Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten

Inhaltsverzeichnis

§ 1 Allgemeine Hinweise

Wir freuen uns über Ihren Besuch unseres Onlineshops unter www.leitgeb.de. Der Schutz Ihrer personenbezogenen Daten ist uns ein wichtiges Anliegen. Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13, 14 der EU-Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Besuch und der Nutzung unseres Onlineshops sowie über Ihre datenschutzrechtlichen Rechte.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen — etwa Name, Anschrift, E-Mail-Adresse, IP-Adresse oder Bestelldaten.

Diese Datenschutzerklärung gilt für unseren Onlineshop unter www.leitgeb.de sowie für alle damit verbundenen Funktionen. Für verlinkte Websites Dritter (z. B. Hersteller-Webseiten, Social-Media-Plattformen) gelten die jeweiligen Datenschutzerklärungen der Anbieter.

§ 2 Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher im Sinne der DSGVO

Firma	Leitgeb GmbH
Anschrift	Herzford 2, 49808 Lingen (Ems), Deutschland
Geschäftsführer	Christoph Leitgeb
Telefon	+49 591 31993954
E-Mail	office@leitgeb.de
Handelsregister	Amtsgericht Osnabrück, HRB 216776

Datenschutz-Kontakt

Für Anfragen zum Datenschutz, zur Wahrnehmung Ihrer Rechte sowie zur Auslösung von Auskunfts-, Lösch- oder Berichtigungsbegehren erreichen Sie uns unter: office@leitgeb.de

Datenschutzbeauftragter

Die Leitgeb GmbH ist gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen (§ 38 BDSG: keine ständige Beschäftigung von mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten; keine Verarbeitung, die nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung erfordert; keine geschäftsmäßige Verarbeitung zum Zweck der Übermittlung). Datenschutz-Anfragen richten Sie daher bitte direkt an die unter „Datenschutz-Kontakt" genannte E-Mail-Adresse.

§ 3 Ihre Rechte als betroffene Person

Sie haben gegenüber der Leitgeb GmbH die folgenden Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden, sowie auf Auskunft über diese Daten und auf weitere in Art. 15 DSGVO genannte Informationen.

Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unverzüglich die Berichtigung unrichtiger Daten oder die Vervollständigung unvollständiger Daten zu verlangen.

Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, soweit die in Art. 17 DSGVO genannten Voraussetzungen vorliegen — etwa wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig sind.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Unter den in Art. 18 DSGVO genannten Voraussetzungen können Sie die Einschränkung der Verarbeitung Ihrer Daten verlangen.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und einem anderen Verantwortlichen zu übermitteln.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, soweit die Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht. Im Falle einer Verarbeitung zu Direktwerbungszwecken können Sie jederzeit widersprechen.

Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können Ihre erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Beschwerderecht (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung Ihrer personenbezogenen Daten zu beschweren — siehe § 4.

Geltendmachung Ihrer Rechte: Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an office@leitgeb.de unter Angabe Ihres Anliegens.

§ 4 Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für die Leitgeb GmbH ist die folgende Aufsichtsbehörde zuständig:

Behörde	Die Landesbeauftragte für den Datenschutz Niedersachsen
Anschrift	Prinzenstraße 5, 30159 Hannover, Deutschland
Telefon	+49 511 120-4500
E-Mail	poststelle@lfd.niedersachsen.de
Website	https://lfd.niedersachsen.de

§ 5 Bereitstellung der Website und Erstellung von Server-Logfiles

Bei jedem Aufruf unserer Website werden durch den Browser Ihres Endgeräts technische Daten an unseren Server übermittelt und automatisiert in sogenannten Server-Logfiles gespeichert.

Verarbeitung von Server-Logfiles

Zweck der Verarbeitung	Bereitstellung der Website, Gewährleistung der Stabilität und Sicherheit des Shop-Betriebs, Aufklärung etwaiger Missbrauchs- oder Betrugsfälle.
Verarbeitete Daten	IP-Adresse (gekürzt bzw. anonymisiert), Datum und Uhrzeit des Zugriffs, Name und URL der abgerufenen Datei, übertragene Datenmenge, Meldung über erfolgreichen Abruf, verwendeter Browser-Typ und Browser-Version, verwendetes Betriebssystem, Referrer-URL (zuvor besuchte Seite).
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Darstellung und Optimierung der Website sowie an der IT-Sicherheit).
Empfänger	AWS (Hoster, siehe § 6).
Speicherdauer	Die Server-Logfiles werden spätestens 14 Tage nach ihrer Erhebung automatisch gelöscht oder vollständig anonymisiert. Eine darüber hinausgehende Speicherung erfolgt nur, wenn dies zur Aufklärung eines konkreten Sicherheitsvorfalls (z. B. Hacker-Angriff) erforderlich ist; in diesem Fall werden die betroffenen Logfiles bis zum Abschluss der Aufklärung aufbewahrt.

§ 6 Hosting und Content-Delivery-Network (AWS)

Für das Hosting unseres Onlineshops und die Auslieferung statischer Inhalte (Bilder, Stylesheets, Skripte) nutzen wir Dienste der Amazon Web Services (AWS).

Hosting bei AWS

Zweck der Verarbeitung	Bereitstellung der technischen Infrastruktur für den Onlineshop, Speicherung von Shop-Daten, Auslieferung statischer Inhalte über AWS CloudFront (Content-Delivery-Network).
Verarbeitete Daten	Sämtliche im Rahmen der Shop-Nutzung anfallenden Daten — insbesondere Bestelldaten, Kundenkontodaten, Server-Logfiles, Bestandsdaten.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer leistungsfähigen, sicheren Bereitstellung der Website).
Empfänger	Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg.
Speicherdauer	Die Speicherdauer richtet sich nach den jeweiligen Verarbeitungszwecken (siehe folgende Abschnitte).
Drittlandsübermittlung	Server-Standort der primären AWS-Instanz: Region eu-central-1 (Frankfurt am Main, Deutschland). Eine Drittlandsübermittlung findet im Regelfall nicht statt. Im Rahmen des CDN-Betriebs (AWS CloudFront) können statische Inhalte über Edge-Standorte außerhalb der EU ausgeliefert werden; personenbezogene Daten werden hierbei nicht primär verarbeitet, eine Übermittlung in Drittländer kann jedoch im Einzelfall nicht ausgeschlossen werden. Mit AWS besteht ein AVV nach Art. 28 DSGVO sowie ein Data Processing Addendum, das die Anforderungen der DSGVO an Drittlandsübermittlungen abbildet (Standardvertragsklauseln und EU-US Data Privacy Framework, soweit einschlägig).

§ 7 Verwendung von Schriftarten (Webfonts)

Auf unserer Website verwenden wir Schriftarten, die ausschließlich lokal von unserem Server ausgeliefert werden. Eine Verbindung zu externen Servern — etwa Google Fonts oder Adobe Typekit — findet nicht statt. Beim Aufruf der Website werden daher keine Daten an Anbieter externer Schriftartendienste übermittelt.

