkennung statt, und es werden keine Nutzerprofile gebildet. Erhoben werden ausschließlich aggregierte, nicht auf dich zurückführbare Kennzahlen. Rechtsgrundlage ist unser berechtigtes Interesse an einer technisch fehlerfreien und schnellen Website (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist hierfür nicht erforderlich, da keine Informationen auf deinem Endgerät gespeichert oder ausgelesen werden.

Die Datenübertragung zwischen deinem Browser und unserer Website erfolgt verschlüsselt per TLS/SSL. Du erkennst dies an der Adresszeile deines Browsers mit „https://“.

a) Cookie-Consent

Beim ersten Besuch unserer Website wird dir ein Cookie-Banner angezeigt, über das du deine Einwilligungen verwalten kannst. Deine Auswahl wird im Cookie „cookie_consent“ gespeichert, zusammen mit dem Zeitpunkt deiner Entscheidung und der Fassung des Banners. Dein Browser schickt die Auswahl dazu einmal an unseren Server, der das Cookie setzt und nichts davon speichert. Speicherdauer: 1 Jahr, wenn du zustimmst, 6 Monate, wenn du ablehnst. Danach fragen wir dich erneut. Kommen neue einwilligungspflichtige Zwecke oder Dienste hinzu, fragen wir dich schon vorher erneut; bis dahin gilt deine bisherige Einwilligung nur für das, wofür du sie erteilt hast. Das Setzen dieses Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig, da es für die Speicherung deiner Einwilligungsentscheidung technisch erforderlich ist.

Du kannst deine Cookie-Einstellungen jederzeit über den Link „Cookie-Einstellungen“ im Footer unserer Website ändern.

b) Technisch notwendige Cookies

Für die Nutzung geschützter Bereiche (Login, Konto) setzen wir technisch notwendige Cookies ein. Diese sind gemäß § 25 Abs. 2 Nr. 2 TDDDG von der Einwilligungspflicht ausgenommen, da sie für die Bereitstellung des Dienstes unbedingt erforderlich sind. Rechtsgrundlage für die zugehörige Datenverarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Im Einzelnen:

• sb-*-auth-token (ggf. .0, .1, …) für die Supabase-Authentifizierung und Session-Verwaltung. Speicherdauer: Session bzw. bis zum Logout.
• cookie_consent speichert deine Cookie-Einstellungen. Speicherdauer: 1 Jahr bei Zustimmung, 6 Monate bei Ablehnung.

Ohne diese technisch erforderlichen Cookies kann insbesondere die Anmeldung, die Verwaltung deines Kontos und die Nutzung des Kontos nicht bereitgestellt werden.

c) Funktionaler Browser-Speicher (Local Storage)

Für von dir aktiv ausgelöste Funktionen speichern wir Daten im Local Storage deines Browsers – konkret deine Merkliste und deinen Gast-Warenkorb, solange du nicht angemeldet bist. Diese Einträge enthalten ausschließlich Produkt- bzw. Kartenkennungen, keine personenbezogenen Daten, und verbleiben lokal auf deinem Gerät, bis du die Einträge entfernst oder den Browser-Speicher leerst. Da diese Speicherung für die von dir gewünschte Funktion unbedingt erforderlich ist, ist sie gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Meldest du dich an, wird deine Merkliste in dein Konto übernommen und der lokale Eintrag gelöscht.

d) Optionale Cookies (Analyse)

Wir nutzen PostHog in einer cookieless Grundkonfiguration, um allgemeine, nicht identifizierte Nutzungsereignisse (z. B. Seitenaufrufe oder Warenkorb-Interaktionen) zu messen. Solange du nicht eingeloggt bist, speichern wir ohne deine Analyse-Einwilligung keine PostHog-Cookies und keine PostHog-Daten im Local Storage deines Browsers, erstellen kein Nutzerprofil, rufen keine Identify-Funktion auf und aktivieren keine Session-Replay-Aufzeichnung. Rechtsgrundlage für diese cookieless, nicht identifizierende Messung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung, Fehleranalyse und Verbesserung unseres Angebots).

