Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im B2B-Portal unter b2b.kerzen-pfeilstetter.de ist:

Kerzen Pfeilstetter
Inhaber: Kunigunde Pfeilstetter
Kampenwandstr. 5
83134 Prutting
Deutschland
Telefon: +49 8036 2201
E-Mail: info@kerzen-pfeilstetter.de

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine gesetzliche Pflicht besteht.

3. Allgemeines

Unser B2B-Portal richtet sich nicht an Verbraucher, sondern ausschließlich an Unternehmen, Behörden und sonstige juristische Personen. Auch bei Geschäftskunden verarbeiten wir personenbezogene Daten — etwa Namen und Kontaktdaten von Ansprechpartnern oder Daten von Einzelunternehmern. Diese Datenschutzerklärung informiert darüber, welche Daten wir zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeiten, an wen wir sie weitergeben und welche Rechte Sie haben.

Für unseren Onlineshop für Endkunden unter kerzen-pfeilstetter.de gilt die dort veröffentlichte Datenschutzerklärung.

Die wichtigsten Rechtsgrundlagen der Datenschutz-Grundverordnung (DSGVO) sind:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (z. B. Kundenkonto, Bestellung, Lieferung)
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung)
• Art. 6 Abs. 1 lit. f DSGVO — Wahrung berechtigter Interessen (z. B. sicherer Betrieb des Portals, Geschäftsanbahnung, Direktwerbung gegenüber Unternehmen)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, soweit wir Sie ausdrücklich darum bitten

4. Hosting und Server-Logfiles

Das Portal wird auf Servern folgenden Anbieters betrieben, mit dem wir einen Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO) geschlossen haben: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen; Serverstandort Deutschland

Beim Aufruf des Portals werden technisch bedingt folgende Daten verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Datei, übertragene Datenmenge, Statuscode, Referrer-URL sowie Browser- und Betriebssystemangaben (User-Agent). Die Verarbeitung ist erforderlich, um das Portal auszuliefern und seine Sicherheit und Stabilität zu gewährleisten, etwa um Angriffe zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Server-Logfiles werden nach 14 Tagen gelöscht, sofern sie nicht im Einzelfall zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

Dateien wie Produktbilder, Rechnungen, Lieferscheine und Versandetiketten speichern wir im Objektspeicher der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, mit Speicherort in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Produktbilder lädt Ihr Browser direkt von dort; dabei wird Ihre IP-Adresse an Hetzner übermittelt.

5. Cookies und Speicherung im Browser

Wir setzen ausschließlich technisch notwendige Cookies und Browser-Speicher ein. Tracking-, Analyse- oder Werbe-Cookies verwenden wir im B2B-Portal nicht. Unsere Reichweitenmessung (Abschnitt 13) kommt ohne Cookies aus und findet nur mit Ihrer Einwilligung statt.

• Sitzungs-Cookie (better-auth.session_token): hält Sie nach der Anmeldung eingeloggt; wird gelöscht, wenn Sie sich abmelden oder die Sitzung abläuft.
• Lokaler Speicher (localStorage): speichert Anzeigeeinstellungen wie Farbschema und Sprache, ob Sie bestimmte Hinweise bereits geschlossen haben, sowie Ihre Entscheidung zur Reichweitenmessung mit Zeitpunkt (kerzen.analytics-consent), damit wir Sie nicht erneut fragen. In Browsern unserer Mitarbeiter setzen wir zusätzlich einen Ausschlussvermerk (umami.disabled), damit interne Zugriffe nicht gemessen werden.

Rechtsgrundlage für diese Speicherungen auf Ihrem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst), für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b und f DSGVO. Für die Reichweitenmessung greifen wir nur mit Ihrer Einwilligung auf Ihr Endgerät zu (§ 25 Abs. 1 TDDDG, siehe Abschnitt 13). Sie können Cookies und lokalen Speicher in Ihrem Browser jederzeit löschen; ohne Sitzungs-Cookie ist eine Anmeldung jedoch nicht möglich.

