Datenschutzerklärung
Datenschutzerklärung
Blackstuff Deutschland · Sven Ottmann · www.blackstuffdeutschland.de
Stand: 16. Oktober 2026
Inhaltsübersicht
1. Geltungsbereich
2. Verantwortlicher und Datenschutzkontakt
3. Datenarten und Herkunft
4. Rechtsgrundlagen und erforderliche Angaben
5. Schutz Ihrer Daten
6. Empfänger und internationale Datenverarbeitung
7. Speicherung und Löschung
8. Ihre Rechte
9. Geschäftliche Leistungen, Onlineshop und Kundenkonto
10. Bestellungen über CopeCart
11. Zahlungsdienste und Versand
12. Websitebereitstellung, Hosting und technische Protokolle
13. Cookies und Einwilligungsverwaltung mit CCM19
14. Google Tag Manager und Google Analytics 4
15. Google Ads und Meta Pixel
16. Google Forms und allgemeine Umfragen
17. Google Maps, Videos und Schriftarten
18. Gesundheitsfragebogen und ausdrückliche Einwilligung
19. Fragebogen-Workflow und externe KI-Dienste
20. Löschung und Widerruf bei Gesundheitsdaten
21. Kontaktanfragen, E-Mail und Google Workspace
22. WhatsApp Business, WhatsApp Platform und Superchat
23. Newsletter und elektronische Werbung
24. Kundenbewertungen und Judge.me
25. Facebook, Instagram und Metricool
26. Blog, Community und Kundenkonten
27. Schulungen, Kurse, Gewinnspiele und Befragungen
28. Asana und Partnerprogramme
29. Änderungen dieser Erklärung
1. Geltungsbereich
Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten durch Sven Ottmann unter der Bezeichnung Blackstuff Deutschland. Sie gilt für unsere Website www.blackstuffdeutschland.de, den Onlineshop, Kundenkonten, angeforderte persönliche Ernährungsempfehlungen, die Kundenkommunikation sowie unsere Kurse, Community-Angebote und Marketingmaßnahmen.
Sie richtet sich an Websitebesucher, Interessenten, Kunden, Kommunikationspartner, Community-Mitglieder und Teilnehmer unserer Angebote. Einzelne Dienste verarbeiten nur die Daten, die beim jeweiligen Vorgang tatsächlich anfallen. Ergänzende Hinweise unmittelbar vor einer Datenerhebung, beispielsweise an einem Fragebogen oder bei einem Gewinnspiel, erläutern die besonderen Bedingungen dieses Vorgangs.
2. Verantwortlicher und Datenschutzkontakt
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Sven Ottmann · Blackstuff Deutschland
Klinggraben 42
91126 Schwabach · Deutschland
E-Mail: shop@blackstuffdeutschland.de
Telefon: 09122/8897334
Website: https://www.blackstuffdeutschland.de
Bei Fragen zum Datenschutz sowie zur Ausübung Ihrer Rechte können Sie uns über diese Kontaktwege erreichen.
3. Datenarten und Herkunft
Je nach Nutzung unserer Angebote verarbeiten wir insbesondere:
·Bestands- und Kontaktdaten, etwa Name, Anschrift, E-Mail-Adresse und Telefonnummer;
·Registrierungs- und Kundenkontodaten, Zugangsinformationen und Kontoeinstellungen;
·Vertrags-, Bestell-, Rechnungs-, Liefer- und Zahlungsstatusdaten;
·Kommunikationsinhalte, Anhänge, Beiträge, Bewertungen und Teilnahmeinformationen;
·technische Verbindungs-, Nutzungs- und Sicherheitsdaten, beispielsweise IP-Adresse, Geräte- und Browserinformationen, angeforderte Seiten und Zugriffszeitpunkte;
·bei ausdrücklich angeforderten persönlichen Ernährungsempfehlungen die Angaben aus dem Gesundheits- und Ernährungsfragebogen und daraus abgeleitete persönliche Empfehlungen.
Gesundheitsdaten können auch vorliegen, wenn keine Diagnose angegeben wird. Insbesondere Informationen über Beschwerden, Schlafprobleme oder vergleichbare gesundheitliche Umstände können unter Art. 9 DSGVO fallen.
Die Daten erhalten wir grundsätzlich von Ihnen. Bestell-, Zahlungs- und Versandinformationen können uns auch über die beteiligten Dienstleister zugehen. Soweit wir personenbezogene Daten aus anderen Quellen beziehen, beachten wir die Informationspflichten nach Art. 14 DSGVO, sofern keine gesetzliche Ausnahme eingreift.
4. Rechtsgrundlagen und erforderliche Angaben
Wir verarbeiten personenbezogene Daten auf folgenden Grundlagen, soweit deren Voraussetzungen beim jeweiligen Vorgang erfüllt sind:
·Art. 6 Abs. 1 Buchst. a DSGVO: Ihre Einwilligung, beispielsweise für Newsletter und einwilligungsbedürftige Analyse- oder Werbemaßnahmen;
·Art. 6 Abs. 1 Buchst. b DSGVO: Erfüllung eines mit Ihnen bestehenden Vertrags oder Durchführung von Ihnen angefragter vorvertraglicher Maßnahmen;
·Art. 6 Abs. 1 Buchst. c DSGVO: Erfüllung gesetzlicher Pflichten, insbesondere Buchführungs- und Aufbewahrungspflichten;
·Art. 6 Abs. 1 Buchst. f DSGVO: berechtigte Interessen, insbesondere sicherer Websitebetrieb, sachgerechte Kundenkommunikation, Missbrauchsabwehr und geordnete Geschäftsführung. Die jeweiligen Interessen erläutern wir bei den einzelnen Verarbeitungen.
Für die freiwillige Verarbeitung gesundheitsbezogener Fragebogenangaben und persönlicher Empfehlungen verwenden wir Ihre Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und bei Gesundheitsdaten zusätzlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO. Eine Cookie-, AGB- oder Newsletter-Zustimmung ersetzt diese Einwilligung nicht.
Erforderliche Angaben werden bei Bestellungen, Registrierungen und Formularen entsprechend gekennzeichnet. Ohne notwendige Liefer- oder Abrechnungsangaben kann eine Bestellung nicht oder nur eingeschränkt ausgeführt werden. Ohne die erforderlichen Fragebogenangaben und die ausdrückliche Gesundheitsdateneinwilligung ist eine darauf beruhende persönliche Empfehlung nicht möglich. Gewöhnliche Shopbestellungen setzen diese Gesundheitsdateneinwilligung nicht voraus. Newsletter und andere werbliche Zusatzangebote sind freiwillig.
5. Schutz Ihrer Daten
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören risikogerechte Zugriffsbeschränkungen, verschlüsselte Übertragungswege, Berechtigungskonzepte sowie Schutzmaßnahmen für gespeicherte Daten. Die Ausgestaltung richtet sich nach Datenart, Verarbeitungsrisiko und Stand der Technik.
Eine übliche Transportverschlüsselung bei E-Mails ist nicht mit durchgängiger Ende-zu-Ende-Verschlüsselung gleichzusetzen. Bitte übermitteln Sie Gesundheits- oder Diagnoseangaben nicht unaufgefordert über gewöhnliche E-Mail, öffentliche Beiträge oder die nachfolgend beschriebenen allgemeinen Messenger- und Telefonkanäle.
6. Empfänger und internationale Datenverarbeitung
Für die beschriebenen Zwecke setzen wir Hosting-, IT-, Shop-, Zahlungs-, Versand-, Kommunikations-, Bewertungs-, Organisations-, Analyse-, Marketing- und KI-Dienstleister ein. Die Empfänger und Datenwege werden bei den betreffenden Leistungen genannt. Auftragsverarbeiter dürfen Daten im Rahmen der vereinbarten Weisungen verarbeiten. Andere Anbieter verarbeiten bestimmte Daten in eigener Verantwortung. Bei gemeinsamer Verantwortlichkeit gelten die in dieser Erklärung beschriebenen Aufgabenverteilungen.