Analyse für eingeloggte Nutzer: Wenn du in deinem Konto angemeldet bist, verknüpfen wir deine Nutzungsereignisse pseudonym mit deiner Nutzer-ID (sogenanntes „Identify“), um wiederkehrende Kundinnen und Kunden zu erkennen und unser Angebot zu verbessern (z. B. Bindungs-/Retention-Auswertung). Auch dies erfolgt cookielos: Die Zuordnung geschieht serverseitig über deine Nutzer-ID; es werden hierfür keine Cookies gesetzt und keine Daten auf deinem Endgerät gespeichert (§ 25 TDDDG ist dadurch nicht berührt). Verarbeitet werden dabei deine Nutzer-ID, deine Rolle bzw. der genutzte Bereich sowie die genannten Nutzungsereignisse — nicht jedoch Klartext-Kontaktdaten wie deine E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Nutzung durch angemeldete Kundinnen und Kunden) sowie Art. 6 Abs. 1 lit. b DSGVO. Du kannst dieser Auswertung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO) — dazu genügt eine formlose Nachricht an info[at]sogehttcg[punkt]de oder über unser Kontaktformular. Nach deinem Widerspruch wird deine Nutzung nicht mehr mit deiner Nutzer-ID verknüpft.

Wenn du im Cookie-Banner „Alle akzeptieren“ wählst, setzen wir den Analysedienst PostHog ein. PostHog verwendet dabei u. a. ein persistentes Cookie (ph_*) zur pseudonymen Wiedererkennung von Sitzungen und zur Analyse des Nutzungsverhaltens. Speicherdauer: bis zu 1 Jahr. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

Bei erteilter Analyse-Einwilligung aktivieren wir außerdem die Session-Replay-Funktion von PostHog. Dabei werden Sitzungsabläufe wie Seitenwechsel, Klicks, Scroll- und Mausbewegungen aufgezeichnet, um Nutzungsprobleme und technische Fehler besser nachvollziehen zu können. Texteingaben, Passwortfelder und sensible Inhalte werden maskiert. Session Replays können auch für Besucher ohne Nutzerkonto entstehen; in diesem Fall wird kein identifiziertes Nutzerprofil erstellt. Wenn du eingeloggt bist und Analyse-Cookies akzeptiert hast, kann PostHog deine Ereignisse mit deiner Nutzer-ID verknüpfen und ein pseudonymes Personenprofil erstellen.

Zusätzlich aktivieren wir bei erteilter Einwilligung die Session-Replay-Funktion von Sentry, die Interaktionen auf der Website (z. B. Klicks und Mausbewegungen) aufzeichnet, um die Fehlerreproduktion zu erleichtern. Auch hierfür werden keine zusätzlichen Cookies gesetzt; die Datenübertragung erfolgt über unseren eigenen Tunnel-Endpunkt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Ohne deine Zustimmung werden keine optionalen Analyse-Cookies oder Local-Storage-Einträge gesetzt, PostHog Session Replay bleibt deaktiviert und Sentry Session Replay bleibt deaktiviert. Ein pseudonymes PostHog-Personenprofil entsteht ohne Analyse-Einwilligung nur für eingeloggte Nutzer im Rahmen der vorstehend beschriebenen, cookielosen Analyse auf Grundlage unseres berechtigten Interesses (mit Widerspruchsmöglichkeit); für nicht eingeloggte Besucherinnen und Besucher werden ohne Einwilligung keine Personenprofile erstellt.

e) Eigene, anonyme Nutzungsstatistiken (Beliebtheit, Cookie-Auswahl, Warenkorb)

