Platzhalter: Diese Gliederung beschreibt, was die Website technisch tut. Lass den Text vor dem Livegang rechtlich prüfen und ergänze die Angaben in eckigen Klammern (Vertragspartner, Übermittlungsgrundlagen, Aufsichtsbehörde).
Verantwortlich
[Platzhalter: Name, Anschrift und E-Mail wie im Impressum]
Hosting und Schutz vor Missbrauch
Die Website läuft bei Cloudflare ([Platzhalter: Vertragspartner laut Cloudflare-Vertrag, z. B. Cloudflare, Inc., USA]). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten wie IP-Adresse und Zeitpunkt, um die Seite auszuliefern und vor Angriffen zu schützen. Fehlermeldungen unseres Servers werden bei Cloudflare protokolliert; sie enthalten keine Namen oder Adressen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und schnelle Auslieferung). Übermittlung in die USA: [Platzhalter: Zertifizierung nach dem EU-US Data Privacy Framework prüfen, sonst Standardvertragsklauseln nennen].
Damit niemand die Kasse oder die Widerrufsfunktion mit automatischen Anfragen überlastet, zählt Cloudflare für kurze Zeit, wie oft eine IP-Adresse diese Funktionen aufruft (höchstens 10-mal pro Minute). Die Zählung wird nicht dauerhaft gespeichert und nicht mit deinen Bestelldaten verknüpft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Cloudflare kann zum Schutz vor Bots ein technisch notwendiges Cookie (__cf_bm, Laufzeit 30 Minuten) setzen. [Platzhalter: im Cloudflare-Dashboard prüfen, ob Bot-Schutz aktiv ist und das Cookie gesetzt wird; sonst diesen Absatz löschen.] Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO.
Schriften
Alle Schriften werden von unserem eigenen Server geladen. Es werden keine Daten an Google oder andere Schriftanbieter übertragen.
Was im Browser gespeichert wird
Wir selbst setzen keine Cookies und kein Tracking ohne deine Einwilligung. Im lokalen Speicher deines Browsers legen wir nur ab, was der Shop zum Funktionieren braucht (§ 25 Abs. 2 Nr. 2 TDDDG):
slime-cart-v1: dein Warenkorbslime-country: dein gewähltes Lieferlandslime-consent: deine Entscheidung im Einwilligungsbanner (welche Bereiche du erlaubt hast, Version des Banners, Zeitpunkt), ohne Kennung, die dich wiedererkennt; gilt 6 Monate, dann fragen wir neu. Nur vorhanden, wenn auf der Website ein Statistik- oder Marketing-Dienst eingeschaltet ist.
Diese Daten verlassen deinen Browser erst, wenn du zur Kasse gehst. Du kannst sie jederzeit über die Browser-Einstellungen löschen.
Nur wenn du „Statistik“ oder „Marketing“ erlaubt hast, merken wir uns außerdem beim Bezahlen kurz, was in deiner Bestellung ist (Slime-Sorten, Toppings, Preise, nie Namen oder Adressen), damit die Danke-Seite die Bestellung genau einmal zählt: slime-pending-order (wird auf der Danke-Seite gelöscht, spätestens nach 24 Stunden ignoriert) und slime-tracked-orders (die letzten 20 Bestellnummern). Beides löschen wir, wenn du deine Einwilligung widerrufst.
Statistik und Marketing nur mit Einwilligung
Platzhalter: Jeder Dienst unten ist im Code eingebaut, aber ausgeschaltet, bis seine Kennung beim Bauen der Website gesetzt wird (siehe DEPLOY.md, „Analytics“). Lösche vor dem Livegang die Abschnitte der Dienste, die nicht eingeschaltet sind, und lass die übrigen rechtlich prüfen. Ist kein Dienst eingeschaltet, gibt es auch kein Einwilligungsbanner; dann ersetze diesen ganzen Abschnitt durch den Satz „Wir setzen keine Statistik- oder Marketing-Dienste ein.“
Statistik- und Marketing-Dienste laden erst, wenn du im Einwilligungsbanner zustimmst. Vorher wird keine Verbindung zu diesen Anbietern aufgebaut. Lehnst du ab, funktioniert der Shop genauso. Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Deine Entscheidung speichern wir als Nachweis (Art. 7 Abs. 1 DSGVO) in deinem Browser (slime-consent, siehe oben).
Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, genauso einfach, wie du sie gegeben hast: über die Schaltfläche „Cookie-Einstellungen“ unten auf jeder Seite. Danach lädt die Seite neu, die Dienste werden nicht mehr geladen, und ihre Cookies (_ga, _ga_…, _fbp) werden gelöscht.