Shopify: Shopify International Limited, Irland, stellt Shopdienste bereit. Nach Shopifys veröffentlichten Informationen können personenbezogene Shop- und Kundendaten an Shopify Inc., Kanada, übermittelt werden. Shopify stützt diese Übermittlung auf den Kanada-Angemessenheitsbeschluss für die erfassten kommerziellen Organisationen. Für weitere konzerninterne Übermittlungen und Übermittlungen an Unterauftragsverarbeiter beschreibt Shopify EU-Standardvertragsklauseln. Auch eine Speicherung bestimmter Daten in Europa schließt internationale Verarbeitungen nicht aus. Weitere Informationen: https://help.shopify.com/de/manual/privacy-and-security/privacy/international-data-transfers/onward-transfers.
Google: Je nach Dienst sind die in Irland ansässigen Google Ireland Limited beziehungsweise die zuständige Google-Gesellschaft für Workspace-Leistungen beteiligt. Zu den von Google dafür benannten EWR-Gesellschaften gehört Google Cloud EMEA Limited. Bei internationalen Verarbeitungen kann Google LLC, USA, Empfänger sein. Google LLC ist zum Stand dieser Erklärung im EU-US Data Privacy Framework als aktiver Teilnehmer geführt. Für Übermittlungen, bei denen die US-Empfängergesellschaft und die betreffenden Daten von dieser Zertifizierung erfasst sind, gilt der Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Register und Zertifizierungsumfang: https://www.dataprivacyframework.gov/participant/5780.
Für von den geltenden Google-Datenverarbeitungsbedingungen erfasste eingeschränkte Übermittlungen sehen diese Bedingungen, soweit keine einschlägige alternative Übermittlungslösung greift, EU-Standardvertragsklauseln nach Art. 46 DSGVO mit dem jeweils passenden Rollenmodul vor. Das ist keine pauschale Absicherung sämtlicher Google-Gesellschaften oder beliebiger Drittstaaten. Informationen: https://cloud.google.com/terms/data-processing-addendum, https://business.safety.google/adsprocessorterms/, https://business.safety.google/adscontrollerterms/ und https://policies.google.com/privacy/frameworks?hl=de. Die Workspace-Unterauftragsverarbeiterliste erläutert mögliche Standorte und Aufgaben: https://workspace.google.com/terms/subprocessors/.
Funnelking und die n8n-Umgebung: Die an Funnelking im Rahmen der von uns verwendeten Leistungen übermittelten Daten werden nach unserem beschriebenen Ablauf innerhalb der EU verarbeitet. Für n8n nutzen wir eine von Hostinger bereitgestellte Serverumgebung in Deutschland. Eine solche Standortangabe ist von möglichen gesonderten Datenwegen anderer beteiligter Anbieter zu unterscheiden.
Weitere Dienste: Die Zahlungs-, Kommunikations-, Plattform- und KI-Anbieter werden in den folgenden Abschnitten genannt. Eine Übertragung an einen außerhalb des EWR verarbeitenden Anbieter oder ein Zugriff aus einem Drittland kann auch bei europäischen Vertragsgesellschaften vorkommen. Die Anbieterinformationen erläutern die jeweiligen Empfänger und Übermittlungsmechanismen. Eine Verarbeitung in einem Drittland kann unterschiedliche Datenschutzbedingungen und Zugriffsmöglichkeiten öffentlicher Stellen mit sich bringen.
Für die in den folgenden Abschnitten beschriebenen KI-, Messenger-, Video- und Organisationsdienste gelten die dort genannten dienstbezogenen Informationen. Angaben eines Anbieters über konzerninterne Standardvertragsklauseln sind nicht automatisch eine Vereinbarung zwischen Blackstuff Deutschland und diesem Anbieter. Eine Kopie der für eine konkrete personenbezogene Drittlandübermittlung einschlägigen Datenschutzgarantien können Sie unter shop@blackstuffdeutschland.de anfordern. Bei wirksam anonymen Informationen entfällt der Personenbezug dieser Informationen; die vorherige Verarbeitung der personenbezogenen Ausgangsdaten unterliegt weiterhin der DSGVO.
7. Speicherung und Löschung
Wir speichern personenbezogene Daten so lange, wie sie für den beschriebenen Zweck erforderlich sind oder eine andere zulässige Grundlage ihre weitere Aufbewahrung trägt. Entfällt der Zweck, werden die betreffenden Daten gelöscht oder wirksam anonymisiert. Für besondere Kategorien personenbezogener Daten muss zusätzlich eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO vorliegen. Eine Zugriffssperre ersetzt eine erforderliche Löschung nicht.
Für gesetzlich aufbewahrungspflichtige Unterlagen gelten, soweit die betreffenden Vorschriften auf Blackstuff Deutschland anwendbar sind, insbesondere zehn Jahre für bestimmte Bücher, Aufzeichnungen und Abschlüsse, acht Jahre für Buchungsbelege, regelmäßig einschließlich Rechnungen, und sechs Jahre für bestimmte Handels- und Geschäftsbriefe nach § 147 AO und gegebenenfalls § 257 HGB. Die Fristen beginnen grundsätzlich mit dem Schluss des maßgeblichen Kalenderjahres. Gesetzliche Verlängerungen und Sonderfälle bleiben vorbehalten.
Eine begrenzte Aufbewahrung für die Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche kann erforderlich sein. Daraus folgt keine pauschale Aufbewahrung sämtlicher Gesundheits- oder Kommunikationsdaten bis zum Ablauf jeder denkbaren Verjährungsfrist.
Kundenkontodaten werden nach wirksamer Kontolöschung entfernt, soweit nicht einzelne Daten für einen anderen zulässigen Zweck benötigt werden. Allgemeine Anfragen löschen wir nach abschließender Bearbeitung. Daten zu Umfragen, Gewinnspielen und Community-Angeboten werden nach Abschluss des jeweiligen Zwecks gelöscht oder anonymisiert. Die besonderen Kriterien für Gesundheitsdaten, Newsletter und technische Daten finden Sie in den betreffenden Abschnitten.
Technische Protokolle werden gelöscht, wenn die jeweilige Betriebs-, Fehler- oder Sicherheitsprüfung abgeschlossen ist und sie dafür nicht mehr erforderlich sind. Bei einem konkreten dokumentierten Sicherheitsvorfall können erforderliche Belege bis zum Abschluss seiner Klärung aufbewahrt werden.
Blackstuff Deutschland erstellt keine eigenen Sicherungskopien. Technische Sicherungen und Wiederherstellungsabläufe der eingesetzten Dienstleister sind hiervon zu unterscheiden. Die in deren Informationen beschriebenen Lösch- und Wiederherstellungsphasen sind keine eigenständige Erlaubnis zur längeren aktiven Nutzung Ihrer Daten. Eigene Löschvorgaben erfassen auch zugehörige Kommunikations- und Workflow-Kopien.
8. Ihre Rechte
Nach Maßgabe der DSGVO haben Sie das Recht auf Auskunft und eine Kopie Ihrer personenbezogenen Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung sowie gegebenenfalls Datenübertragbarkeit nach Art. 15 bis 20 DSGVO. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.
Widerspruch aus besonderer Situation: Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Wir verarbeiten die Daten anschließend nur weiter, wenn die gesetzlichen Voraussetzungen dafür vorliegen.