Um auf unseren Übersichtsseiten eine Sortierung nach „Beliebteste“ anbieten zu können, zählen wir serverseitig, wie oft die Detailseiten unserer Produkte und Einzelkarten aufgerufen werden. Dabei werden keine Cookies gesetzt und keine Daten im Browser gespeichert (§ 25 TDDDG ist dadurch nicht berührt). Gespeichert wird ausschließlich ein aggregierter Tageszähler pro Produkt- bzw. Kartenseite — ohne jeden Personenbezug. Deine IP-Adresse wird hierfür nicht gespeichert, sondern nur flüchtig verarbeitet, um automatisierte Zugriffe zu begrenzen und Mehrfachzählungen zu vermeiden (als gekürzter Hash-Wert, der spätestens nach sechs Stunden automatisch gelöscht wird). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer anonymen Reichweitenmessung zur Verbesserung unseres Angebots).

Nach demselben Verfahren — ohne Cookies, ohne Speicherung im Browser und ohne Speicherung deiner IP-Adresse — führen wir zwei weitere reine Tagesstatistiken: zum einen, wie deine Auswahl im Cookie-Banner ausgefallen ist (alle Cookies akzeptiert, nur technisch notwendige, oder keine Auswahl getroffen), zum anderen, wie oft Artikel in den Warenkorb gelegt wurden. Bei der Warenkorb-Statistik lesen wir dabei den bereits gesetzten Cookie mit deiner Banner-Auswahl mit, um im Tageszähler getrennt auszuweisen, wie viele Besucher mit vollständiger Cookie-Zustimmung etwas in den Warenkorb gelegt haben; ein zusätzlicher Cookie wird dafür nicht gesetzt und es wird nichts zusätzlich gespeichert. Gespeichert wird jeweils nur ein Tageszähler ohne Personenbezug; ein Rückschluss auf einzelne Personen ist daraus nicht möglich. Die Statistik zur Cookie-Auswahl setzt selbst keine Einwilligung voraus, weil sie gerade die Ausübung deiner Wahlmöglichkeit dokumentiert und dafür weder Cookies setzt noch etwas in deinem Browser speichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Nachvollziehbarkeit unserer Einwilligungsquote und an der Verbesserung unseres Bestellprozesses).

Schließt du eine Bestellung ab, halten wir zusätzlich in den Bestelldaten als einzelnes Ja/Nein fest, ob du zu diesem Zeitpunkt alle Cookies akzeptiert hattest. Damit können wir die vorstehende Statistik auch für abgeschlossene Käufe auswerten. Weitere Daten werden dafür nicht erhoben, der Wert steuert keine Verarbeitung und wird nicht an Dritte übermittelt; er wird mit der Bestellung gelöscht bzw. bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen zusammen mit ihr aufbewahrt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

f) Werbemessung (Google Ads)

Wir setzen auf unseren Seiten das Google-Ads-Conversion-Tracking (Google-Tag/gtag.js) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Damit können wir messen, ob ein Kauf auf einen Klick auf eine unserer Google-Anzeigen zurückgeht.

Ohne deine Einwilligung (also wenn du im Cookie-Banner „Ablehnen“ wählst oder noch nicht entschieden hast) speichert das Google-Tag nichts auf deinem Endgerät und liest nichts davon aus: Es werden keine Cookies gesetzt und keine Werbe-Kennungen verarbeitet. Übermittelt werden dann ausschließlich technische Verbindungsdaten (IP-Adresse, Browser- und Geräteangaben, aufgerufene Seite) sowie bei einem Kauf Bestellwert, Währung und eine Bestellnummer. Die Klick-Kennungen unserer Anzeigen werden dabei automatisch entfernt („ads_data_redaction“) und der Abruf läuft über eine cookielose Domain, sodass Google diese Aufrufe keinem Nutzerprofil zuordnen kann; die Daten fließen nur in eine aggregierte, statistisch modellierte Erfolgsmessung unserer Anzeigen ein. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der wirtschaftlichen Erfolgsmessung unserer Werbung); § 25 TDDDG greift nicht, weil dabei weder Informationen in deinem Endgerät gespeichert noch aus ihm ausgelesen werden. Du kannst dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen.