Schriftarten binden wir lokal ein; beim Aufruf des Portals wird keine Verbindung zu Servern von Google hergestellt.

6. Registrierung und Kundenkonto

Für die Registrierung erheben wir: Firmenname, Anschrift, Land, USt-IdNr. (außerhalb Deutschlands verpflichtend), Telefonnummer (optional), Vor- und Nachname sowie E-Mail-Adresse des Ansprechpartners und ein Passwort (nur verschlüsselt als Hash gespeichert). Wir verwenden die Daten, um Ihr Kundenkonto einzurichten, Ihre E-Mail-Adresse zu bestätigen, zu prüfen, ob Sie als Geschäftskunde freigeschaltet werden können, und um Ihnen Preise, Bestellungen und Rechnungen im Portal bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Freischaltung prüft ein Mitarbeiter manuell; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Über neue Registrierungen und Änderungen von Stammdaten werden zuständige Mitarbeiter intern per E-Mail benachrichtigt.

Zum Nachweis speichern wir bei der Registrierung und bei jeder Bestellung, wann Sie unseren AGB zugestimmt haben (einschließlich der jeweiligen Fassung) und bestätigt haben, nicht als Verbraucher zu handeln. Änderungen Ihrer Firmenstammdaten protokollieren wir mit dem vorherigen Stand, um Rechnungen und Lieferungen nachvollziehbar zu halten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Nachweisbarkeit von Vertragsgrundlagen und der korrekten Zuordnung von Geschäftsvorfällen.

Bei jeder Anmeldung speichern wir zu Ihrer Sitzung die IP-Adresse und den User-Agent Ihres Browsers, außerdem am Kundenkonto den Zeitpunkt Ihrer letzten Aktivität. Das dient dem Schutz Ihres Kontos vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Die Sitzungsdaten löschen wir, sobald sie hierfür nicht mehr benötigt werden, insbesondere wenn Sie sich abmelden.

Die Pflichtfelder sind für die Registrierung erforderlich; ohne sie können wir kein Kundenkonto einrichten.

7. Bestellungen und Vertragsabwicklung

Wenn Sie bestellen, verarbeiten wir die Bestelldaten (Artikel, Mengen, Preise), Rechnungs- und Lieferanschrift, Name und E-Mail-Adresse des bestellenden Ansprechpartners, Ihre optionale Anmerkung, die gewählte Zahlungsbedingung sowie Versand- und Sendungsdaten. Sie erhalten eine Bestellbestätigung, bei Vorkasse die Rechnung mit Bankverbindung und nach dem Versand eine Versandbenachrichtigung per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

Zahlungen erfolgen per Überweisung (Vorkasse oder Rechnung). Einen Zahlungsdienstleister setzen wir im Portal nicht ein; Ihre Kontodaten erhalten wir nur über den Zahlungseingang bei unserer Bank.

8. Buchhaltung mit Lexware Office

Rechnungen, Auftragsbestätigungen und Lieferscheine erstellen wir mit Lexware Office der Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg. Dazu übermitteln wir Firmenname, Anschrift, USt-IdNr., Name, E-Mail-Adresse und Telefonnummer des Ansprechpartners sowie die Positionen der Bestellung. Wir haben mit dem Anbieter einen Vertrag über die Auftragsverarbeitung geschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO.

Belege übergeben wir außerdem, soweit erforderlich, an unser Steuerberatungsbüro, das als eigener Verantwortlicher tätig ist (Art. 6 Abs. 1 lit. c DSGVO).

9. Versand mit DPD

Für den Versand übermitteln wir an die DPD Deutschland GmbH, Wailandtstraße 1, 63741 Aschaffenburg, den Firmennamen, den Namen des Empfängers und die Lieferanschrift (Art. 6 Abs. 1 lit. b DSGVO). Zusätzlich übermitteln wir die E-Mail-Adresse und Telefonnummer des Ansprechpartners, damit DPD Ihnen die Zustellung ankündigen und bei Zustellproblemen Kontakt aufnehmen kann. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer reibungslosen Zustellung an Ihren Geschäftsbetrieb. Sie können der Weitergabe von E-Mail-Adresse und Telefonnummer jederzeit widersprechen (formlos, z. B. per E-Mail an info@kerzen-pfeilstetter.de). DPD verarbeitet die Daten als eigener Verantwortlicher; Informationen dazu finden Sie in der Datenschutzerklärung von DPD.