Widerspruch gegen Direktwerbung: Einer Verarbeitung zu Direktwerbezwecken einschließlich eines damit verbundenen Profilings können Sie jederzeit ohne Angabe von Gründen widersprechen. Danach werden die betroffenen Daten nicht mehr für diese Zwecke verwendet.
Richten Sie Ihre Anfrage an shop@blackstuffdeutschland.de oder die in Abschnitt 2 genannte Anschrift. Wir bearbeiten Anfragen innerhalb der gesetzlichen Fristen. Eine gegebenenfalls notwendige Identitätsprüfung beschränken wir auf das erforderliche Maß.
Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für private Unternehmen mit Sitz in Bayern ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, zuständig: https://www.lda.bayern.de/de/beschwerde.html.
9. Geschäftliche Leistungen, Onlineshop und Kundenkonto
Für Anfragen, Bestellungen und eigene Leistungen verarbeiten wir erforderliche Kontakt-, Vertrags-, Bestell-, Liefer- und Abrechnungsdaten. Grundlage ist bei eigenen Kundenverträgen Art. 6 Abs. 1 Buchst. b DSGVO, bei gesetzlichen Nachweispflichten Art. 6 Abs. 1 Buchst. c DSGVO. Für geordnete Geschäftsführung, Missbrauchsabwehr und sachgerechte Kundenbetreuung kommt Art. 6 Abs. 1 Buchst. f DSGVO in Betracht.
Unser Onlineshop wird mit Shopify betrieben. Dabei werden insbesondere Registrierungs-, Kundenkonto-, Kontakt-, Bestell-, Rechnungs-, Liefer- und technische Nutzungsdaten verarbeitet. Gesundheitsfragebögen und persönliche Ernährungsempfehlungen werden nach unserem beschriebenen Ablauf nicht an Shopify übermittelt. Datenschutzinformationen: https://www.shopify.com/de/legal/datenschutz. Internationale Verarbeitung ist in Abschnitt 6 erläutert.
Bei einem Kundenkonto verarbeiten wir insbesondere E-Mail-Adresse, Zugangsinformationen, Kontoeinstellungen und Bestellhistorie. Eine Kontolöschung beendet nicht gesetzliche Aufbewahrungspflichten für einzelne Bestell- oder Rechnungsunterlagen. Nicht mehr erforderliche Kontodaten werden entfernt.
10. Bestellungen über CopeCart
Für bestimmte Angebote verwenden wir CopeCart als Bestell- und Zahlungsplattform. Anbieter des hier beschriebenen europäischen Wiederverkäufermodells ist Copecart GmbH, Rosenstr. 2, 10178 Berlin, Deutschland. CopeCart ist dabei Verkäufer und Vertragspartner der Endkunden und für seine Checkout-, Zahlungs- und Rechnungsprozesse datenschutzrechtlich verantwortlich. Die konkrete Verkäuferangabe finden Sie im Bestellvorgang. Datenschutzinformationen von CopeCart: https://www.copecart.com/datenschutz.
Blackstuff Deutschland erhält von CopeCart die zur Leistungsbereitstellung und Kundenbetreuung erforderlichen Angaben. Dazu gehören je nach Angebot Name, E-Mail-Adresse, Bestell- beziehungsweise Transaktionsnummer, gebuchtes Produkt, Bestellzeitpunkt und Zahlungs- oder Leistungsstatus sowie erforderliche Kundenmitteilungen. Für unsere anschließende Verarbeitung sind wir selbst verantwortlich. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an ordnungsgemäßer Leistungsbereitstellung und Kundenbetreuung; bei gesetzlichen Aufbewahrungspflichten gilt zusätzlich Art. 6 Abs. 1 Buchst. c DSGVO. Für davon getrennte eigene Vertragsleistungen gelten die beim jeweiligen Angebot beschriebenen Grundlagen. Gesundheitsfragebögen und persönliche Ernährungsempfehlungen werden nicht an CopeCart übermittelt.
Erhaltene Bestell- und Servicedaten löschen wir, sobald die Leistungsbereitstellung und erforderliche Bearbeitung von Rückfragen oder Ansprüchen abgeschlossen sind und kein weiterer zulässiger Zweck besteht. Gesetzlich erforderliche Abrechnungs- und Nachweisdaten werden davon getrennt nach Abschnitt 7 aufbewahrt. Eine CopeCart-Bestellung führt nicht automatisch zur Newsletteraufnahme und ist keine Einwilligung in die Verarbeitung von Gesundheitsdaten. Die besonderen Gesundheitsdateneinwilligungen aus den Abschnitten 18 bis 20 bleiben davon unabhängig.
11. Zahlungsdienste und Versand
Für Zahlungen über Shopify und CopeCart können PayPal und Stripe genutzt werden. Je nach Zahlungsart werden erforderliche Kontakt- und Transaktionsdaten, Betrag, Zahlungsstatus und technische Zahlungsinformationen verarbeitet. Konten- und Kartenangaben werden grundsätzlich vom ausgewählten Zahlungsdienstleister erhoben. Blackstuff Deutschland erhält insbesondere die für die Abwicklung notwendigen Statusinformationen.
Für eigene Bestellungen gilt Art. 6 Abs. 1 Buchst. b DSGVO. Zahlungsdienstleister können für eigene Zahlungs-, Sicherheits-, Betrugspräventions- und gesetzliche Nachweiszwecke selbst verantwortlich sein. Empfänger und internationale Verarbeitung ergeben sich aus den jeweiligen Datenschutzhinweisen: PayPal – https://www.paypal.com/de/legalhub/paypal/privacy-full; Stripe – https://stripe.com/de/privacy.
Für den Versand geben wir erforderliche Empfänger-, Adress- und Sendungsangaben an DHL beziehungsweise Deutsche Post weiter. E-Mail-Adresse oder Telefonnummer werden nur für eine konkret gewünschte und erforderliche Versand- oder Benachrichtigungsfunktion weitergegeben. Rechtsgrundlage bei eigenen Bestellungen ist Art. 6 Abs. 1 Buchst. b DSGVO.
12. Websitebereitstellung, Hosting und technische Protokolle
Beim Aufruf unserer Website verarbeitet die technische Infrastruktur insbesondere IP-Adresse, Zeitpunkt, angeforderte Seiten, Browser- und Geräteinformationen sowie Fehler- und Sicherheitsdaten. Dies dient der Auslieferung der Website und dem Schutz vor Störungen, Missbrauch und Angriffen. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an einem sicheren und verfügbaren Angebot.
Für technische Infrastruktur nutzen wir Amazon Web Services (AWS). Nach den AWS-Anbieterinformationen ist bei Angeboten der AWS EMEA SARL die luxemburgische Gesellschaft beteiligt; internationale Verarbeitung kann auch AWS-Gesellschaften und Unterauftragsverarbeiter außerhalb des EWR betreffen. AWS beschreibt für erfasste Drittlandübermittlungen vertragliche Datenschutzgarantien, insbesondere EU-Standardvertragsklauseln. Anbieterinformationen: https://aws.amazon.com/privacy/ und https://docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/aws-data-processing-addendum-dpa.html. Die n8n-Automatisierungsumgebung wird bei Hostinger auf einem Server in Deutschland betrieben. Mit Hostinger besteht nach unserem beschriebenen Betrieb eine Auftragsverarbeitungsvereinbarung. Technische Logdaten werden nach Abschluss der jeweiligen Betriebs-, Fehler- oder Sicherheitsprüfung gelöscht, sofern sie nicht mehr erforderlich sind. Erforderliche Protokolle zu einem konkreten Sicherheitsvorfall können bis zum Abschluss seiner Klärung verbleiben.