Mit deiner Einwilligung („Alle akzeptieren“) setzt Google zusätzlich First-Party-Cookies (u. a. _gcl_aw, Speicherdauer bis zu 90 Tage), in denen die Klick-Kennung der Anzeige gespeichert wird. Erst dadurch lässt sich ein Kauf einem konkreten Anzeigenklick zuordnen. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

Ebenfalls nur mit deiner Einwilligung merken wir uns die Klick-Kennung der Anzeige auch selbst: zunächst nur in unserem Cookie sgt_adclick (Speicherdauer bis zu 90 Tage ab dem Klick). Auf unserem Server speichern wir sie erst, wenn du eingeloggt eine Einladung anfragst, und zwar zusammen mit genau dieser Anfrage (bis zu 90 Tage nach dem Klick). Registrierst du dich, geben wir die Kennung bei der Kontoerstellung mit und merken sie nach der Bestätigung deiner E-Mail-Adresse an deinem Konto vor, damit sie deiner nächsten Einladungsanfrage zugeordnet werden kann, auch wenn du den Bestätigungslink in einem anderen Browser öffnest. Kaufst du über eine solche Einladung, übermitteln wir nach Zahlungseingang Bestellnummer, Bestellwert, Währung, Bestellzeitpunkt und die Klick-Kennung dieser Anfrage direkt von unserem Server an Google (Google Data Manager API). So zählt ein Kauf auch dann, wenn er erst Tage nach dem Anzeigenklick oder in einem anderen Browser stattfindet. Name, E-Mail-Adresse oder Anschrift übermitteln wir dabei nicht. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Widerrufst du sie, löschen wir das Cookie und, wenn du dabei eingeloggt bist, alle an deinem Konto und deinen Anfragen gespeicherten Klick-Kennungen.

Bei der Übermittlung an Google kann es zu einer Datenübertragung in die USA kommen; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: Google-Datenschutzerklärung.

Wenn du ein Nutzerkonto anlegst oder dich einloggst, verarbeiten wir die hierfür erforderlichen Daten, insbesondere E-Mail-Adresse, verschlüsselte Authentifizierungsinformationen, technische Session-Daten und Kontoeinstellungen. Die Authentifizierung und Datenbankbereitstellung erfolgt über Supabase (siehe Datenschutzerklärung von Supabase). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Liefer- und Rechnungsadressen speichern wir in deinem Konto, wenn du sie im Profil anlegst oder beim Bestellen das Häkchen „Adresse im Konto speichern“ gesetzt ist. So kannst du sie bei der nächsten Bestellung direkt auswählen. Du kannst sie in deinem Profil jederzeit ändern oder löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für unser Projekt ist bei Supabase der Rechenzentrumsstandort Frankfurt am Main gewählt. Es kann jedoch nicht ausgeschlossen werden, dass im Rahmen von Support-, Wartungs- oder konzerninternen Leistungen auch Verarbeitungen in Drittländern, insbesondere in den USA, stattfinden. Soweit dies der Fall ist, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