Zur Kommissionierung drucken wir Lieferscheine und Versandetiketten in unserem Lager aus.

10. E-Mail-Versand und Kommunikation

Für den Versand automatischer E-Mails (z. B. Bestätigungen, Rechnungen, Passwort-Zurücksetzen) setzen wir folgenden Dienstleister als Auftragsverarbeiter ein: Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Sofern dabei Daten in ein Land außerhalb der EU bzw. des EWR übermittelt werden, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (für zertifizierte US-Unternehmen: EU-U.S. Data Privacy Framework) oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Versendete E-Mails protokollieren wir einschließlich Empfänger, Betreff und Inhalt, um Zustellprobleme nachvollziehen und den Versand von Rechnungen und Bestätigungen belegen zu können (Art. 6 Abs. 1 lit. c und f DSGVO). Zur Speicherdauer siehe Abschnitt 14.

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO).

11. Neukundenansprache und Musteranfragen

Wir sprechen Unternehmen, für die unsere Kerzen interessant sein könnten, gezielt an und bieten ihnen kostenlose Musterkerzen an. Dazu verarbeiten wir geschäftliche Kontaktdaten: Firmenname, Anrede und Name des Ansprechpartners, geschäftliche E-Mail-Adresse, Telefonnummer, Anschrift, Website, gegebenenfalls USt-IdNr. sowie interne Notizen zum Kontaktverlauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Direktwerbung für unsere Produkte gegenüber Unternehmen (Erwägungsgrund 47 DSGVO).

Fordern Sie über den persönlichen Link Musterkerzen an, verarbeiten wir Ihre Angaben (Lieferanschrift, Ansprechpartner, Telefonnummer, Auswahl und Anmerkung), um die Muster zu versenden. Dafür legen wir Ihr Unternehmen in unserem Kundenstamm und in Lexware Office an (Lieferschein) und übermitteln die Lieferdaten an DPD (siehe Abschnitte 8 und 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sie können der Verwendung Ihrer Daten zu Werbezwecken jederzeit widersprechen — über den Abmeldelink in jeder unserer Werbe-E-Mails oder formlos an info@kerzen-pfeilstetter.de. Nach einem Widerspruch nehmen wir Ihre E-Mail-Adresse und Ihren Firmennamen in eine Sperrliste auf, damit Sie keine weitere Werbung von uns erhalten; diese Sperrdaten speichern wir, solange ein erneutes Anschreiben ausgeschlossen werden soll (Art. 6 Abs. 1 lit. c und f DSGVO). Alle übrigen Daten löschen wir, sofern keine Aufbewahrungspflichten entgegenstehen.

12. Produktbilder aus unserem Endkunden-Shop

Einige Bilder im Portal werden direkt aus unserem Endkunden-Shop unter kerzen-pfeilstetter.de geladen, der auf der Plattform Shopify betrieben wird (Shopify International Limited, Victoria Buildings, 2. Etage, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland). Dabei wird Ihre IP-Adresse an Shopify übermittelt. Eine Übermittlung an die Shopify Inc. in Kanada (Angemessenheitsbeschluss) bzw. in die USA (EU-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln) ist nicht ausgeschlossen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der einheitlichen und effizienten Darstellung unserer Produkte.

13. Reichweitenmessung mit Umami

Wenn Sie einwilligen, messen wir mit der Open-Source-Software Umami, wie unser Portal genutzt wird, um es bedarfsgerecht zu verbessern. Umami betreiben wir selbst auf einem Server unseres Hosting-Anbieters (siehe Abschnitt 4); die Daten werden nicht an Dritte weitergegeben. Die Messung umfasst öffentliche Seiten und den Kundenbereich, nicht aber das interne Adminpanel und nicht Seiten mit Zugangslinks (z. B. Passwort-Zurücksetzen oder Kontoaktivierung).

