Datenschutz

Verantwortlich im Sinne der DSGVO ist der im Impressum genannte Anbieter.

Welche Daten wir nutzen

• Anfragen und Bestellungen: Name, E-Mail, optional Instagram, WhatsApp und Adresse, Warenkorb-Positionen, Lieferwunsch (Abholung oder Versand), Zahlungswunsch (Vorkasse oder Bar), Nachricht.
• Kundenkonto: E-Mail, Name, dein Passwort ausschließlich als nicht rückrechenbarer Hash, dazu Kundentyp (privat oder gewerblich), bei Gewerbekunden Firmenname und USt-IdNr., sowie Freigabestatus, Zeitpunkt der Registrierung und der letzten Anmeldung.
• Freiwillige Angaben im Kundenkonto: Lieferadresse (Straße, PLZ, Ort), WhatsApp-Nummer und Instagram-Name. Sie dienen allein dazu, das Bestellformular vorauszufüllen, sind unter „Konto → Meine Daten“ jederzeit änderbar oder löschbar und fallen mit dem Konto weg. Ohne diese Angaben kannst du genauso bestellen — dann trägst du sie wie bisher je Bestellung ein.
• Warenkorb im Browser: die gewählten Positionen liegen in der localStorage deines Geräts (karle_cart), bis du sie löschst oder den Speicher leerst. Das bleibt auf deinem Gerät, wir lesen es erst, wenn du eine Bestellung absendest.
• Passwort zurücksetzen: wenn du den Link anforderst, speichern wir zeitlich begrenzt einen nicht rückrechenbaren Token, der nach einer Stunde oder nach Nutzung entfällt.
• Bot-Prüfung: bei Anmeldung, Registrierung, Passwort-Reset und Bestellformular übermittelt Cloudflare Turnstile deine IP-Adresse und technische Merkmale deines Browsers an Cloudflare.
• Altersbestätigung: ein Eintrag in der sessionStorage deines Browsers, nur für die aktuelle Sitzung, kein Tracking.
• Technische Zugriffsdaten, die der Host (Vercel) serverseitig für den Betrieb speichern kann (IP, Zeitpunkt, aufgerufene Datei).

Zweck und Rechtsgrundlage

Die Formulardaten dienen der Bearbeitung deiner Anfrage bzw. Bestellung (Art. 6 Abs. 1 lit. b DSGVO, sonst berechtigtes Interesse, Art. 6 Abs. 1 lit. f). Das Kundenkonto führen wir, um dir Preise anzuzeigen und Bestellungen abzuwickeln (Art. 6 Abs. 1 lit. b). Bei Gewerbekunden prüfen wir Firmenangaben vor der Freigabe, weil Nettopreise nur an Gewerbetreibende gehen; Privatkunden sehen Preise mit Aufpreis. Die Bot-Prüfung schützt Formulare vor automatisierten Angriffen (Art. 6 Abs. 1 lit. f DSGVO, technisch notwendig nach TDDDG). Die Altersabfrage ist gesetzlich geboten. Schriften liegen auf unserem Server, es gibt keine Verbindung zu Google Fonts.

Empfänger und Drittländer

Anfragen gehen über unseren Server bei Vercel (USA) per E-Mail an info@karle-sales.de. Der Mailversand läuft über den Mailserver der Domain (mail.maileight24.de). Kundenkonten und Bestelldaten liegen in einer Datenbank auf unserem eigenen Server unter api.karle-sales.de, betrieben beim Hoster mc-host24. Mit den genannten Dienstleistern bestehen Verträge zur Auftragsverarbeitung. Die Bot-Prüfung läuft über Cloudflare (USA). Bei Vercel und Cloudflare können Daten in die USA übermittelt werden, abgesichert über die Standardvertragsklauseln der EU-Kommission und — soweit einschlägig — das EU-US Data Privacy Framework. Instagram und WhatsApp sind eigene Dienste der jeweiligen Anbieter, sobald du dort schreibst.

Speicherdauer

Anfragen löschen wir, sobald sie erledigt sind, sofern keine gesetzlichen Aufbewahrungspflichten greifen. Daten zu Bestellungen und Rechnungen bewahren wir nach Handels- und Steuerrecht in der Regel 6 bzw. 10 Jahre auf (HGB, AO). Dein Kundenkonto bleibt bestehen, bis du es löschen lässt — eine formlose E-Mail an die Adresse im Impressum genügt. Der Warenkorb im Browser bleibt, bis du ihn leerst. Die Altersmarkierung endet mit dem Schließen des Browsers.

Deine Rechte

Du hast Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (insbesondere gegen Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO). Beschwerden kannst du an die Aufsichtsbehörde richten: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de. Kontakt zu uns über die E-Mail im Impressum.

Cookies und lokale Speicherung

Wir setzen keine Marketing-Cookies und kein Analyse-Tool ein. Es gibt keine Nutzerprofile. Meldest du dich an, setzen wir ein technisch notwendiges Cookie (ks_shop_session), das deine Sitzung 30 Tage lang offen hält. Es ist für JavaScript nicht lesbar, wird nur verschlüsselt übertragen und an keinen Dritten weitergegeben. Ohne dieses Cookie funktioniert die Anmeldung nicht; abmelden löscht es. Der Warenkorb nutzt localStorage auf deinem Gerät. Cloudflare Turnstile kann bei der Bot-Prüfung eigene, für die Prüfung nötige Cookies setzen.