Wenn du eine Einladung für ein Produkt anfragst, verarbeiten wir insbesondere deine Nutzer-ID, E-Mail-Adresse, die angefragten Produkte, Statusinformationen zur Einladung sowie Zeitpunkte der Anfrage und Einladung. Dies dient der Bereitstellung unseres Einladungssystems und der Vorbereitung möglicher Käufe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Im Fall einer Bestellung verarbeiten wir zusätzlich Bestelldaten, gekaufte Produkte, Menge, Rechnungs- und Versandinformationen, Zahlungsstatus, Versandadresse, Sendungsnummer sowie die für die Rechnungsstellung erforderlichen Angaben. Der Versand erfolgt je nach Versandart über DHL (DHL Paket) oder die Deutsche Post AG (Standardbrief, Kompaktbrief, Großbrief, Maxibrief, Einschreiben Einwurf). Im Rahmen der Versandabwicklung werden Name und Versandadresse an den jeweiligen Versanddienstleister übermittelt (siehe Datenschutzhinweise von DHL sowie Datenschutzhinweise der Deutschen Post). Diese Verarbeitung ist zur Vertragsdurchführung, Lieferung, Rechnungsstellung und Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Kaufmengenbegrenzung: Bei einzelnen Produkten ist die Kaufmenge pro Person begrenzt, damit knappe Ware nicht an wenige Einzelne geht (siehe § 3 unserer Allgemeinen Geschäftsbedingungen). Um diese Begrenzung durchzusetzen, gleichen wir bei einer Bestellung solcher Produkte die Angaben aus deiner Bestellung und, wenn du angemeldet bist, aus deinem Konto mit den Bestellungen ab, die im angezeigten Zeitraum bereits bei uns eingegangen sind. Das gilt für angemeldete Kundinnen und Kunden wie für Gastbestellungen. Es entsteht dabei kein Profil: Die Prüfung liest nur ohnehin vorhandene Bestelldaten. Lehnen wir eine Bestellung ab, halten wir das in unseren Server-Protokollen fest (Abschnitt 3), damit wir die Entscheidung auf deine Nachfrage nachprüfen können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer gleichmäßigen Verteilung begrenzt verfügbarer Ware und an der Verhinderung von Mehrfachbestellungen).

Führt dieser Abgleich dazu, dass eine Bestellung abgelehnt wird, geschieht das zunächst automatisiert. Da zum Beispiel mehrere Personen in einem Haushalt leben können, ist eine falsche Zuordnung nicht ausgeschlossen. Du hast deshalb jederzeit das Recht, eine Überprüfung durch einen Menschen zu verlangen, deinen Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO). Melde dich dazu einfach über unser Kontaktformular – wir prüfen den Fall dann von Hand.

Für die Zahlungsabwicklung nutzen wir Stripe Payments Europe, Limited sowie verbundene Unternehmen von Stripe. Stripe wird in zwei Szenarien eingesetzt: (a) beim Aufladen deines Guthaben-Kontos (Einzweck-Gutschein) und (b) bei der Direktzahlung per Stripe-Checkout ohne vorherige Guthaben-Aufladung. In beiden Fällen werden die für die Zahlungsabwicklung erforderlichen Daten an Stripe übermittelt. Dazu können insbesondere Name, E-Mail-Adresse, Zahlungsdaten, Rechnungs- und Versanddaten, Bestellwert sowie Transaktionskennungen gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Gespeicherte Karten: Bist du eingeloggt, kannst du beim Bezahlen auswählen, dass deine Karte für künftige Käufe gespeichert wird. Die Kartendaten speichert dann Stripe, nicht wir. Wir legen dafür bei Stripe ein Kundenprofil zu deinem Konto an und speichern bei uns nur dessen Kennung. Beim nächsten Kauf zeigt dir der Checkout die gespeicherte Karte zur Auswahl. Abgebucht wird nur, wenn du selbst eine Bestellung abschickst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Häkchen gibst. Du kannst eine gespeicherte Karte jederzeit im Bezahlschritt entfernen. Löschst du dein Konto, löschen wir auch das Kundenprofil bei Stripe und damit alle dort gespeicherten Karten.

Für Zahlungen per Banküberweisung (Vorkasse) und Pay by Bank (sowohl bei Bestellungen als auch beim Aufladen deines Guthaben-Kontos) nutzen wir zusätzlich Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande. Dabei werden die für die Zahlungsabwicklung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Rechnungs- und Versanddaten, Bestellwert sowie Bank- bzw. Transaktionsdaten) an Mollie übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Mollie.

Stripe kann Daten auch in Drittländern, insbesondere in den USA, verarbeiten. Die Übermittlung erfolgt auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, soweit erforderlich. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Betrugsprävention: Um Zahlungsbetrug und Missbrauch unseres Einladungs- und Bestellsystems zu verhindern, verarbeiten wir zahlungsbezogene Angaben, die uns unsere Zahlungsdienstleister bereitstellen, und gleichen sie mit Konto-, Bestell- und Adressdaten ab. Vollständige Zahlungsdaten (z. B. Kartennummern) erhalten und speichern wir dabei nicht; sie bleiben beim Zahlungsdienstleister. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung betrügerischer Bestellungen und der Absicherung unseres einladungsbasierten Verkaufssystems).