Für das Sienna-Barrierefreiheitsmenü werden Skript- und Sprachdateien über das Content Delivery Network jsDelivr geladen. Die aktuellen Anbieterhinweise nennen Volentio JSD Limited, Vereinigtes Königreich, als Betreiber. Bei einem Abruf können insbesondere IP-Adresse, Browserinformationen, Zeitpunkt, angeforderte Ressource und Referrer-Domain verarbeitet werden. Unser Zweck ist die Bereitstellung von Bedienungs- und Barrierefreiheitsfunktionen; Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an einem zugänglichen und funktionsfähigen Webauftritt. Nicht notwendige zusätzliche Endgerätezugriffe werden gesondert nach Abschnitt 13 beurteilt.
jsDelivr beschreibt einen Einsatz weiterer CDN-Dienstleister, insbesondere Cloudflare, Fastly und Gcore. Die Auslieferungsinfrastruktur kann internationale Verarbeitung einschließen. Der veröffentlichte jsDelivr-Datenverarbeitungsvertrag sieht für die von ihm erfassten internationalen Übermittlungen EU-Standardvertragsklauseln vor; daraus folgt keine pauschale Garantie für jeden Datenweg. jsDelivr erklärt, dass sein CDN-Dienst keine Cookies oder ähnlichen Technologien verwendet. Diese Aussage betrifft nicht automatisch sämtliche Funktionen des geladenen Skripts. Nicht aggregierte Nutzungsdaten werden nach Anbieterangaben zweckabhängig zur Analyse, Fehlerbehebung und Missbrauchsabwehr gespeichert und anschließend gelöscht; eine feste einheitliche Tagesfrist nennt jsDelivr dafür nicht. Informationen zu Verarbeitung, Verträgen und CDN-Dienstleistern: https://www.jsdelivr.com/terms/privacy-policy, https://www.jsdelivr.com/documents/data-processing-agreement.pdf und https://www.jsdelivr.com/terms/sub-processors. Für Ihre Rechte und das Anfordern einschlägiger Garantieinformationen gelten die Abschnitte 6 und 8.
13. Cookies und Einwilligungsverwaltung mit CCM19
Unsere Website verwendet Cookies und ähnliche Technologien. Für das Speichern oder Auslesen von Informationen auf Ihrem Endgerät gilt § 25 TDDDG. Eine vorherige Einwilligung ist erforderlich, soweit keine gesetzliche Ausnahme, insbesondere für unbedingt erforderliche Vorgänge, greift. Eine anschließende Verarbeitung personenbezogener Daten benötigt unabhängig davon eine Rechtsgrundlage nach der DSGVO.
Mit CCM19 verwalten wir Ihre Zustimmung oder Ablehnung. Dabei werden insbesondere die Entscheidung, der Zeitpunkt, betroffene Kategorien und eine notwendige Nachweiskennung verarbeitet. Einwilligungspflichtige Analyse-, Werbe- und direkt eingebettete Videodienste werden erst nach entsprechender Zustimmung aktiviert.
Ihre Entscheidung können Sie jederzeit über die auf der Website erreichbaren Cookie-Einstellungen ändern oder widerrufen. Dort finden Sie Angaben zu den eingesetzten Technologien, Anbietern und Cookie-Laufzeiten. Die technische Cookie-Laufzeit ist von der serverseitigen Aufbewahrung personenbezogener Daten zu unterscheiden.
Notwendige Einwilligungsnachweise verarbeiten wir nach Art. 6 Abs. 1 Buchst. c DSGVO, soweit dies der Erfüllung gesetzlicher Nachweispflichten dient, und im Übrigen nach Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse am Nachweis rechtmäßig eingeholter Einwilligungen. Einwilligungsbedürftige Verarbeitungen beruhen auf Art. 6 Abs. 1 Buchst. a DSGVO.
14. Google Tag Manager und Google Analytics 4
Der Google Tag Manager dient der Verwaltung von Website-Tags. Beim Abruf seines Containers werden technische HTTP-Anfragedaten verarbeitet. Die technische Organisation und Bereitstellung unserer Website-Tags dient unserem berechtigten Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO. Einwilligungsbedürftige Analyse- und Werbe-Tags werden unabhängig davon erst nach entsprechender Zustimmung aktiviert; eine technische Containerbereitstellung ersetzt diese Zustimmung nicht.
Google beschreibt für Standard-HTTP-Anfrageprotokolle des Tag Managers eine Löschung innerhalb von 14 Tagen nach Eingang. Diese Frist gilt nicht für die Daten der über den Container ausgelösten Analytics-, Ads- oder anderen Dienste. Anbieterinformationen: https://support.google.com/tagmanager/answer/9323295?hl=de.
Google Analytics 4 verwenden wir nach Ihrer Zustimmung zur Reichweiten- und Nutzungsanalyse. Dabei werden insbesondere pseudonyme Online-Kennungen, Geräte- und Browserinformationen, Seitenaufrufe und Nutzungsereignisse verarbeitet. Grundlage ist Art. 6 Abs. 1 Buchst. a DSGVO sowie bei einwilligungsbedürftigen Endgerätezugriffen § 25 Abs. 1 TDDDG.
Die in unserer GA4-Property eingestellte Aufbewahrungsdauer für nicht aggregierte Nutzer- und Ereignisdaten beträgt 14 Monate. Google löscht Daten nach Ablauf der einschlägigen Frist in einem monatlichen Löschlauf. Bei Nutzerkennungen kann nach Googles Datenaufbewahrungsmodell eine erneute Aktivität die Frist neu beginnen lassen; diese Rücksetzung betrifft nicht Ereignisdaten. Standardmäßig aggregierte Berichte unterliegen nicht dieser Nutzer- und Ereignisdatenfrist. Einzelheiten: https://support.google.com/analytics/answer/7667196?hl=de.
Für Zugriffe aus der EU beschreibt Google eine regionale Verarbeitung der IP-Adresse zur ungefähren geografischen Zuordnung und deren Verwerfung vor der Analytics-Protokollierung. Andere Messdaten werden anschließend in der Analytics-Infrastruktur weiterverarbeitet. Das bedeutet nicht, dass sämtliche Messdaten ausschließlich in der EU verarbeitet werden.
Die Google-Gesellschaften und US-Übermittlungsmechanismen sind in Abschnitt 6 beschrieben. Ihre Einwilligung können Sie über CCM19 widerrufen. Cookie-Laufzeiten finden Sie gesondert in den Cookie-Einstellungen. Weitere Informationen: https://policies.google.com/privacy?hl=de.
15. Google Ads und Meta Pixel
Google Ads und Meta Pixel verwenden wir nach Ihrer Einwilligung zur Bewerbung unserer Angebote und Messung der Kampagnenergebnisse. Dabei können Online-Kennungen, Geräteinformationen, Seitenaufrufe und Ereignisdaten verarbeitet werden. Grundlage ist Art. 6 Abs. 1 Buchst. a DSGVO und für einwilligungsbedürftige Endgerätezugriffe § 25 Abs. 1 TDDDG. Einwilligungen können in CCM19 widerrufen werden.
Je nach verwendeter Google-Ads-Leistung verarbeitet Google Daten im Auftrag oder in eigener Verantwortung. Internationale Verarbeitung einschließlich erfasster Übermittlungen an Google LLC, USA, ist in Abschnitt 6 beschrieben. Berichtszugänglichkeit, Cookie-Laufzeiten und die Speicherung personenbezogener Werbedaten sind unterschiedliche Vorgänge. Hinweise zu Datenübermittlungen: https://business.safety.google/adsdatatransfers/; Hinweise zur Speicherung: https://policies.google.com/technologies/retention?hl=de.