§ 8 Cookies und Consent Management

Cookies sind kleine Textdateien, die beim Aufruf einer Website auf Ihrem Endgerät gespeichert werden. Ähnlich wirkende Technologien sind Local Storage und Session Storage. Wir setzen Cookies ein, soweit dies für die Bereitstellung des Onlineshops technisch erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG); für alle weiteren Cookies holen wir Ihre Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO ein.

Consent Management

Für die Verwaltung Ihrer Einwilligungen nutzen wir die in unser Shopsystem integrierte Consent-Management-Funktion. Ein externes Consent-Management-Tool kommt nicht zum Einsatz; es findet daher keine Übermittlung Ihrer Einwilligungsdaten an einen externen Dienstleister statt. Beim ersten Aufruf unseres Onlineshops wird Ihnen ein Cookie-Banner angezeigt, über das Sie Ihre Auswahl treffen können. Der Banner bietet Ihnen bereits auf der ersten Ebene drei gleichrangig nebeneinander angebotene Auswahlmöglichkeiten: „Nur technisch notwendige", „Konfigurieren" und „Alles akzeptieren". Über „Konfigurieren" können Sie einzelne Cookie-Kategorien gezielt aktivieren oder deaktivieren. Nicht technisch notwendige Cookies werden erst gesetzt, nachdem Sie hierin aktiv eingewilligt haben.

Sie können Ihre Einwilligung jederzeit über die im Footer unseres Onlineshops dauerhaft erreichbare Schaltfläche „Cookie-Einstellungen" anpassen oder vollständig widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Nicht über das Cookie-Banner gesteuert wird die in § 8a beschriebene Bot-Prüfung an unseren Formularen (Cloudflare Turnstile). Sie ist unbedingt erforderlich, um die von Ihnen gewünschte Formularfunktion sicher bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG), wird erst bei Ihrer Interaktion mit einem geschützten Formular ausgeführt und setzt auf www.leitgeb.de keine Cookies; Einzelheiten und Ihr Widerspruchsrecht finden Sie in § 8a.

Eingesetzte Cookies und Speichertechnologien

Die folgende Tabelle gibt Ihnen einen Überblick über die wesentlichen von uns verwendeten Cookies und vergleichbaren Technologien:

§ 8a Schutz unserer Formulare vor Missbrauch (Cloudflare Turnstile)

Um unsere Formulare vor automatisiertem Missbrauch zu schützen — etwa vor dem massenhaften Eintragen fremder E-Mail-Adressen durch Bots —, setzen wir den Dienst Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA („Cloudflare") ein. Turnstile prüft, ob ein Formular von einem Menschen oder von einem automatisierten Programm bedient wird. Geschützt sind die Newsletter-An- und -Abmeldung (Fußbereich jeder Seite), die Registrierung eines Kundenkontos einschließlich der Gastbestellung, das Kontaktformular und die Funktion „Passwort vergessen". Für weitere Funktionen (Anmeldung im Kundenkonto, Abfrage des Bestellstatus bei Gastbestellungen, Widerrufsfunktion) ist der Schutz technisch vorbereitet; wir aktivieren ihn nur vorübergehend, wenn ein laufender automatisierter Angriff dies erfordert (siehe § 9 und § 18).

Wann Daten an Cloudflare übermittelt werden: Beim bloßen Aufruf unserer Seiten findet keine Verbindung zu Cloudflare statt. Erst wenn Sie mit einem geschützten Formular interagieren — zum Beispiel ein Eingabefeld anklicken oder das Formular absenden —, lädt Ihr Browser das Prüfskript von challenges.cloudflare.com und führt die Prüfung aus. Ab diesem Zeitpunkt erscheint unter dem Formular der Hinweis „Dieses Formular ist durch Cloudflare Turnstile geschützt." mit einem Link auf diese Datenschutzerklärung. Die Prüfung läuft im Regelfall unsichtbar im Hintergrund ab; nur bei Verdacht auf automatisierten Zugriff zeigt Ihnen Cloudflare ein Kästchen zum Anklicken an.

Wenn die Prüfung fehlschlägt: Das Formular wird mit dem Hinweis „Die Sicherheitsprüfung ist fehlgeschlagen. Bitte versuchen Sie es erneut." abgewiesen; Ihre Eingaben werden in diesem Fall von uns nicht weiterverarbeitet oder gespeichert. Sie können die Eingabe wiederholen oder uns jederzeit per E-Mail (office@leitgeb.de) oder telefonisch (+49 591 31993954) erreichen; Newsletter-Abmeldungen und Widerrufserklärungen nehmen wir auch formlos per E-Mail entgegen.

Bot-Prüfung mit Cloudflare Turnstile

Zweck der Verarbeitung	Erkennung und Abwehr automatisierter Zugriffe (Bots) auf unsere Formulare; Schutz unserer Systeme, unserer Kunden und unbeteiligter Dritter vor Missbrauch (insbesondere vor dem Versand unerwünschter E-Mails an fremde Adressen); Sicherstellung der Zustellbarkeit unserer E-Mails.
Verarbeitete Daten	Von Ihrem Browser an Cloudflare übermittelt: IP-Adresse, technische Merkmale der verschlüsselten Verbindung (TLS-Fingerabdruck), Browserkennung (User-Agent), unser Site-Key, die aufrufende Website (nur „https://www.leitgeb.de/", ohne Seitenpfad) sowie weitere technische und Verhaltenssignale Ihres Browsers, die Cloudflare zur Unterscheidung von Mensch und Bot auswertet. Inhalte Ihrer Formulareingaben werden nicht an Cloudflare übermittelt. Von unserem Server an Cloudflare übermittelt: ausschließlich das von Cloudflare ausgestellte Prüf-Token und unser geheimer Schlüssel zur Verifikation. Ihre IP-Adresse übermitteln wir dabei nicht. Bei uns gespeichert: je Prüfung ein Protokolleintrag mit geschütztem Formular, Aufrufpfad, Prüfergebnis, Grund bzw. Fehlercode, Dauer und Verkaufskanal — ohne Prüf-Token, ohne IP-Adresse und ohne Formularinhalte.
Rechtsgrundlage	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme, am Schutz unserer Formulare, unserer Kunden und unbeteiligter Dritter vor Missbrauch sowie an der Zustellbarkeit unserer E-Mails). Soweit bei der Prüfung auf Informationen in Ihrem Endgerät zugegriffen wird, erfolgt dies nach § 25 Abs. 2 Nr. 2 TDDDG, weil der Zugriff unbedingt erforderlich ist, um die von Ihnen ausdrücklich gewünschte Formularfunktion sicher bereitzustellen. Eine Einwilligung über das Cookie-Banner ist deshalb nicht erforderlich; der Dienst kann dort nicht abgewählt werden.
Empfänger	Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA — als Auftragsverarbeiter nach Art. 28 DSGVO für die Durchführung der Prüfung. Für die Weiterentwicklung seiner Bot-Erkennung verarbeitet Cloudflare die oben genannten technischen Signale darüber hinaus in eigener Verantwortlichkeit auf Grundlage eigener berechtigter Interessen; nach Angaben von Cloudflare werden die Signale nicht genutzt, um einzelne Personen zu identifizieren, zu profilieren oder gezielt anzusprechen. Einzelheiten: Cloudflare Turnstile Privacy Addendum (https://www.cloudflare.com/turnstile-privacy-policy/) und Datenschutzerklärung von Cloudflare (https://www.cloudflare.com/privacypolicy/).
Speicherdauer	Unsere Protokolleinträge zur Prüfung werden 14 Tage nach ihrer Erhebung automatisch gelöscht. Das Prüf-Token ist höchstens 300 Sekunden gültig, kann nur einmal verwendet werden und wird von uns nicht gespeichert. Cloudflare speichert die bei der Prüfung erhobenen Signale nach eigenen Angaben nur so lange, wie dies für die Bot-Erkennung und die Weiterentwicklung der Erkennungsverfahren erforderlich ist; eine feste Frist nennt Cloudflare nicht (siehe die vorstehend verlinkten Datenschutzhinweise von Cloudflare).
Cookies und Endgerätezugriff	Auf www.leitgeb.de setzt Turnstile keine Cookies (die Cloudflare-Funktion „Pre-Clearance" ist deaktiviert). Innerhalb des von Cloudflare bereitgestellten, in das Formular eingebetteten Prüf-Fensters kann Cloudflare technisch erforderliche Speichervorgänge auf Ihrem Endgerät vornehmen, die ausschließlich der Durchführung der jeweiligen Prüfung dienen und nicht der Wiedererkennung über mehrere Besuche hinweg.
Drittlandsübermittlung	Cloudflare, Inc. hat ihren Sitz in den USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10.07.2023 (EU-US Data Privacy Framework); Cloudflare, Inc. ist unter dem DPF zertifiziert. Ergänzend sind mit Cloudflare die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO vereinbart, die bei einem Wegfall der Zertifizierung an deren Stelle treten.