Kinder: Die Einwilligung richtet sich an Eltern und Erwachsene. Wir bilden keine Werbeprofile und keine Zielgruppen aus den Daten, und wir übermitteln keine Namen, E-Mail-Adressen oder Adressen an diese Dienste. Den Namen, den ein Kind seinem Slime gibt, entfernen wir aus den Seitenadressen, die an Google gehen; Meta lädt nur auf Seiten ohne diesen Namen. [Platzhalter: Cloudflare Web Analytics erst einschalten, wenn der Konfigurator den Namen nicht mehr in die Adresszeile schreibt (docs/analytics-plan.md, Abschnitt 6.4).] [Platzhalter: rechtlich prüfen lassen, ob vor der Einwilligung zusätzlich „Ich bin 16 oder älter“ oder „Ich bin Elternteil“ abgefragt werden muss (Art. 8 DSGVO).]
Cloudflare Web Analytics (Statistik)
Anbieter: [Platzhalter: Vertragspartner laut Cloudflare-Vertrag, z. B. Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA], als Auftragsverarbeiter (Art. 28 DSGVO). Zweck: zählen, wie oft welche Seite aufgerufen wird, von welcher Website Besucher kommen und wie schnell die Seiten laden. Dafür liest ein Skript von Cloudflare beim Seitenaufruf die Adresse der Seite, die vorherige Seite, Browser- und Gerätetyp sowie Ladezeiten aus und sendet sie an Cloudflare; dabei wird deine IP-Adresse übertragen. Cloudflare Web Analytics setzt keine Cookies, legt nichts im lokalen Speicher ab und erstellt nach Angaben von Cloudflare keinen Fingerabdruck deines Geräts. Speicherdauer: [Platzhalter: laut Cloudflare prüfen]. Übermittlung in die USA: [Platzhalter: Zertifizierung nach dem EU-US Data Privacy Framework prüfen und nennen, zusätzlich Standardvertragsklauseln].
Google Analytics 4 (Statistik)
Anbieter: [Platzhalter: Vertragspartner laut Google-Konto, für Kunden im EWR in der Regel Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland]. Rechtliche Rolle: [Platzhalter: Auftragsverarbeitung nach den Google-Ads-Datenverarbeitungsbedingungen, im GA4-Konto akzeptiert]. Zweck: verstehen, wie der Shop genutzt wird, zum Beispiel welche Seiten aufgerufen werden, welche Slimes in den Warenkorb kommen und wie viele Bestellungen abgeschlossen werden. Dabei werden Seitenadresse, vorherige Seite, Browser- und Gerätedaten, ungefährer Ort (aus der IP-Adresse), Zeitpunkt und die Bestelldaten ohne Namen und Adressen (Slime-Sorte, Toppings, Preis, Bestellnummer) an Google übertragen. Google-Signale und personalisierte Werbung sind ausgeschaltet. Gespeichert werden die Cookies _ga und _ga_<Kennung> (Laufzeit bis zu 2 Jahre), mit denen Google wiederkehrende Besuche erkennt. Speicherdauer der Daten bei Google: [Platzhalter: 14 Monate, wie im GA4-Konto eingestellt]. Übermittlung in die USA: [Platzhalter: Zertifizierung von Google LLC nach dem EU-US Data Privacy Framework prüfen und nennen, zusätzlich Standardvertragsklauseln].
Meta Pixel (Marketing)
[Platzhalter: nur nach rechtlicher Prüfung einschalten, siehe docs/analytics-plan.md, Abschnitt 3.4.] Anbieter: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Für das Erheben und Übermitteln der Daten sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die weitere Verarbeitung bei Meta verantwortet Meta allein. [Platzhalter: Vereinbarung nach Art. 26 DSGVO (Meta-Nutzungsbedingungen für Business-Tools) verlinken.] Zweck: messen, ob eine Bestellung über eine Anzeige auf Facebook oder Instagram zustande kam. Das Pixel lädt nur auf der Kasse und auf der Danke-Seite, nie auf den Seiten zum Stöbern und Mixen. Dabei werden Seitenadresse, Browser- und Gerätedaten, IP-Adresse, Zeitpunkt sowie Bestellwert, Slime-Sorten und Bestellnummer an Meta übertragen, ohne Namen, E-Mail-Adressen oder Adressen (kein „erweiterter Abgleich“). Gespeichert wird das Cookie _fbp [Platzhalter: Laufzeit laut Meta prüfen]. Speicherdauer bei Meta: [Platzhalter: laut Meta prüfen]. Übermittlung in die USA: [Platzhalter: Zertifizierung von Meta Platforms, Inc. nach dem EU-US Data Privacy Framework prüfen und nennen, zusätzlich Standardvertragsklauseln].