Anbieter der Meta-Dienste ist im EWR Meta Platforms Ireland Limited. Eine internationale Verarbeitung kann Meta Platforms, Inc., USA, einbeziehen. Die Meta-Vertragsunterlagen beschreiben für die davon erfassten europäischen Datenübermittlungen Standardvertragsklauseln: https://www.facebook.com/legal/EU_data_transfer_addendum/update. Eine pauschale DPF-Zertifizierung sämtlicher Meta-Datenwege wird damit nicht behauptet.
Für die durch unsere Einbindung des Meta Pixels veranlasste Erhebung und Übermittlung personenbezogener Ereignisdaten gilt im von der Vereinbarung erfassten Umfang gemeinsame Verantwortlichkeit mit Meta Platforms Ireland Limited. Meta übernimmt die darin zugewiesenen Informations-, Sicherheits- und Betroffenenrechtsaufgaben; Sie können Ihre Rechte auch bei uns geltend machen. Spätere eigenständige Meta-Verarbeitungen sind davon zu unterscheiden. Vereinbarung und Anbieterinformationen: https://www.facebook.com/legal/terms/dataprocessing, https://www.facebook.com/legal/terms/technology_terms und https://www.facebook.com/privacy/policy/.
Eine gewöhnliche Werbe- oder Trackingeinwilligung ist keine ausdrückliche Einwilligung in die werbliche Weitergabe von Gesundheitsdaten. Allgemeine Gesundheitsfragebogen- und Empfehlungsinhalte werden nicht für personalisierte Werbung an diese Anbieter übermittelt.
16. Google Forms und allgemeine Umfragen
Google Forms verwenden wir für allgemeine Umfragen und Feedback, nicht für unsere Gesundheitsfragebögen oder persönliche Ernährungsempfehlungen. Verarbeitet werden die abgefragten Angaben, Antworten und technische Verbindungsdaten. Zweck ist die Durchführung und Auswertung der konkreten Befragung und gegebenenfalls eine angekündigte Rückmeldung.
Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an Rückmeldungen und der Verbesserung unseres Angebots, soweit bei einer konkreten Umfrage nicht gesondert eine Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO eingeholt wird. Erforderliche Angaben werden am Formular gekennzeichnet.
Nach Abschluss von Erhebung, Auswertung und einer angekündigten Rückmeldung oder Aktion löschen oder anonymisieren wir die Antworten, soweit keine weitere zulässige Aufbewahrung erforderlich ist. Das erfasst auch separat in Google Tabellen gespeicherte Antworten und andere zugehörige Kopien. Eine Löschung des Formulars allein ist nicht mit der Löschung einer gesonderten Antworttabelle gleichzusetzen.
Google erhält beim Einsatz des extern bereitgestellten Formulars die zur Bereitstellung erforderlichen Verbindungsdaten und die übermittelten Antworten. Die beteiligten Google-Gesellschaften und internationale Verarbeitung sind in Abschnitt 6 beschrieben. Die Speicherdauer richtet sich für unsere Umfrageantworten nach dem oben genannten Zweckende, nicht nach einer allgemeinen Google-Frist von 14 oder 30 Tagen. Anbieterinformationen: https://policies.google.com/privacy?hl=de und https://support.google.com/docs/answer/2917686?hl=de.
17. Google Maps, Videos und Schriftarten
Google Maps verwenden wir für Karten und Anfahrtsinformationen. Die externe Karte wird erst nach entsprechender Einwilligung geladen. Dabei erhält Google technische Verbindungsdaten, insbesondere die IP-Adresse. Grundlage ist Art. 6 Abs. 1 Buchst. a DSGVO und bei einwilligungsbedürftigen Endgerätezugriffen § 25 Abs. 1 TDDDG.
Direkt eingebettete YouTube- und Vimeo-Videoplayer laden wir nach entsprechender Zustimmung über CCM19 nach. Beim Laden und Abspielen können IP-Adresse, Geräte- und Browserinformationen, Zeitpunkt und Nutzungsdaten an den jeweiligen Anbieter übermittelt werden. Ein bloßer Link führt grundsätzlich erst bei seinem Öffnen zum Kontakt mit dem Zielanbieter.
Für Google Maps und YouTube ist im EWR grundsätzlich Google Ireland Limited als eigenverantwortlicher Anbieter beteiligt. Erfasste US-Übermittlungen an Google LLC sind in Abschnitt 6 erläutert. Eine Einbettung ist keine Garantie ausschließlich europäischer Verarbeitung; umgekehrt folgt daraus nicht, dass jeder einzelne Aufruf zwingend in die USA übertragen wird.
Die Speicherung der von Google in eigener Verantwortung verarbeiteten Daten richtet sich nach Datenart, Zweck und gegebenenfalls Ihren Google-Kontoeinstellungen. Google veröffentlicht keine einheitliche Speicherfrist für sämtliche Karten- und eingebetteten Videodaten. Informationen: https://policies.google.com/privacy?hl=de und https://policies.google.com/technologies/retention?hl=de. Bei Vimeo ist Vimeo.com, Inc., USA, Anbieter des Videodienstes. Vimeo beschreibt auch internationale Verarbeitung und eine Teilnahme am EU-US Data Privacy Framework; eine solche Absicherung erfasst nur Übermittlungen innerhalb des jeweils gültigen Zertifizierungsumfangs. Für außerhalb davon liegende Übermittlungen beschreibt Vimeo gegebenenfalls gesonderte Standardvertragsklauseln. Dies ist keine Aussage, dass Blackstuff Deutschland einen allgemeinen Vimeo-Auftragsverarbeitungsvertrag abgeschlossen hat. Vimeo nennt für einzelne Player-Aufrufe keine allgemeine feste Zahlenfrist, sondern zweck- und rechtlich bedingte Speicherregeln. Anbieterinformationen: https://vimeo.com/privacy und https://help.vimeo.com/hc/en-us/articles/18332128580241-Does-Vimeo-offer-a-Data-Processing-Agreement.
Die auf unserer Website verwendeten Google-Schriftarten werden lokal bereitgestellt. Zum Laden dieser Schriftarten ist deshalb keine direkte Verbindung zu Google erforderlich.
Daneben werden Schriftartdateien über Bunny Fonts bereitgestellt. Anbieter ist BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien. Beim Abruf wird insbesondere Ihre IP-Adresse als technische Verbindungsinformation für die Auslieferung verarbeitet. Zweck ist eine einheitliche und lesbare Darstellung unserer Website. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an einer funktionsfähigen Darstellung. Bunny Fonts beschreibt für diesen Dienst eine Zero-Tracking-/No-Logging-Politik; die technische Verarbeitung zur Dateiauslieferung ist davon zu unterscheiden. Informationen: https://fonts.bunny.net/about und https://bunny.net/privacy/.
18. Gesundheitsfragebogen und ausdrückliche Einwilligung
Volljährige Kunden können freiwillig eine persönliche Ernährungsempfehlung anfordern und dafür unseren Gesundheits- und Ernährungsfragebogen ausfüllen. Angaben zu Ernährung, Schlaf, Wohlbefinden oder Beschwerden können besonders geschützte Gesundheitsdaten sein.
Wir verwenden diese Angaben für die Auswertung des angeforderten individuellen Ernährungsbedarfs, die Vorbereitung eines persönlichen Empfehlungsvorschlags, dessen menschliche fachliche Prüfung und die Bereitstellung der Empfehlung. Die beteiligten technischen Dienste und KI-Verarbeitung sind in Abschnitt 19 erläutert.
Grundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO und bei Gesundheitsdaten zusätzlich Ihre ausdrückliche Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO. Die Einwilligung wird vor der darauf gestützten Erhebung über eine gesonderte, nicht vorangekreuzte Checkbox eingeholt. AGB-, Werbe- und Gesundheitsdateneinwilligungen werden getrennt.