Widerspruch: Sie können der auf Art. 6 Abs. 1 lit. f DSGVO gestützten Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO, siehe § 3). Bitte beachten Sie, dass die geschützten Formulare ohne die Prüfung technisch nicht genutzt werden können; die genannten alternativen Kontaktwege stehen Ihnen in jedem Fall offen.

§ 9 Kundenkonto und Bestellabwicklung

Für die Nutzung unseres Onlineshops können Sie ein Kundenkonto anlegen und Bestellungen aufgeben. Wir verarbeiten dabei die zur Vertragsabwicklung erforderlichen Daten.

Kundenkonto-Registrierung

Zweck der Verarbeitung	Anlage und Verwaltung eines Kundenkontos zur Erleichterung künftiger Bestellvorgänge.
Verarbeitete Daten	Name, E-Mail-Adresse, Passwort (kryptografisch gehasht), gewählter Kontotyp (Privatkunden- oder Geschäftskundenkonto); bei Geschäftskundenkonten zusätzlich der Unternehmensname (Pflichtangabe).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung).
Empfänger	Keine Übermittlung an Dritte außer den unter § 6 genannten Hosting-Dienstleister (AWS) und ggf. Support-Dienstleister im Auftragsverarbeitungsverhältnis.
Speicherdauer	Für die Dauer des Bestehens des Kundenkontos zuzüglich der gesetzlichen Aufbewahrungsfristen für verbundene Vertragsdaten (siehe nachfolgender Block).

Bestellabwicklung

Zweck der Verarbeitung	Vertragsschluss und Vertragsdurchführung, Bonitätsprüfung im Einzelfall (manuell), Erfüllung gesetzlicher Pflichten (insbesondere steuer- und handelsrechtlich).
Verarbeitete Daten	Bestelldaten (bestellte Artikel, Menge, Preis), Rechnungs- und Lieferadresse, gewählte Zahlungsart, Bestelldatum, ggf. Unternehmensname und USt-IdNr. bei Unternehmern.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten nach § 257 HGB, § 147 AO).
Empfänger	Zahlungsdienstleister (siehe § 11), Versanddienstleister/Speditionen (siehe § 12), Hosting-Dienstleister (AWS, siehe § 6), ggf. Steuerberater.
Speicherdauer	Rechnungen und sonstige Buchungsbelege werden gemäß § 257 HGB und § 147 AO in der Fassung des Vierten Bürokratieentlastungsgesetzes 8 Jahre, Handelsbücher und Jahresabschlüsse 10 Jahre und Handels- bzw. Geschäftsbriefe 6 Jahre aufbewahrt — jeweils ab Ablauf des Kalenderjahres, in dem der Beleg entstanden ist. Daten ohne handels- oder steuerrechtliche Relevanz werden nach Ablauf der gesetzlichen Verjährungsfristen gelöscht.

Gastbestellungen: Die vorstehenden Verarbeitungen zur Bestellabwicklung gelten unabhängig davon, ob Sie über ein Kundenkonto oder als Gast bestellen; bei Gastbestellungen entfällt lediglich die Speicherung im Kundenkonto.

Pflichtangaben (Art. 13 Abs. 2 lit. e DSGVO): Die für den Vertragsschluss und die Lieferung erforderlichen Angaben sind in unseren Formularen als Pflichtfelder gekennzeichnet; ohne diese Angaben kann die Bestellung nicht ausgeführt werden. Alle weiteren Angaben sind freiwillig.

Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO): Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt; eine etwaige Bonitätsprüfung erfolgt manuell im Einzelfall (siehe § 11).

Schutz der Registrierung und des Kundenkontos: Die Registrierung eines Kundenkontos, die Gastbestellung und die Funktion „Passwort vergessen" sind durch die in § 8a beschriebene Bot-Prüfung (Cloudflare Turnstile) geschützt. Beim Login begrenzen wir zudem die Zahl fehlgeschlagener Anmeldeversuche: Nach mehreren Fehlversuchen in kurzer Folge für dieselbe E-Mail-Adresse verzögern wir weitere Anmeldeversuche vorübergehend (höchstens 60 Sekunden); eine dauerhafte Sperre Ihres Kontos erfolgt dadurch nicht. Hierzu speichern wir in unserem Server-Cache einen Zähler zu der verwendeten E-Mail-Adresse, der spätestens 24 Stunden nach dem letzten Fehlversuch gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO (berechtigtes Interesse am Schutz der Kundenkonten vor dem automatisierten Ausprobieren von Passwörtern); technischer Empfänger ist allein unser Hosting-Dienstleister (AWS, siehe § 6). Dieselben Maßnahmen gelten für Mitarbeiter-Accounts (§ 10). Im Fall eines laufenden automatisierten Angriffs können wir auch die Anmeldung im Kundenkonto und die Abfrage des Bestellstatus bei Gastbestellungen vorübergehend durch die Bot-Prüfung nach § 8a schützen.