Zur komfortablen und korrekten Erfassung deiner Lieferadresse setzen wir bei der Adresseingabe (z. B. im Warenkorb-Checkout und in den Kontoeinstellungen) den Dienst Mapbox Search Box der Mapbox, Inc., 740 15th Street NW, 5th Floor, Washington, DC 20005, USA, ein. Wenn du im Adressfeld zu tippen beginnst, wird deine Eingabe an Mapbox übermittelt und es werden passende Adressvorschläge zurückgegeben. Übermittelt werden insbesondere der eingegebene Suchtext, eine sitzungsbezogene Kennung (Session-Token), deine IP-Adresse sowie technische Browser-Daten. Bei Auswahl eines Vorschlags werden die strukturierten Adressbestandteile (Straße, Hausnummer, Postleitzahl, Ort, Land) in das Formular übernommen.

Zwecke: Adress-Autocomplete und Adressvalidierung zur Reduktion von Fehleingaben und unzustellbaren Sendungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vorbereitung und Durchführung des Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten, fehlerarmen Bestellabwicklung).

Mit Mapbox besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Mapbox verarbeitet Daten auch in Drittländern, insbesondere in den USA. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln und weiterer geeigneter Garantien gemäß Art. 44 ff. DSGVO. Weitere Informationen findest du in den Datenschutzhinweisen von Mapbox.

Wenn du uns über das Kontaktformular kontaktierst oder wir dir transaktionale E-Mails senden (Bestellbestätigung, Rechnung, Versandbenachrichtigung, Einladung, Konto-Mitteilungen), verarbeiten wir die von dir angegebenen Kontaktdaten und Inhalte deiner Nachricht. Dazu zählen insbesondere Name, E-Mail-Adresse, Nachrichtentext sowie technische Metadaten zur Zustellung. Der Versand erfolgt über ZeptoMail, einen Dienst der Zoho Corporation B.V., Niederlande (siehe Datenschutzerklärung von Zoho). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen außerdem Art. 6 Abs. 1 lit. f DSGVO.

Wir nutzen ausschließlich das europäische Rechenzentrum von Zoho (Standorte Niederlande und Irland). Die Verarbeitung der Versanddaten findet damit innerhalb der Europäischen Union statt. Zoho gehört zu einer Unternehmensgruppe mit Sitz in den USA; soweit im Einzelfall ein Zugriff aus einem Drittland erfolgt, geschieht dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

In unseren E-Mails findet kein Öffnungs- oder Klick-Tracking statt. Wir messen also nicht, ob und wann du eine E-Mail geöffnet oder einen Link darin angeklickt hast, und Links werden nicht über Zähl-Adressen umgeleitet.

Konnte eine E-Mail nicht zugestellt werden, speichern wir den Versandvorgang für längstens 7 Tage, um sie automatisch erneut zuzustellen; danach wird er gelöscht. Zusätzlich merken wir uns für 30 Tage eine Kennung bereits zugestellter E-Mails, damit du dieselbe Benachrichtigung nicht doppelt erhältst.

Zur Erkennung und Behebung technischer Fehler, Abstürze und Laufzeitprobleme setzen wir den Dienst Sentry der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, ein. Sentry erfasst im Fehlerfall technische Informationen wie Fehlermeldungen, Stacktraces, Browsertyp, Betriebssystem und die aufgerufene URL. Es werden keine zusätzlichen Cookies gesetzt. Clientseitig werden keine personenbezogenen Daten (z. B. IP-Adresse) übermittelt; serverseitig verarbeitet Sentry Verbindungsdaten wie IP-Adresse und Request-Header zur Fehlerzuordnung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer stabilen und fehlerfreien Website). Wir verwenden den europäischen Sentry-Endpunkt (ingest.de.sentry.io); ein Zugriff aus den USA im Rahmen von Support und Wartung durch Sentry kann nicht vollständig ausgeschlossen werden. Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Sentry.