Wir dokumentieren den maßgeblichen Einwilligungstext, seine Version, Zeitpunkt und Vorgangszuordnung sowie einen späteren Widerruf. Ohne diese Einwilligung ist eine auf Gesundheitsdaten beruhende persönliche Empfehlung nicht möglich. Die Einwilligung ist keine Voraussetzung für davon unabhängige gewöhnliche Shopbestellungen oder einen Newsletter.
19. Fragebogen-Workflow und externe KI-Dienste
Für die Erfassung beziehungsweise technische Übertragung der Fragebogenangaben verwenden wir Funnelking. Eine Auftragsverarbeitungsvereinbarung besteht. Die Datenverarbeitung für die von uns genutzten Funnelking-Leistungen erfolgt innerhalb der EU. Der weitere automatisierte Ablauf wird mit n8n in einer Hostinger-Serverumgebung in Deutschland unterstützt.
Im Workflow können zunächst personenbezogene Ernährungs- und Gesundheitsangaben verarbeitet werden. Nach den für unseren n8n-Ablauf festgelegten Einstellungen werden personenbezogene Gesundheitsangaben nicht in Ausführungsprotokollen gespeichert. Andere technische Ausführungs- und Sicherheitsdaten sind von den Fragebogen- und Empfehlungsergebnissen zu unterscheiden.
Vor der Weitergabe an externe KI-Dienste entfernen wir direkte Identifikatoren. Indirekte Identifikationsmerkmale, Freitext und Merkmalskombinationen werden geprüft und erforderlichenfalls entfernt oder verallgemeinert. Allein das Entfernen von Name, E-Mail-Adresse oder Kundennummer garantiert keine Anonymität. Entscheidend ist auch, ob der jeweilige Empfänger anhand realistischer Mittel und zusätzlicher Informationen eine Person identifizieren kann. Soweit Informationen weiterhin personenbezogen sind, bleibt ihre Verarbeitung an die für den Empfehlungsablauf geltende ausdrückliche Einwilligung und die gesetzlichen Anforderungen gebunden.
Zur KI-gestützten Vorbereitung nutzen wir direkte API-Verbindungen zu OpenAI und Anthropic sowie AWS Bedrock. Für EWR-Kunden nennen OpenAIs veröffentlichte kommerzielle Bedingungen OpenAI Ireland Ltd. und Anthropic die Anthropic Ireland, Limited als Vertragsgesellschaften. Bei internationalen Verarbeitungen können auch verbundene Unternehmen und Unterauftragsverarbeiter außerhalb des EWR beteiligt sein. Die veröffentlichten API-Datenverarbeitungsbedingungen sehen für die darin erfassten Drittlandwege Angemessenheitsmechanismen oder die einschlägigen Standardvertragsklauseln vor. Die Verarbeitung über Bedrock erfolgt innerhalb der AWS-Dienstestruktur und hängt auch von Modell und Region ab. Eine pauschale Zusage ausschließlich europäischer API-Verarbeitung besteht nicht.
Originalinformationen zu Verträgen und Übermittlungen: OpenAI – https://openai.com/policies/services-agreement/ und https://openai.com/policies/data-processing-addendum/; Anthropic – https://www.anthropic.com/legal/commercial-terms und https://www.anthropic.com/legal/data-processing-addendum; AWS – https://aws.amazon.com/privacy/ und https://docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/aws-data-processing-addendum-dpa.html.
Die kommerziellen API-Anbieter beschreiben, dass Inhalte im Standardbetrieb nicht zum Modelltraining verwendet werden; bei OpenAI setzt eine davon abweichende Inhaltsfreigabe ein ausdrückliches Opt-in voraus. AWS erklärt für Bedrock, Eingaben und Ausgaben nicht an die Modellanbieter weiterzugeben und nicht zum Training von Basis- oder Drittmodellen zu verwenden. Wir erheben die Fragebogenangaben nicht zum Training eigener allgemeiner KI-Modelle. Die KI-Ausgaben sind Entwürfe: Vor jeder Bereitstellung prüft eine Person die Empfehlung fachlich und kann sie ändern, ergänzen oder ablehnen. Erst anschließend erfolgt die manuelle Zuordnung zum Kunden. Im beschriebenen Empfehlungsablauf erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO.
Die Speicherung bei API-Anbietern ist von der Löschung in unseren eigenen Systemen zu unterscheiden. Im OpenAI-API-Standardbetrieb können Missbrauchsüberwachungsprotokolle mit einer Aufbewahrung von bis zu 30 Tagen entstehen; je nach verwendeter Funktion können weitere gespeicherte Objekte oder Zustände hinzukommen. Anthropic beschreibt für direkte kommerzielle API-Eingaben und -Ausgaben grundsätzlich eine Löschung innerhalb von 30 Tagen ab Eingang beziehungsweise Erzeugung, mit Ausnahmen für bestimmte Funktionen, gesetzliche Pflichten und Sicherheitsfälle. Bei entsprechend markierten Policy-Verstößen nennt Anthropic bis zu zwei Jahre für Eingaben und Ausgaben sowie bis zu sieben Jahre für Sicherheitsklassifizierungen. Bei AWS Bedrock sind Modell, Region und Retention- beziehungsweise Protokollierungseinstellungen maßgeblich. Diese Anbieterstandards sind keine Behauptung einer individuellen Zero-Data-Retention-Vereinbarung oder einer einheitlichen Speicherfrist sämtlicher Kopien. Bei zustandsbehafteten API-Funktionen kann die Aufbewahrung bis zur Löschung des betreffenden gespeicherten Objekts reichen. Informationen zu den Speicherpfaden: https://developers.openai.com/api/docs/guides/your-data, https://privacy.anthropic.com/en/articles/7996866-how-long-do-you-store-personal-data und https://docs.aws.amazon.com/bedrock/latest/userguide/data-retention.html.
Eigene Roh-, Ergebnis-, Kommunikations- und Workflow-Daten unterliegen den in dieser Erklärung angegebenen Löschkriterien. Bei wirksam anonymen API-Eingaben entfällt der Personenbezug dieser Informationen; personenbezogene Ausgangsdaten, Zuordnungen und Empfehlungen bleiben davon getrennt geschützt.
20. Löschung und Widerruf bei Gesundheitsdaten
Gesundheits- und Ernährungsangaben des Fragebogens werden für den Ablauf der angeforderten persönlichen Empfehlung benötigt. Ausgefüllte Rohfragebögen werden nicht als eigenständige dauerhafte Datensätze gespeichert.
Personenbezogene Empfehlungsergebnisse werden nur so lange verarbeitet, wie dies für eine aktive Kundenbeziehung im Zusammenhang mit der angeforderten Leistung erforderlich ist. Eine aktive Kundenbeziehung setzt eine laufende Leistung oder die Bearbeitung zugehöriger Kundenanliegen voraus; allein ein fortbestehendes, ungenutztes Konto rechtfertigt keine unbegrenzte Speicherung. Kontolöschung oder ein wirksamer Widerruf können früher zur Löschung führen.
Bei Leistungen ohne Kundenkonto löschen wir personenbezogene Empfehlungsergebnisse spätestens sechs Monate nach ihrer Bereitstellung. Entfällt der Zweck vorher, erfolgt die Löschung entsprechend früher. Eine weitere Aufbewahrung einzelner Daten setzt eine andere zulässige Grundlage einschließlich einer erforderlichen Ausnahme nach Art. 9 Abs. 2 DSGVO voraus.
Die Gesundheitsdateneinwilligung können Sie jederzeit über den bereitgestellten Widerrufs-Button oder per E-Mail an shop@blackstuffdeutschland.de für die Zukunft widerrufen. Neue, darauf gestützte Auswertungen werden eingestellt. Betroffene personenbezogene Gesundheitsangaben und Empfehlungen werden gelöscht, soweit keine andere tragfähige Grundlage fortbesteht. Eine bereits begonnene gesundheitsdatenabhängige Empfehlung kann dann möglicherweise nicht fertiggestellt werden.