§ 10 Mitarbeiter-Account-Funktion (Drei-Personen-Konstellation)

Unsere Geschäftskunden können über ihren Hauptaccount weitere Benutzerkonten für ihre Mitarbeiter anlegen (vgl. § 11 unserer AGB). Bestellungen, die über einen Mitarbeiter-Account abgegeben werden, gelten als im Namen und auf Rechnung des Unternehmens abgegeben, dem der Hauptaccount zugeordnet ist.

Im Rahmen dieser Funktion bestehen drei Beteiligte: das Unternehmen (Inhaber des Hauptaccounts) als Vertragspartner des jeweiligen Kaufvertrags, der Mitarbeiter (handelnde Person), der im Namen und mit Vollmacht des Unternehmens tätig wird, und die Leitgeb GmbH als Anbieter des Onlineshops und für die Verarbeitung der Daten im Rahmen des Shop-Betriebs eigenständig Verantwortliche.

Datenverarbeitung im Rahmen der Mitarbeiter-Account-Funktion

Zweck der Verarbeitung	Anlage und Verwaltung von Mitarbeiter-Accounts; Zuordnung von Bestellungen zum jeweiligen Hauptaccount-Unternehmen; Nachvollziehbarkeit der Bestellhistorie und interner Freigabeprozesse.
Verarbeitete Daten	Name und E-Mail-Adresse des Mitarbeiters, Bestellaktivitäten, Login-Zeiten, Zuordnung zum Hauptaccount, zugewiesene Berechtigungen und Budgets, IP-Adresse zum Zeitpunkt der Account-Anlage und beim ersten Login (zu Beweiszwecken im Hinblick auf die Vollmachts-Konstruktion nach § 11 unserer AGB) sowie die im Rahmen der Account-Anlage und des Bestell- bzw. Freigabeprozesses abgegebenen Checkbox-Bestätigungen mit Zeitstempel.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung mit dem Unternehmen, dem der Hauptaccount zugeordnet ist); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der ordnungsgemäßen Vertragsabwicklung und Buchhaltung).
Empfänger	Das Unternehmen, dem der Hauptaccount zugeordnet ist, kann auf die Bestellhistorie aller seiner Mitarbeiter-Accounts zugreifen.
Speicherdauer	Für die Dauer des Bestehens des Mitarbeiter-Accounts. Nach Sperrung oder Löschung des Mitarbeiter-Accounts durch das Unternehmen werden die personenbezogenen Daten des Mitarbeiters anonymisiert oder gelöscht; die zugehörigen Bestellungen bleiben dem Unternehmen weiterhin zugeordnet. Die zu Beweiszwecken erfassten Anlage- und Login-Logs werden für 4 Jahre aufbewahrt (Regelverjährung 3 Jahre + 1 Jahr Puffer zur Geltendmachung von Ansprüchen aus etwaigen Streitfällen).

Quelle der Daten (Art. 14 Abs. 2 lit. f DSGVO): Die Daten der Mitarbeiter-Accounts erhalten wir nicht von der betroffenen Person selbst, sondern von dem Unternehmen, das den Hauptaccount führt und den Mitarbeiter-Account anlegt.

Verantwortlichkeit: Wir bleiben für die Verarbeitung personenbezogener Daten im Rahmen des Shop-Betriebs eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Das Unternehmen, dem der Hauptaccount zugeordnet ist, ist seinerseits Verantwortlicher hinsichtlich der internen Berechtigungssteuerung und der datenschutzrechtlichen Information seiner Mitarbeiter über die Verarbeitung im Rahmen der Mitarbeiter-Account-Funktion.

§ 11 Zahlungsabwicklung

Im Rahmen der Bestellabwicklung bieten wir verschiedene Zahlungsarten an. Die Zahlungsdaten werden dabei abhängig von der gewählten Zahlungsart an unterschiedliche Dienstleister übermittelt.

Zahlung per Kreditkarte (Stripe)

Zweck der Verarbeitung	Sichere Abwicklung von Kreditkartenzahlungen.
Verarbeitete Daten	Name, E-Mail-Adresse, Bestellbetrag, Bestelldetails, Kreditkarteninformationen (werden ausschließlich von Stripe verarbeitet — wir selbst speichern keine Kreditkartendaten).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Empfänger	Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. An der Verarbeitung können weitere Stripe-Konzerngesellschaften beteiligt sein, insbesondere die Stripe Technology Company, Limited als europäische Hauptniederlassung.
Speicherdauer	Die zahlungsrelevanten Daten werden bei Stripe entsprechend deren Datenschutzbestimmungen verarbeitet (https://stripe.com/de/privacy). Bei uns verbleibende Bestelldaten unterliegen den Aufbewahrungsfristen aus § 9.
Drittlandsübermittlung	Stripe ist Teil eines Konzernverbundes mit US-Bezug. Drittlandsübermittlungen erfolgen auf Grundlage des EU-US Data Privacy Framework und/oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Zahlung über PayPal

Zweck der Verarbeitung	Sichere Abwicklung von Zahlungen über PayPal.
Verarbeitete Daten	Name, E-Mail-Adresse, Bestellbetrag, Bestelldetails. Login-Daten zum PayPal-Konto werden ausschließlich auf PayPal-Servern verarbeitet.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Empfänger	PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg.
Speicherdauer	Die zahlungsrelevanten Daten werden bei PayPal entsprechend deren Datenschutzbestimmungen verarbeitet (https://www.paypal.com/de/legalhub/privacy-full).
Drittlandsübermittlung	PayPal verarbeitet Daten teils auf Servern außerhalb der EU. Drittlandsübermittlungen erfolgen auf Grundlage von Standardvertragsklauseln und ggf. EU-US Data Privacy Framework.

Vorkasse

Zweck der Verarbeitung	Abwicklung von Vorkasse-Zahlungen.
Verarbeitete Daten	Name, E-Mail-Adresse, Bestellbetrag, IBAN bzw. Bankverbindung des Kunden (zur Identifikation des Zahlungseingangs).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. c DSGVO (Buchhaltungspflichten).
Empfänger	Unsere kontoführende Bank.
Speicherdauer	Wie unter § 9 „Bestellabwicklung" — gesetzliche Aufbewahrungsfristen.

Kauf auf Rechnung (nur Geschäftskunden)

Zweck der Verarbeitung	Abwicklung von Rechnungskäufen für ausgewählte Unternehmerkunden.
Verarbeitete Daten	Name, E-Mail-Adresse, Unternehmensname, USt-IdNr., Bestellbetrag, Zahlungsstatus.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Zahlungsabsicherung).
Empfänger	Bei Bedarf Steuerberater, Inkassodienstleister im Mahnfall.
Speicherdauer	Wie unter § 9 „Bestellabwicklung".