Session Replay: Bei erteilter Cookie-Einwilligung („Alle akzeptieren“) aktivieren wir zusätzlich die Session-Replay-Funktion von Sentry. Diese zeichnet Interaktionen auf der Website auf, um die Fehlerreproduktion zu erleichtern. Ohne Einwilligung bleibt Session Replay deaktiviert.

Wenn du in deinen Kontoeinstellungen dem Erhalt von Newslettern und weiteren Informationen zustimmst, speichern wir diese Einwilligung in deinem Nutzerprofil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft in deinem Konto oder per E-Mail an uns widerrufen.

Zur Bereitstellung unseres Angebots setzen wir insbesondere folgende Dienstleister ein:

• IONOS als Infrastruktur- bzw. Hosting-Anbieter für den von uns betriebenen Server
• Cloudflare (Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München; Muttergesellschaft: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) als vorgeschaltetes Content Delivery Network und Reverse Proxy zur beschleunigten Auslieferung und Absicherung der Website sowie für cookielose Web-Analytics zur Performance-Messung. Verarbeitung auch in Drittländern, insbesondere den USA, möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Ein AVV nach Art. 28 DSGVO einschließlich EU-Standardvertragsklauseln ist mit Cloudflare geschlossen.
• Supabase für Datenbank, Authentifizierung und Speicherfunktionen, Rechenzentrumsstandort Frankfurt am Main
• Stripe zur Zahlungsabwicklung
• Mollie zur Zahlungsabwicklung (Banküberweisung / Pay by Bank), Sitz in den Niederlanden
• ZeptoMail (Zoho Corporation B.V.) für den Versand von Kontakt- und System-E-Mails, EU-Rechenzentrum (Niederlande/Irland)
• Mapbox für das Adress-Autocomplete (Search Box API), Verarbeitung u. a. in den USA
• DHL für den Paketversand innerhalb Deutschlands
• PostHog (PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114 / EU-Cloud auf eu.posthog.com) für cookieless Web-Analytics ohne optionale Speicherung sowie, nur bei erteilter Analyse-Einwilligung, für persistente Web-Analytics, Session Replay und weitergehende pseudonyme Personenprofile; für eingeloggte Nutzer zudem eine cookielose, pseudonyme Analyse über die Nutzer-ID auf Grundlage berechtigten Interesses (mit Widerspruchsmöglichkeit). Daten werden in der EU verarbeitet; ein Zugriff aus den USA kann im Rahmen von Support und Wartung nicht vollständig ausgeschlossen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO für cookieless Messung sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für optionale Analyse-Cookies und Session Replay; die cookielose Analyse eingeloggter Nutzer stützt sich ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO. Ein AVV nach Art. 28 DSGVO ist mit PostHog geschlossen.
• Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA / EU-Ingest-Endpunkt ingest.de.sentry.io) für technische Fehlerüberwachung. Sentry läuft grundsätzlich ohne Cookie-Einwilligung (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); Session Replay nur bei erteilter Einwilligung. Ein AVV nach Art. 28 DSGVO ist mit Sentry geschlossen.

Mit Dienstleistern werden, soweit erforderlich, Verträge zur Auftragsverarbeitung abgeschlossen.

Soweit einzelne Dienstleister Daten in Drittländern verarbeiten oder ein Zugriff aus Drittländern nicht ausgeschlossen werden kann, erfolgt dies nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

Soweit wir personenbezogene Daten durch externe Dienstleister verarbeiten lassen (z. B. Hosting, Zahlungsabwicklung, E-Mail-Versand, Adressen-Autovervollständigung), geschieht dies ausschließlich auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Dienstleister verarbeiten die Daten nur nach unserer Weisung und ausschließlich zu den in dieser Datenschutzerklärung genannten Zwecken. Eine Nutzung deiner Daten zu eigenen Werbe- oder Profilbildungszwecken oder eine Weitergabe an Dritte zu kommerziellen Zwecken findet nicht statt.