Aufbewahrungspflichten für Rechnungen rechtfertigen nicht automatisch die Aufbewahrung der zugrunde liegenden Gesundheitsfragebögen. Technische Zwischenschritte und E-Mail-Kopien unterliegen ebenfalls den jeweiligen Löschprozessen.
21. Kontaktanfragen, E-Mail und Google Workspace
Bei Anfragen per E-Mail, Telefon, Kontaktformular oder sozialen Medien verarbeiten wir Namen, Kontaktdaten, Anliegen, Anhänge sowie erforderliche Kommunikations- und Zeitangaben. Zweck ist die Bearbeitung Ihrer Nachricht. Grundlage ist bei eigenen vertraglichen oder vorvertraglichen Anliegen Art. 6 Abs. 1 Buchst. b DSGVO, sonst Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an sachgerechter Kommunikation und Kundenservice.
Für E-Mail-Versand, Empfang, Speicherung und Zusammenarbeit verwenden wir Google Workspace, insbesondere Gmail, im Rahmen der vereinbarten Auftragsverarbeitung. Die Google-Gesellschaften und internationalen Verarbeitungsmöglichkeiten sind in Abschnitt 6 beschrieben. Kundeninhalte wie Nachrichten, Anhänge sowie Absender- und Empfängerangaben sind von gesonderten Konto-, Betriebs-, Nutzungs- und Sicherheitsdaten zu unterscheiden, die Google nach seinen Anbieterhinweisen teilweise in eigener Verantwortung verarbeitet.
Eine aktive Gmail-Nachricht wird nicht automatisch 30 Tage nach ihrem Empfang gelöscht. Nach dem Löschen kann sie bis zu 30 Tage im Papierkorb verbleiben. Anschließend kann unter bestimmten Voraussetzungen eine administrative Wiederherstellung für bis zu weitere 25 Tage möglich sein. Gesonderte Aufbewahrungsregeln können abweichen. Diese Wiederherstellungszeiträume sind keine eigenständige betriebliche Aufbewahrungsfrist für Kundenanfragen.
Allgemeine Anfragen löschen wir nach abschließender Bearbeitung, sofern keine andere zulässige Aufbewahrung erforderlich ist. Eine mögliche EU-Datenregion erfasst nur die dafür zugesagten Daten und Vorgänge und ist keine Garantie ausschließlich europäischer Verarbeitung. Workspace-Bedingungen: https://cloud.google.com/terms/data-processing-addendum.
22. WhatsApp Business, WhatsApp Platform und Superchat
Für allgemeine Anfragen und Support verwenden wir die WhatsApp Business App sowie die WhatsApp Business Platform über Superchat. Die Website stellt hierfür einen Kontaktlink beziehungsweise eine Schaltfläche bereit; ein direkt ladendes Superchat-Chatfenster ist nach unserem beschriebenen Aufbau nicht eingebunden.
Bei der Kontaktaufnahme werden insbesondere Telefonnummer, Profil- oder Kontobezeichnung, Nachrichtentext und Kommunikationszeitpunkt verarbeitet. Grundlage ist bei eigenem Vertragsbezug Art. 6 Abs. 1 Buchst. b DSGVO, sonst Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an erreichbarem Kundenservice.
Werbliche WhatsApp-Nachrichten versenden wir nur nach gesonderter vorheriger Einwilligung gemäß Art. 6 Abs. 1 Buchst. a DSGVO und § 7 UWG. Ein Widerruf ist jederzeit möglich. Supporteinwilligung oder Kontaktaufnahme werden nicht als allgemeine Werbeeinwilligung verstanden.
Für die WhatsApp Business App nennt WhatsApp die WhatsApp Ireland Limited als Anbieter im EWR. Die Business-Vertragsbedingungen beschreiben mögliche Datenübermittlungen an WhatsApp LLC und Meta Platforms, Inc., USA, sowie Standardvertragsklauseln für die davon erfassten Datenwege. Informationen: https://www.whatsapp.com/legal/business-app-privacy-policy, https://www.whatsapp.com/legal/business-data-processing-terms und https://www.whatsapp.com/legal/business-data-transfer-addendum.
WhatsApp und Superchat dienen nicht dem planmäßigen Austausch von Gesundheitsfragebögen und persönlichen Ernährungsempfehlungen. Bitte senden Sie darüber keine Gesundheits- oder Diagnoseangaben. Nachrichten werden nach Abschluss des Kundenanliegens gelöscht, soweit keine weitere zulässige Aufbewahrung erforderlich ist. Die Anbieter können bestimmte Daten für eigene Zwecke verarbeiten; ihre Informationen sind ergänzend maßgeblich.
23. Newsletter und elektronische Werbung
Für Newsletter und werbliche E-Mails verwenden wir je nach Versandprozess Funnelking, Shopify Email und Superchat. Dabei werden insbesondere E-Mail-Adresse, gegebenenfalls Name, Einwilligungs- und Bestätigungsinformationen sowie Versand- und Abmeldestatus verarbeitet.
Die Newsletter-Anmeldung erfolgt mit ausdrücklicher Einwilligung und Double-Opt-in. Dokumentiert werden Anmeldezeitpunkt, Einwilligungstext beziehungsweise Version, Bestätigung und ein späterer Widerruf. Grundlage für den werblichen Versand sind Art. 6 Abs. 1 Buchst. a DSGVO und § 7 UWG.
Jede Newsletter-E-Mail enthält einen Abmeldelink. Alternativ können Sie sich an shop@blackstuffdeutschland.de wenden. Nach Abmeldung wird der zur Belegung des früheren Einwilligungsstands notwendige Nachweis nur so lange aufbewahrt, wie dies für den Nachweis oder die Abwehr entsprechender Ansprüche erforderlich ist. Davon getrennt speichern wir minimale Sperrinformationen, solange dies zur Verhinderung eines unerwünschten erneuten Werbeversands erforderlich ist.
Eine Newsletter-Einwilligung gilt nicht automatisch für andere Kommunikationskanäle oder die Verarbeitung von Gesundheitsdaten.
Eine personenbezogene Messung Ihrer Newsletteröffnungen oder Ihrer Klicks auf Newsletterlinks führen wir nicht durch. Wir versenden keine SMS-Werbung.
24. Kundenbewertungen und Judge.me
Für Bewertungsfunktionen verwenden wir Judge.me Ltd., Vereinigtes Königreich. Für Übermittlungen an diese britische Gesellschaft gilt der einschlägige Angemessenheitsbeschluss der Europäischen Kommission. Abhängig von den eingesetzten Funktionen nennt Judge.me weitere Unterauftragsverarbeiter, auch in den USA, und entsprechende Standardvertragsklauseln. Der UK-Angemessenheitsbeschluss deckt solche weiteren Drittlandübermittlungen nicht automatisch ab. Anbieterinformationen: https://judge.me/privacy und https://judge.me/help/en/articles/8390001-list-of-judge-me-s-sub-processors.
Nach einem Kauf kann Judge.me eine Bewertungsbitte versenden. Solche Nachrichten sind Werbung und erfolgen nur bei entsprechender Einwilligung oder nachweislichem Vorliegen sämtlicher Voraussetzungen des § 7 Abs. 3 UWG: Erhalt der E-Mail-Adresse im Zusammenhang mit einem Verkauf, Werbung für eigene ähnliche Angebote, kein Widerspruch sowie deutlicher Widerspruchshinweis bei Erhebung und jeder Nachricht.