§ 12 Versand und Logistik

Je nach Art und Größe der Ware sowie Verfügbarkeit und logistischer Zweckmäßigkeit kommen unterschiedliche Versanddienstleister, Speditionen und Logistikpartner zum Einsatz.

Versand und Auslieferung

Zweck der Verarbeitung	Auslieferung der bestellten Ware an die vom Kunden angegebene Adresse, einschließlich Sendungsverfolgung und Reklamationsabwicklung.
Verarbeitete Daten	Lieferanschrift, Name, Bestellinformationen; bei Speditionsware zusätzlich Ihre Telefonnummer (zur Abstimmung des Liefertermins mit der Spedition).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Empfänger	Versanddienstleister (z. B. DHL, UPS, GLS, DPD) und Speditionen sowie Logistikpartner unserer Lieferpartner, wenn die Ware unmittelbar aus deren Lägern versandt wird. Der konkret eingesetzte Versanddienstleister kann daher im Einzelfall variieren; die Auswahl trifft das jeweils versendende Lager.
Speicherdauer	Für die Dauer des Versandvorgangs sowie zur Abwicklung etwaiger Reklamationen; im Übrigen gelten die Aufbewahrungsfristen der Bestellabwicklung (siehe § 9).

Zustellinformationen: Über den Versand und die Sendungsverfolgung informieren wir Sie selbst per E-Mail (Versandbestätigung mit Sendungsnummer). Ihre E-Mail-Adresse geben wir nicht an Versanddienstleister weiter. Bei Speditionsware übermitteln wir Ihre Telefonnummer an die beauftragte Spedition, damit diese den Liefertermin mit Ihnen abstimmen kann.

§ 13 Webanalyse mit Google Analytics

Wir nutzen Google Analytics 4 zur statistischen Auswertung der Nutzung unseres Onlineshops. Damit können wir unser Angebot kontinuierlich verbessern und auf die Bedürfnisse unserer Besucher abstimmen. Die Nutzung von Google Analytics erfolgt nur mit Ihrer ausdrücklichen Einwilligung. Wir setzen Google Consent Mode v2 ein: Vor Erteilung Ihrer Einwilligung werden keine Google-Analytics-Tags geladen und keine personenbezogenen Daten an Google übermittelt. Erst nach aktiver Bestätigung Ihrer Einwilligung über unsere Consent-Management-Funktion werden die Analyse-Cookies gesetzt und die Datenverarbeitung beginnt.

Google Analytics 4 (GA4)

Zweck der Verarbeitung	Pseudonymisierte Reichweitenmessung, Analyse des Nutzerverhaltens, Optimierung des Onlineshops.
Verarbeitete Daten	IP-Adresse (gekürzt durch IP-Anonymisierung), pseudonyme Nutzer-ID, Browser-Typ und -Version, Betriebssystem, Bildschirmauflösung, besuchte Seiten, Verweildauer, Klickpfade, Referrer-URL, ungefährer Standort (Land/Region).
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung).
Empfänger	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (innerhalb der EU).
Speicherdauer	Standardmäßig 14 Monate (GA4-Standard); danach werden die Daten gelöscht.
Drittlandsübermittlung	Google verarbeitet Daten teils auf Servern in den USA. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Google ist zertifiziert) und Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

IP-Anonymisierung: Google Analytics 4 erfasst IP-Adressen standardmäßig pseudonymisiert und kürzt sie vor jeder weiteren Verarbeitung. Eine direkte Zuordnung zu identifizierten Personen ist daher in der Regel nicht möglich. Da Google Ireland Ltd. Daten gegebenenfalls an Google LLC in den USA übermittelt, stützt sich die Drittlandsübermittlung auf den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (EU-US Data Privacy Framework); Google ist unter dem DPF zertifiziert.

Widerruf: Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Footer des Onlineshops widerrufen. Zusätzlich können Sie die Datenverarbeitung durch Google verhindern, indem Sie das Browser-Add-on zur Deaktivierung von Google Analytics installieren: https://tools.google.com/dlpage/gaoptout

§ 13a Google Ads (Conversion-Messung)

Wir schalten Werbeanzeigen über Google Ads. Um den Erfolg dieser Anzeigen zu messen, nutzen wir — ausschließlich mit Ihrer Einwilligung — die Conversion-Messung von Google Ads in der von unserem Shopsystem bereitgestellten Standardfunktion: Gelangen Sie über eine unserer Anzeigen in den Shop und schließen eine Bestellung ab, wird dieser Abschluss der Anzeige zugeordnet. Eine personalisierte Werbung auf Grundlage Ihres Nutzungsverhaltens in unserem Shop (Remarketing) findet nicht statt; entsprechende Signale werden nicht genutzt.

Verarbeitete Daten	Klick-Kennung der Anzeige (z. B. gclid), Cookie-Kennungen (_gcl_*), Conversion-Ereignis (z. B. Bestellabschluss, Warenkorbwert), technische Verbindungsdaten.
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung über die Kategorie „Marketing" unseres Cookie-Dialogs). Ohne Einwilligung werden keine Google-Ads-Cookies gesetzt und keine Daten an Google übermittelt (Consent Mode v2).
Empfänger	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Übermittlungen an Google LLC (USA) sind möglich — abgesichert über das EU-US Data Privacy Framework und ergänzend EU-Standardvertragsklauseln (siehe § 6, Hinweis zu Drittlandübermittlungen).
Speicherdauer	Die _gcl_*-Cookies haben eine Laufzeit von ca. 3 Monaten; die Aufbewahrung der Conversion-Daten bei Google richtet sich nach den dortigen Fristen.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen.

§ 13b Nutzungsanalyse mit Microsoft Clarity (Heatmaps und Sitzungsaufzeichnungen)

Mit Ihrer Einwilligung nutzen wir Microsoft Clarity, einen Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland („Microsoft"). Clarity zeigt uns in zusammengefasster Form, wie Besucher unsere Seiten nutzen (Heatmaps zu Klicks und Scrolltiefe, Fehlklicks), und zeichnet einzelne Sitzungen so auf, dass wir Mausbewegungen, Klicks und Seitenwechsel nachvollziehen können. Damit erkennen wir Bedienprobleme und Abbrüche — etwa im Bestellprozess — und verbessern Website und Shop.