Dabei liest das Umami-Script einzelne Informationen aus Ihrem Browser aus und übermittelt sie verschlüsselt an unseren Umami-Server: aufgerufene Seite (ohne Parameter; persönliche Links und Bestell-IDs werden vor dem Senden durch Platzhalter ersetzt), zuvor besuchte fremde Website (Referrer; nur die Domain), Seitentitel, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Browsersprache. Aus Ihrer IP-Adresse werden das ungefähre Herkunftsland, die Region und die Stadt abgeleitet. Außerdem bildet Umami aus IP-Adresse, Browserangaben und einem geheimen, monatlich wechselnden Wert eine pseudonyme Kennung (Hashwert); Seitenaufrufe desselben Browsers können so innerhalb eines Kalendermonats zu Besuchen zusammengefasst werden. Die IP-Adresse selbst wird nicht gespeichert. Umami setzt keine Cookies. Wir werten die Daten nur zusammengefasst aus und führen sie nicht mit Ihrem Kundenkonto zusammen.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist freiwillig; ohne sie findet keine Messung statt. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen bzw. hier erteilen (auch erreichbar über „Datenschutz-Einstellungen“ in der Fußzeile jeder Seite):

Die gespeicherten Nutzungsdaten löschen wir nach 14 Monaten.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen:

• Kundenkonto: bis zur Löschung des Kontos, die Sie jederzeit formlos verlangen können.
• Rechnungen und sonstige Buchungsbelege: 8 Jahre (§ 147 AO, § 257 HGB, § 14b UStG).
• Handels- und Geschäftsbriefe (z. B. Auftragsbestätigungen, geschäftliche E-Mails): 6 Jahre.
• Handelsbücher, Inventare, Jahresabschlüsse: 10 Jahre.
• Server-Logfiles: Löschung nach 14 Tagen.
• Reichweitenmessung (Umami): Löschung nach 14 Monaten.
• Nachweise über AGB-Zustimmung und Verbraucher-Ausschluss, Protokoll der Stammdatenänderungen: bis zum Ablauf der Verjährung der Ansprüche aus der Geschäftsbeziehung (regelmäßig 3 Jahre ab dem Ende des Jahres, in dem die Geschäftsbeziehung endet), längstens so lange wie die zugehörigen Belege.
• E-Mail-Versandprotokoll: 6 Jahre für Bestell-, Rechnungs- und Versandmails (Handelsbriefe), im Übrigen 12 Monate.
• Musteranfragen: wie Bestellungen (Lieferscheine als Handels- und Geschäftsbriefe 6 Jahre).
• Kontaktanfragen: bis zur abschließenden Bearbeitung, soweit keine Aufbewahrungspflicht besteht.
• Neukundenansprache: bis zu Ihrem Widerspruch, spätestens 24 Monate nach der letzten Kontaktaufnahme ohne Reaktion; nach einem Widerspruch nur die Sperrliste (siehe Abschnitt 11).

Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist. Daten, die nur noch wegen Aufbewahrungspflichten gespeichert sind, sperren wir für andere Zwecke.

15. Empfänger und Übermittlung in Drittländer

Personenbezogene Daten geben wir nur weiter, soweit dies in dieser Datenschutzerklärung beschrieben ist. Innerhalb unseres Unternehmens erhalten nur die Mitarbeiter Zugriff, die ihn für ihre Aufgaben benötigen. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nur statt, soweit in den Abschnitten 10 und 12 angegeben.

16. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@kerzen-pfeilstetter.de.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

17. Datensicherheit

Die Übertragung zwischen Ihrem Browser und dem Portal erfolgt verschlüsselt (TLS). Passwörter speichern wir ausschließlich als Hash. Wir treffen angemessene technische und organisatorische Maßnahmen, um Ihre Daten vor Verlust, Manipulation und unberechtigtem Zugriff zu schützen.

18. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.