Wir wählen unsere Auftragsverarbeiter sorgfältig aus und prüfen, ob sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen haben. Verträge mit Auftragsverarbeitern verpflichten diese insbesondere zur Vertraulichkeit, zur Datenminimierung, zur Sicherstellung der Betroffenenrechte und zur Löschung oder Rückgabe der Daten nach Beendigung des Auftrags.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Marketingzwecken an Dritte weiter. Eine Übermittlung an Behörden erfolgt ausschließlich im Rahmen gesetzlicher Verpflichtungen.

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist. Kontodaten bleiben grundsätzlich gespeichert, solange dein Nutzerkonto besteht. Vertrags- und Rechnungsdaten speichern wir darüber hinaus im Rahmen gesetzlicher Aufbewahrungspflichten (in der Regel 10 Jahre gemäß § 147 AO, § 257 HGB). Daten aus Kontaktanfragen werden gelöscht, sobald die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Restguthaben bei Kontoschließung: Schließt du dein Nutzerkonto, obwohl noch ein Restguthaben (Einzweck-Gutschein) vorhanden ist, speichern wir zur Zuordnung etwaiger Ansprüche ausschließlich deine E-Mail-Adresse und den Restbetrag in einem internen Archiv. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Speicherung erfolgt längstens bis zum Ablauf der gesetzlichen Verjährungsfrist (in der Regel drei Jahre zum Jahresende, §§ 195, 199 BGB); danach werden die Einträge gelöscht.

Gelöschte Konten nach einem Missbrauchs- oder Zahlungsvorfall. Gab es zu deinem Konto einen Vorfall, der den Schutz vor Betrug, Missbrauch oder Zahlungsausfällen betrifft, löschen wir die dafür nötigen Angaben nicht sofort mit dem Konto. Wir bewahren dann für längstens drei Jahre unsere Unterlagen zu dem Vorfall und die Kontakt-, Adress- und Zahlungsangaben auf, mit denen sich ein erneuter Fall erkennen lässt (keine vollständigen Karten- oder Kontonummern). Wir nutzen sie nur, um erneuten Betrug und wiederholte Zahlungsausfälle zu verhindern. Ein Treffer führt nicht automatisch zu einer Ablehnung, wir prüfen ihn von Hand. Zugriff haben nur berechtigte Mitarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, also unser berechtigtes Interesse am Schutz vor Betrug und Zahlungsausfällen, und soweit nötig Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen). Danach werden die Angaben gelöscht. Gegen diese Speicherung kannst du jederzeit Widerspruch einlegen (Art. 21 DSGVO), wir prüfen dann den Einzelfall. Konten ohne solchen Vorfall werden mit dem Löschen vollständig entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Du hast im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft über deine gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO), auf Datenübertragbarkeit (Art. 20 DSGVO) sowie auf Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO). Bereits erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung deiner Rechte wende dich bitte per E-Mail an info[at]sogehttcg[punkt]de.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder unseres Unternehmenssitzes. Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden
Link zur Website der Aufsichtsbehörde

Soweit die Bereitstellung personenbezogener Daten nicht für die Nutzung einzelner Funktionen oder zur Vertragsabwicklung erforderlich ist, bist du nicht verpflichtet, diese Daten bereitzustellen. Profiling findet nicht statt. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nur, soweit es zum Schutz vor Missbrauch und Zahlungsausfällen nötig ist, etwa bei der Kaufmengenbegrenzung (Abschnitt 7). In diesen Fällen kannst du jederzeit verlangen, dass ein Mensch die Entscheidung überprüft, deinen Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3 DSGVO). Schreib uns dazu an info[at]sogehttcg[punkt]de.