Was nicht erfasst wird: Clarity läuft bei uns in der Maskierungsstufe „Balanced". Dabei werden alle Eingaben in Formularfelder und Auswahllisten sowie Texte, die wie E-Mail-Adressen, Telefonnummern oder Zahlen aussehen, automatisch maskiert; sonstiger Seitentext (etwa Produktnamen, Navigation und Hinweise) bleibt in der Aufzeichnung lesbar. Darüber hinaus maskieren wir gezielt alle Bereiche, in denen Ihre gespeicherten persönlichen Daten als Text angezeigt werden: im Bestellprozess die Liefer- und Rechnungsadressen auf der Adressauswahl, der Bestellbestätigungs- und der Danke-Seite sowie Ihren Kundenkommentar; im Kundenkonto die gesamte Inhaltsspalte aller Kontoseiten (Übersicht, Profil, Adressen, Bestellungen, Angebote, Mitarbeiterverwaltung, Freigaben, Einstellungen) sowie die Begrüßung mit Ihrem Namen. Von Kontoseiten sehen wir daher nur den Seitenaufbau, das Klick- und Scrollverhalten und die Beschriftungen der Navigation. Die Anmelde- und die Registrierungsseite werden aufgezeichnet; sie zeigen keine gespeicherten Kundendaten, und Ihre Eingaben dort sind maskiert. Maskierte Inhalte werden nicht an Microsoft übertragen. Zahlungsdaten geben Sie ohnehin nicht auf unserer Website, sondern bei den Zahlungsdienstleistern ein (§ 11). Eine Verknüpfung von Clarity mit Google Analytics oder Google Ads besteht nicht.

Einwilligung und Einwilligungssignal an Microsoft: Clarity wird erst geladen, nachdem Sie im Cookie-Banner in die Kategorie „Statistik" eingewilligt haben; vorher findet keine Verbindung zu Microsoft statt. Mit dem Laden übermitteln wir Microsoft Ihre Einwilligung ausschließlich für die Nutzungsanalyse; eine Einwilligung in die Weitergabe Ihrer Daten an Microsoft Advertising für Werbezwecke (Clarity-Einwilligungsart „ad_storage") übermitteln wir nicht.

Microsoft Clarity

Zweck der Verarbeitung	Analyse des Nutzungsverhaltens auf unserer Website (Heatmaps zu Klick- und Scrollverhalten, Fehlklicke, Verweildauer); Wiedergabe einzelner Sitzungen zur Erkennung von Bedienproblemen und Abbrüchen; Verbesserung von Website und Shop.
Verarbeitete Daten	Pseudonyme Nutzer- und Sitzungskennung (Cookies, siehe § 8), aufgerufene Seiten (URLs) und damit auch aufgerufene Produkte, Referrer-URL, Mausbewegungen, Klicks, Scrolltiefe, Verweildauer, in der Aufzeichnung lesbarer allgemeiner Seitentext (z. B. Produktnamen, Navigation), Browser- und Gerätetyp, Betriebssystem, Bildschirmauflösung, IP-Adresse (von Microsoft zur Bestimmung der ungefähren Region und des anwendbaren Einwilligungsgebiets ausgewertet). Nicht erfasst: Ihre Formulareingaben, als Text angezeigte Adress-, Konto- und Bestelldaten, Kundenkommentare sowie Inhalte, die wie E-Mail-Adressen, Telefonnummern oder Zahlen aussehen (siehe oben).
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung über die Kategorie „Statistik" unseres Cookie-Dialogs). Ohne Einwilligung wird Clarity nicht geladen, es werden keine Cookies gesetzt und keine Daten an Microsoft übermittelt.
Empfänger	Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Verarbeitung auch durch die Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Microsoft ist nach seinen Nutzungsbedingungen für Clarity nicht unser Auftragsverarbeiter, sondern eigenständiger Verantwortlicher für die über Clarity erhobenen Daten. Microsoft darf diese Daten nach Maßgabe der Microsoft-Datenschutzerklärung auch für eigene Zwecke nutzen — insbesondere zur Bereitstellung und Verbesserung eigener Produkte und Dienste, für Berichte und Leistungsanalysen sowie zur Erstellung von Nutzerprofilen, auch zu Werbezwecken; nicht personenbezogene Daten auch für Forschung und Entwicklung einschließlich des Trainings von KI-Modellen. Wir haben darauf keinen Einfluss. Einzelheiten: Microsoft-Datenschutzerklärung (https://privacy.microsoft.com/de-de/privacystatement) und Clarity-Nutzungsbedingungen (https://clarity.microsoft.com/terms).
Speicherdauer	Sitzungsaufzeichnungen stehen uns 30 Tage zur Verfügung; von uns markierte Aufzeichnungen und eine von Microsoft gezogene Stichprobe bis zu 9 Monate. Heatmaps bis zu 9 Monate. Für die Speicherung bei Microsoft im Übrigen gilt die Microsoft-Datenschutzerklärung. Cookie-Laufzeiten: siehe Tabelle in § 8.
Cookies	Auf www.leitgeb.de: _clck (Nutzerkennung, 1 Jahr) und _clsk (Sitzungskennung, 1 Tag). Zusätzlich setzt Microsoft über eigene Domains (clarity.ms, bing.com) die Cookies CLID, MUID, ANONCHK, MR und SM; MUID ist eine Kennung, mit der Microsoft Browser über Microsoft-Websites hinweg wiedererkennt und die Microsoft für Website-Analyse, den Betrieb eigener Dienste und Werbung nutzt. Alle Cookies werden erst nach Ihrer Einwilligung gesetzt (Tabelle in § 8).
Drittlandsübermittlung	Die Daten werden auf Servern der Microsoft Corporation in den USA verarbeitet. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10.07.2023 (EU-US Data Privacy Framework); die Microsoft Corporation ist unter dem DPF zertifiziert. Ergänzend bestehen zwischen Microsoft Ireland Operations Limited und der Microsoft Corporation Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen. Die Erfassung endet dann und die Clarity-Cookies auf www.leitgeb.de werden gelöscht; bereits erstellte Aufzeichnungen werden nach Ablauf der oben genannten Fristen gelöscht. Cookies, die Microsoft auf eigenen Domains gesetzt hat, können Sie über die Einstellungen Ihres Browsers löschen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

§ 14 Newsletter

Sie haben die Möglichkeit, sich für unseren Newsletter anzumelden. Der Newsletter erscheint in regelmäßigen Abständen und enthält redaktionelle Inhalte — etwa Themenschwerpunkte, Berichte aus der Praxis und Werkzeugvorstellungen — sowie Informationen zu Produkten, Angeboten und Aktionen der Leitgeb GmbH. Die Anmeldung erfolgt im Double-Opt-In-Verfahren. Derzeit versenden wir noch keinen Newsletter, sondern sammeln zunächst die Anmeldungen; ein aktiver Versand erfolgt erst zu einem späteren Zeitpunkt. Sobald wir für den Versand einen externen Dienstleister einsetzen, werden wir diese Datenschutzerklärung entsprechend anpassen und Sie informieren.