Bestellung und Zahlung
Für die Zahlung leiten wir dich zu Stripe (Stripe Payments Europe, Ltd., Irland) weiter. Dort gibst du Name, Lieferadresse, E-Mail und Zahlungsdaten ein. Stripe ist für die Zahlungsabwicklung selbst verantwortlich, kann Daten in die USA übertragen und setzt auf seiner Zahlungsseite eigene Cookies. Wir erhalten Name, Adresse, E-Mail, die gewählte Zahlart und den Bestellinhalt, nie deine Kartendaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c DSGVO (Aufbewahrungspflichten).
PayPal: Wählst du bei Stripe PayPal, gibt Stripe die nötigen Zahlungsdaten an PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, weiter. PayPal verarbeitet sie als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Klarna: Wählst du bei Stripe Klarna, gibt Stripe die nötigen Daten an Klarna Bank AB (publ), Schweden, weiter. Klarna verarbeitet sie als eigener Verantwortlicher und kann dabei deine Identität und Kreditwürdigkeit prüfen, auch automatisiert (Art. 22 DSGVO). Informationen dazu, zur beteiligten Logik und zu deinen Rechten gibt dir Klarna in seiner Datenschutzerklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. [Platzhalter: Abschnitte für PayPal und Klarna löschen, falls die Zahlart im Stripe-Dashboard aus ist; weitere aktive Zahlarten ergänzen.]
Die Angaben bei der Bestellung brauchen wir, um den Vertrag zu schließen und zu erfüllen. Ohne sie können wir deine Bestellung nicht annehmen (Art. 13 Abs. 2 lit. e DSGVO).
Bestell-E-Mails
Bestellbestätigungen, Zahlungshinweise und Widerrufsbestätigungen verschicken wir über Brevo ([Platzhalter: Vertragspartner laut Auftragsverarbeitungsvertrag eintragen, z. B. Sendinblue SAS, Frankreich]). Dafür übermitteln wir deine E-Mail-Adresse und den Inhalt der Nachricht. [Platzhalter: in Brevo Öffnungs- und Klick-Tracking für Transaktions-E-Mails ausschalten; falls es an bleibt, hier offenlegen.] Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
Eine Kopie jeder Bestellung und jedes Widerrufs geht an unser eigenes Postfach bei [Platzhalter: E-Mail-Anbieter des Postfachs OWNER_EMAIL mit Sitz]. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.
[Nur falls genutzt: Bestellübersicht in Google Sheets (Google Ireland Ltd., Übermittlung in die USA möglich) – nur mit Auftragsverarbeitungsvertrag, z. B. über Google Workspace. Sonst diesen Absatz löschen.]
Online-Widerruf
Wenn du über „Vertrag widerrufen“ einen Widerruf erklärst, verarbeiten wir Name, Bestellnummer, E-Mail-Adresse, die Angabe, welche Slimes du widerrufst, und den Zeitpunkt des Eingangs. Wir brauchen diese Daten, um deinen Widerruf zu prüfen, dir den Eingang zu bestätigen und den Widerruf nachweisen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB sowie lit. b DSGVO.
Versand
Für die Zustellung geben wir Name und Lieferadresse an den Paketdienst weiter: [Platzhalter: Paketdienst eintragen]. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Kontakt per E-Mail
Wenn du uns schreibst, verwenden wir deine Angaben nur, um deine Anfrage zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder f DSGVO.
Speicherdauer
- Buchungsbelege wie Rechnungen und Zahlungsnachweise: 8 Jahre (§ 147 Abs. 3 AO in der Fassung ab 1. Januar 2025).
- Handels- und Geschäftsbriefe, zum Beispiel Bestellbestätigungen und Widerrufe: 6 Jahre (§ 257 HGB, § 147 AO).
- Die Fristen beginnen mit dem Ende des Kalenderjahres. Danach löschen wir die Daten.
- Anfragen ohne Bestellung löschen wir, sobald sie erledigt sind.
[Platzhalter: Fristen mit Steuerberater abstimmen.]
Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei [Platzhalter: zuständige Landesbehörde].
Widerspruchsrecht
Verarbeiten wir deine Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), kannst du dem jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten deine Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Schreib uns dazu einfach eine E-Mail.