Grundlage ist bei Einwilligung Art. 6 Abs. 1 Buchst. a DSGVO; bei zulässiger Bestandskundenwerbung Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an Kundenfeedback und der Verbesserung unserer Angebote.
Bewertungen können im Shopify-Shop öffentlich erscheinen. Nach unserem beschriebenen Aufbau werden Sterne und Bewertungstext ohne Namensanzeige veröffentlicht. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an authentischen Bewertungen und der Information anderer Kunden, soweit die Rechte und Interessen Betroffener nicht überwiegen. Die öffentliche Sichtbarkeit ist bei der Abgabe zu berücksichtigen.
Ein identifizierender Bewertungstext wird durch fehlende Namensanzeige nicht automatisch anonym. Bitte nennen Sie keine Gesundheits- oder anderen sensiblen Angaben in öffentlichen Bewertungen. Wir können Beiträge prüfen, ausblenden oder löschen. Nicht mehr benötigte personenbezogene Bewertungs- und Einladungsdaten werden entfernt; veröffentlichte Inhalte können bis zum Wegfall des Veröffentlichungszwecks oder einer berechtigten Löschungsanforderung bestehen bleiben.
25. Facebook, Instagram und Metricool
Wir unterhalten Präsenzen auf Facebook und Instagram. Bei Besuchen, Nachrichten, Reaktionen und Kommentaren verarbeiten die Plattformen Profil-, Kommunikations-, Interaktions- und technische Daten. Wir verarbeiten diejenigen Daten, die uns für Kommunikation, Moderation und Betreuung zur Verfügung stehen.
Unsere Grundlagen sind Art. 6 Abs. 1 Buchst. f DSGVO mit dem Interesse an Öffentlichkeitsarbeit, Kommunikation und geordneter Moderation sowie bei angefragten eigenen Vertragsleistungen Art. 6 Abs. 1 Buchst. b DSGVO. Zur Verwaltung unserer Kommunikation verwenden wir Metricool.
Für von Meta bereitgestellte Seitenstatistiken, insbesondere Facebook Page Insights, besteht im hierfür erfassten Umfang gemeinsame Verantwortlichkeit mit Meta Platforms Ireland Limited. Meta übernimmt nach der Vereinbarung insbesondere die primären Informations- und Betroffenenrechtsaufgaben für die Insights-Verarbeitung sowie die Sicherheit dieser Verarbeitung. Rechte können bei Meta und bei uns geltend gemacht werden; wir leiten erforderlichenfalls an Meta weiter. Die übrigen eigenständigen Plattformverarbeitungen sind davon zu unterscheiden. Wesentliche Inhalte der Vereinbarung: https://www.facebook.com/legal/terms/page_controller_addendum.
Beiträge, Kommentare und Nachrichten werden für den jeweiligen Kommunikations- oder Veröffentlichungszweck verarbeitet. Nicht mehr erforderliche personenbezogene Inhalte werden gelöscht oder anonymisiert, soweit keine fortbestehende Grundlage vorliegt. Für Daten, die Meta in eigener Verantwortung speichert, gelten dessen Informationen und Kontoeinstellungen.
26. Blog, Community und Kundenkonten
Bei Blog-, Beitrags- und Community-Funktionen verarbeiten wir Registrierungs-, Profil-, Beitrags-, Zeit- und Kommunikationsdaten. Zweck ist die Bereitstellung und gegebenenfalls Moderation des Austauschs. Bei einem entsprechenden Nutzungsvertrag gilt Art. 6 Abs. 1 Buchst. b DSGVO. Für Moderation und Missbrauchsabwehr gilt Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an einer sicheren Community.
Die Sichtbarkeit von Beiträgen richtet sich nach der jeweiligen Funktion. Persönliche Gesundheitsangaben sollen nicht in öffentlich oder gruppenweit sichtbaren Beiträgen veröffentlicht werden. Nach Ende der Teilnahme oder Kontolöschung werden nicht mehr benötigte personenbezogene Inhalte entfernt, soweit keine fortbestehenden Rechte oder Pflichten entgegenstehen. Kopien anderer Teilnehmer oder bereits öffentlich weiterverbreitete Inhalte liegen nicht vollständig in unserer Kontrolle.
Kommentarabonnements mit automatischen E-Mail-Benachrichtigungen bieten wir nicht an.
27. Schulungen, Kurse, Gewinnspiele und Befragungen
Für Schulungen und Onlinekurse verarbeiten wir erforderliche Anmelde-, Teilnahme-, Kommunikations- und Abrechnungsdaten. Grundlage ist bei direktem Vertragsverhältnis Art. 6 Abs. 1 Buchst. b DSGVO, bei gesetzlichen Nachweispflichten Art. 6 Abs. 1 Buchst. c DSGVO.
Bei Gewinnspielen und Wettbewerben verarbeiten wir die für Teilnahme, Auslosung und Gewinnbenachrichtigung notwendigen Angaben. Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, soweit ein Teilnahme-Schuldverhältnis entsteht. Eine zusätzliche werbliche Nutzung benötigt eine eigene Grundlage. Besondere Zwecke, Bedingungen, Sichtbarkeit von Gewinnern und Löschkriterien werden beim jeweiligen Angebot mitgeteilt.
Teilnahme- und Befragungsdaten werden nach Abschluss der Durchführung, Abrechnung oder angekündigten Rückmeldung gelöscht, soweit kein weiterer zulässiger Zweck besteht. Für allgemeine Google-Forms-Umfragen gilt zusätzlich Abschnitt 16.
28. Asana und Partnerprogramme
Für interne Aufgaben- und Terminverwaltung verwenden wir Asana. Asana, Inc., USA, ist in den veröffentlichten Datenverarbeitungsbedingungen als Datenimporteur benannt. Diese Bedingungen beschreiben für erfasste Übermittlungen je nach Anwendbarkeit den EU-US-Datenschutzrahmen oder Standardvertragsklauseln. Die jeweils erfasste Gesellschaft und der Vertragsumfang sind für die Übermittlung maßgeblich; es wird keine pauschale Absicherung sämtlicher Asana-Unterauftragsverarbeiter behauptet. Informationen: https://asana.com/terms/data-processing und https://asana.com/terms/privacy-statement. Dabei können Namen, geschäftliche Kontaktdaten und aufgabenbezogene Informationen verarbeitet werden. Grundlage ist bei Organisation einer eigenen Vertragsleistung Art. 6 Abs. 1 Buchst. b DSGVO, sonst Art. 6 Abs. 1 Buchst. f DSGVO mit unserem Interesse an geordneter Verwaltung und Abstimmung.
Aufgabenbezogene personenbezogene Daten löschen wir, wenn die betreffende Aufgabe und eine erforderliche Nachbearbeitung abgeschlossen sind, soweit kein zulässiger weiterer Aufbewahrungszweck besteht.
Für Partnerprogramme und Affiliate-Kooperationen verarbeiten wir Kontakt-, Vertrags-, Vermittlungs- und Provisionsdaten zur Durchführung und Abrechnung der Kooperation. Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO sowie bei gesetzlichen Nachweispflichten Art. 6 Abs. 1 Buchst. c DSGVO. Für nachvollziehbare Dokumentation und Anspruchsklärung kann Art. 6 Abs. 1 Buchst. f DSGVO gelten. Dieser Abschnitt beschreibt Partnerdaten; einwilligungsbedürftiges Besuchertracking unterliegt gesondert den Cookie- und Werbehinweisen.
29. Änderungen dieser Erklärung
Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere tatsächlichen Verarbeitungen oder rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung wird auf www.blackstuffdeutschland.de bereitgestellt. Neue Verarbeitungszwecke oder erforderliche zusätzliche Einwilligungen werden nicht allein durch eine Änderung dieses Textes eingeführt.