Newsletter-Anmeldung und -Verwaltung

Zweck der Verarbeitung	Erfassung und Verwaltung von Newsletter-Anmeldungen im Double-Opt-In-Verfahren; Versand eines in regelmäßigen Abständen erscheinenden Newsletters mit redaktionellen Inhalten sowie Informationen zu Produkten, Angeboten und Aktionen der Leitgeb GmbH.
Verarbeitete Daten	E-Mail-Adresse, Anrede, Vor- und Nachname (soweit angegeben), Anmelde-Datum, IP-Adresse zum Anmelde- und Bestätigungs-Zeitpunkt.
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Empfänger	Keine Übermittlung an externe Dienstleister. Die Anmeldedaten werden ausschließlich in der Newsletter-Verwaltung unseres Shopsystems gespeichert; technischer Empfänger ist insoweit allein unser Hosting-Dienstleister (AWS, siehe § 6).
Speicherdauer	Bis zum Widerruf Ihrer Einwilligung. Die Anmelde- und Bestätigungs-Protokolle (Zeitpunkte und IP-Adressen) werden zum Nachweis der Einwilligung archiviert und drei Jahre nach Beendigung des Newsletter-Bezugs gelöscht.

Double-Opt-In-Verfahren: Nach der Anmeldung zum Newsletter senden wir Ihnen eine Bestätigungs-E-Mail an die angegebene E-Mail-Adresse. Erst nach Klick auf den Bestätigungs-Link wird Ihre Anmeldung wirksam und Ihre E-Mail-Adresse in unsere Newsletter-Liste aufgenommen. Zur Sicherung der Einwilligung speichern wir die Anmelde- und Bestätigungs-Zeitpunkte sowie die IP-Adressen.

Schutz des Anmeldeformulars und Begrenzung der Bestätigungs-E-Mails: Das Newsletter-Formular ist durch die in § 8a beschriebene Bot-Prüfung (Cloudflare Turnstile) geschützt. Um Sie und unbeteiligte Dritte vor unerwünschten E-Mails zu schützen, versenden wir je E-Mail-Adresse höchstens eine Bestätigungs-E-Mail innerhalb von 24 Stunden; eine erneute Anmeldung innerhalb dieses Zeitraums löst keine weitere E-Mail aus. Hierfür werten wir ausschließlich den Status und den Zeitpunkt der bereits vorhandenen Anmeldung aus; zusätzliche Daten erheben wir nicht. Anmeldungen, die nicht über den Bestätigungs-Link bestätigt werden, löschen wir spätestens [PLATZHALTER: Frist, Empfehlung 30 Tage] nach der Anmeldung; eine Aufnahme in unseren Verteiler findet ohne Bestätigung nicht statt.

Widerruf: Sie können Ihre Einwilligung jederzeit widerrufen — durch eine formlose Nachricht an office@leitgeb.de und, sobald ein Newsletter-Versand erfolgt, zusätzlich über den Abmelde-Link am Ende jeder Newsletter-E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

§ 15 Produktbewertungen

Kunden mit Kundenkonto können in unserem Onlineshop Produktbewertungen abgeben. Die Bewertungen unterstützen andere Kunden bei ihrer Kaufentscheidung und helfen uns, unser Angebot zu verbessern.

Die Abgabe einer Bewertung setzt voraus, dass Sie in Ihrem Kundenkonto angemeldet sind und den bewerteten Artikel über dieses Kundenkonto bei uns bestellt haben. Durch diese technische Prüfung stellen wir sicher, dass Bewertungen nur von Kunden stammen, die das jeweilige Produkt tatsächlich bei uns erworben haben (§ 5b Abs. 3 UWG). Veröffentlicht werden der Bewertungstext, die Sternebewertung, Ihr Vorname sowie das Datum der Bewertung.

Abgabe und Veröffentlichung von Produktbewertungen

Zweck der Verarbeitung	Entgegennahme, Prüfung und Veröffentlichung von Produktbewertungen zur Information anderer Kunden; Missbrauchsprävention.
Verarbeitete Daten	Bewertungstext, Sternebewertung, Vorname (als Anzeigename), Zuordnung zu Ihrem Kundenkonto und zur zugrunde liegenden Bestellung (Kaufprüfung), Zeitpunkt der Bewertung.
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, die Sie durch die aktive Abgabe der Bewertung erteilen).
Empfänger	Keine Übermittlung an externe Bewertungsdienstleister; technischer Empfänger ist allein unser Hosting-Dienstleister (AWS, siehe § 6).
Speicherdauer	Bis zum Widerruf Ihrer Einwilligung bzw. bis zur Löschung der Bewertung. Sie können die Löschung jederzeit formlos unter office@leitgeb.de verlangen; die Bewertung wird dann aus dem Onlineshop entfernt.

§ 16 Kontaktaufnahme

Sie können uns auf verschiedenen Wegen kontaktieren. Je nach Kontaktweg verarbeiten wir die folgenden Daten:

Allgemeines Kontaktformular und E-Mail-Anfragen

Zweck der Verarbeitung	Bearbeitung Ihrer Anfrage und Kommunikation mit Ihnen.
Verarbeitete Daten	Name, E-Mail-Adresse, ggf. Telefonnummer, Inhalt Ihrer Anfrage.
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung), soweit die Anfrage einen Bezug zu einem Vertragsverhältnis hat; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen) im Übrigen.
Empfänger	Hosting-Dienstleister (AWS).
Speicherdauer	Bis zur Erledigung Ihrer Anfrage; im Übrigen die gesetzlichen Aufbewahrungsfristen, soweit die Anfrage geschäftliche Korrespondenz im Sinne des § 257 HGB darstellt (i. d. R. 6 Jahre).

Schutz des Kontaktformulars: Das Kontaktformular ist durch die in § 8a beschriebene Bot-Prüfung (Cloudflare Turnstile) geschützt. Anfragen per E-Mail an office@leitgeb.de oder per Telefon sind davon nicht betroffen.

Telefonische Kontaktaufnahme

Zweck der Verarbeitung	Bearbeitung Ihrer Anfrage und Kommunikation.
Verarbeitete Daten	Telefonnummer, Name, Inhalt des Gesprächs (sofern in Notizen festgehalten).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
Empfänger	Keine Übermittlung an Dritte außer im Rahmen der Bestellabwicklung.
Speicherdauer	Bis zur Erledigung Ihrer Anfrage; im Übrigen die gesetzlichen Aufbewahrungsfristen.

§ 17 WhatsApp Business

Für die Kundenkommunikation bieten wir Ihnen WhatsApp Business als alternativen Kontaktweg an. WhatsApp wird von der WhatsApp Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland (Tochtergesellschaft der Meta Platforms, Inc.) betrieben.

Kommunikation über WhatsApp Business

Zweck der Verarbeitung	Bearbeitung Ihrer Anfragen und Kommunikation über WhatsApp Business als alternativen Kontaktweg.
Verarbeitete Daten	Telefonnummer, WhatsApp-Profilname, gegebenenfalls Profilbild, Inhalt der ausgetauschten Nachrichten, Zeitstempel der Nachrichten, Metadaten (z. B. Versandzeitpunkt, Empfangsbestätigungen).
Rechtsgrundlage	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — erteilt durch die aktive Aufnahme oder Fortsetzung des Chats nach Kenntnisnahme unserer Hinweise, siehe „Einwilligung und Widerruf"); Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung geschäftlicher Korrespondenz (handels- und steuerrechtliche Pflichten).
Empfänger	WhatsApp Ireland Ltd. (Datenverarbeitung im Konzernverbund mit Meta Platforms).
Speicherdauer	Bis zur Erledigung Ihrer Anfrage; im Übrigen die gesetzlichen Aufbewahrungsfristen.
Drittlandsübermittlung	WhatsApp / Meta verarbeiten Daten teilweise auf Servern in den USA. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework und Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Wichtiger Hinweis: Mit der Kontaktaufnahme über WhatsApp werden Daten zwangsläufig über die WhatsApp-/Meta-Infrastruktur übermittelt. Die Verschlüsselung der Nachrichten erfolgt zwar Ende-zu-Ende; Metadaten (Zeitpunkte, Kommunikationspartner, Telefonnummer) sind WhatsApp jedoch zugänglich und werden von Meta für eigene Zwecke ausgewertet. Wir weisen ausdrücklich darauf hin, dass bei Nutzung von WhatsApp Business datenschutzrechtliche Risiken bestehen, die wir trotz aller von uns getroffenen Maßnahmen nicht vollständig ausschließen können. Insbesondere ist mit Meta kein klassischer Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abschließbar. Wir empfehlen allen Kunden, die eine besonders datenschutzschonende Kommunikation wünschen, alternative Kontaktwege zu nutzen: E-Mail (office@leitgeb.de) oder Telefon (+49 591 31993954). Diese Alternativen empfehlen wir auch ausdrücklich für die Übermittlung sensibler Informationen (z. B. Bestelldetails, Zahlungs- oder Reklamationsangelegenheiten).

Kein Adressbuch-Abgleich: Wir speichern keine Kundenkontaktdaten im Adressbuch des für WhatsApp genutzten Endgeräts und haben den Adressbuch-Zugriff der Anwendung deaktiviert; ein Abgleich Ihrer Kontaktdaten mit WhatsApp durch uns findet daher nicht statt. Eine Kommunikation über WhatsApp erfolgt ausschließlich, wenn Sie selbst den Chat mit uns beginnen; zur Erstansprache oder für Werbung nutzen wir WhatsApp nicht.

Einwilligung und Widerruf: Rechtsgrundlage der Kommunikation über WhatsApp ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Diese erteilen Sie, indem Sie — nach Kenntnisnahme der vorstehenden Hinweise, die wir Ihnen zusätzlich mit unserer ersten Antwortnachricht übermitteln — den Chat mit uns aktiv beginnen oder fortsetzen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; eine formlose Nachricht im Chat genügt. Wir setzen die Kommunikation dann per E-Mail oder Telefon fort. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

§ 18 Widerrufsfunktion

Verbraucher können ihren Widerruf eines Fernabsatzvertrages mit uns auch über die im Footer unseres Onlineshops dauerhaft erreichbare Schaltfläche „Vertrag widerrufen" unter https://www.leitgeb.de/widerruf abgeben (§ 356a BGB i.V.m. Art. 246a § 1 Abs. 2 EGBGB; vgl. § 13 unserer AGB sowie unsere Widerrufsbelehrung). Der Widerruf erfolgt in einem zweistufigen Verfahren: Nach Betätigen der Widerrufsfunktion können Sie auf der folgenden Seite die Vertragsdaten eintragen und Ihre Widerrufserklärung mit der Schaltfläche „Widerruf bestätigen" übermitteln. Nach Eingang Ihrer Widerrufserklärung übermitteln wir Ihnen unverzüglich auf einem dauerhaften Datenträger (in der Regel per E-Mail) eine Bestätigung mit dem Inhalt Ihrer Widerrufserklärung sowie Datum und Uhrzeit des Eingangs. Die Widerrufsfunktion richtet sich ausschließlich an Verbraucher; Unternehmern steht ein gesetzliches Widerrufsrecht im Fernabsatz nicht zu.

Schutz der Widerrufsfunktion im Angriffsfall: Die Widerrufsfunktion ist im Regelfall nicht durch die Bot-Prüfung nach § 8a geschützt. Nur wenn ein laufender automatisierter Angriff auf das Formular dies erfordert, können wir die Prüfung vorübergehend aktivieren; sie läuft dann in der Regel unsichtbar ab und verändert die Abgabe Ihrer Widerrufserklärung nicht. Unabhängig davon können Sie Ihren Widerruf jederzeit auch formlos — etwa per E-Mail an office@leitgeb.de oder per Brief — erklären; die Widerrufsfunktion ist nur ein zusätzlicher Weg.

Widerrufsfunktion

Zweck der Verarbeitung	Entgegennahme und Dokumentation von Widerrufserklärungen, Rückabwicklung des Vertrages.
Verarbeitete Daten	Bestellnummer / Vertragskennung, E-Mail-Adresse, Inhalt der Widerrufserklärung, Datum und Uhrzeit des Eingangs der Erklärung, IP-Adresse zum Zeitpunkt des Widerrufs (zur Eingangs-Dokumentation).
Rechtsgrundlage	Art. 6 Abs. 1 lit. b DSGVO (Vertragsrückabwicklung); Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Bestätigung des Widerrufseingangs auf einem dauerhaften Datenträger, § 356a Abs. 4 BGB, sowie Aufbewahrungspflichten); Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der beweissicheren Dokumentation des Eingangs und am Schutz vor Missbrauch) für die Erfassung der IP-Adresse.
Empfänger	Hosting-Dienstleister (AWS).
Speicherdauer	Wie unter § 9 „Bestellabwicklung" — gesetzliche Aufbewahrungsfristen. Die zum Widerrufseingang erfasste IP-Adresse löschen wir spätestens 12 Monate nach Eingang der Erklärung, sofern sie nicht zur Aufklärung eines konkreten Streitfalls über Zugang oder Zeitpunkt des Widerrufs benötigt wird.

§ 19 Datensicherheit und Verschlüsselung

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um die personenbezogenen Daten unserer Kunden gegen zufällige oder vorsätzliche Manipulation, teilweisen oder vollständigen Verlust, Zerstörung oder unbefugten Zugriff Dritter zu schützen.

Die Übermittlung der Daten zwischen Ihrem Browser und unserem Server erfolgt verschlüsselt über HTTPS (TLS-Verschlüsselung). Sie erkennen eine verschlüsselte Verbindung am Schloss-Symbol in der Adressleiste Ihres Browsers.

Passwörter für Kundenkonten werden ausschließlich kryptographisch gehasht gespeichert; eine Wiederherstellung des Klartextpassworts ist auch durch uns selbst nicht möglich. Bei Verlust des Passworts ist daher eine Neusetzung erforderlich.

Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend angepasst.

§ 20 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund neuer Technologien, neuer Dienste oder geänderter Rechtslage erforderlich ist. Die jeweils aktuelle Fassung können Sie jederzeit über unseren Onlineshop unter www.leitgeb.de/datenschutz abrufen.

Stand: 13.10.2026 — Leitgeb GmbH, Lingen (Ems)