Datenschutzerklärung

Stand: 17. Oktober 2026 — gemäß EU-Datenschutz-Grundverordnung (DSGVO)

1. Verantwortlicher

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

Wir haben keinen Datenschutzbeauftragten bestellt, da wir nach Art. 37 DSGVO i.V.m. § 38 BDSG hierzu nicht verpflichtet sind. Für datenschutzrechtliche Anfragen wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Überblick der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen:

• Bestandsdaten — Namen, Adressen, Kontaktdaten
• Zahlungsdaten — Bankverbindungen, Rechnungen, Zahlungshistorie (via Stripe)
• Nutzungsdaten — besuchte Seiten, Zugriffszeiten, Interesse an Inhalten
• Kommunikationsdaten — Telegram-Benutzer-ID, Chat-Nachrichten zu Bestellungen
• Bestelldaten — Bestellte Produkte, Mengen, Lieferadressen, Bestellverlauf
• Meta-/Kommunikationsdaten — IP-Adressen, Geräte-Informationen, Zeitstempel

Wir setzen die folgenden Dienstleister als Empfänger bzw. Auftragsverarbeiter ein:

• Railway Corp. — Hosting (Amsterdam, NL) — Ziffer 8
• Supabase Inc. — Datenbank (AWS eu-west-1, Irland, EU) — Ziffer 8
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung — Ziffer 10
• Telegram FZ-LLC — optionale Benachrichtigungen — Ziffer 11
• Resend, Inc. — E-Mail-Versand (AWS eu-west-1, IE) — Ziffer 15
• Functional Software, Inc. (Sentry) — Fehleranalyse — Ziffer 16
• Mistral AI SAS — Speisekarten-Erkennung (Paris, FR) — Ziffer 17
• PostHog, Inc. — Statistik auf tgramm.app, Produktanalyse im Einrichtungs- und Verwaltungsbereich, technische Server-Protokolle (EU-Hosting, Frankfurt a. M., DE) — Ziffer 16 und 17a
• Sanity AS / Sanity, Inc. — Auslieferung von Bildern und Blog-Inhalten (cdn.sanity.io) — Ziffer 17e
• Google Ireland Limited (Adressvorschläge) — Irland, Muttergesellschaft Google LLC (USA). Nur der getippte Adressteil, nicht Ihre IP-Adresse. Siehe Ziffer 17f. Datenschutzerklärung Google
• Pingen GmbH — Druck und Versand von Briefen (Schweiz) — Ziffer 17c

3. Maßgebliche Rechtsgrundlagen

Im Folgenden erhalten Sie eine Übersicht der Rechtsgrundlagen der DSGVO, auf deren Basis wir personenbezogene Daten verarbeiten:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — Die betroffene Person hat ihre Einwilligung in die Verarbeitung gegeben (z.B. Cookie-Einwilligung für Analyse-Tools, Newsletter-Anmeldung).
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Die Verarbeitung ist für die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich (z.B. steuerliche Aufbewahrungspflichten).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen.

4. Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Zu den Maßnahmen gehören insbesondere:

• Verschlüsselung der Datenübertragung (TLS/SSL) für alle Verbindungen
• Zugriffskontrolle auf Datenbanken und Server (rollenbasierte Zugriffssteuerung)
• Regelmäßige Sicherheits-Updates und Sicherheitsüberprüfungen
• Pseudonymisierung und Anonymisierung, wo möglich
• Sicherung der Daten durch regelmäßige Backups
• Verschlüsselte Speicherung sensibler Daten (Passwörter, Tokens)

5. Übermittlung von personenbezogenen Daten

Im Rahmen unserer Verarbeitung von personenbezogenen Daten kommt es vor, dass die Daten an andere Stellen, Unternehmen oder Personen übermittelt oder ihnen gegenüber offengelegt werden. Zu den Empfängern gehören:

• Stripe Payments Europe, Limited (Zahlungsabwicklung) — 1 Grand Canal Street Lower, Dublin 2, Irland. Zwischen uns und Stripe besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Datenschutzerklärung Stripe
• Telegram Messenger Inc. (Kommunikationsplattform) — Für die Zustellung von Nachrichten und den Betrieb des Telegram-Bots. Datenschutzerklärung Telegram
• Supabase Inc. (Datenbank-Hosting) — Hosting der Anwendungsdaten innerhalb der EU (Rechenzentrum in Irland, AWS-Region eu-west-1). Zwischen uns und Supabase besteht ein Data Processing Agreement gemäß Art. 28 DSGVO. Datenschutzerklärung Supabase
• Railway Corp. (Anwendungs-Hosting) — Hosting der Backend-Anwendung im EU-Rechenzentrum Amsterdam, Niederlande. Zwischen uns und Railway besteht ein Data Processing Agreement gemäß Art. 28 DSGVO. Datenschutzerklärung Railway
• PostHog, Inc. (Statistik) — Nur bei erteilter Einwilligung über den Cookie-Banner. Siehe Ziffer 12 und 17a.

6. Auftragsverarbeitung

Soweit wir im Rahmen unserer Verarbeitung Daten gegenüber anderen Personen und Unternehmen (Auftragsverarbeitern) offenlegen, diese an sie übermitteln oder ihnen sonst Zugriff auf die Daten gewähren, erfolgt dies nur auf Grundlage einer gesetzlichen Erlaubnis, einer Einwilligung der Nutzer oder auf Grundlage unserer berechtigten Interessen.

Sofern wir Dritte mit der Verarbeitung von Daten beauftragen, geschieht dies auf Grundlage eines sogenannten Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO. Wir setzen Auftragsverarbeiter nur ein, wenn diese hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und den Schutz der Rechte der betroffenen Personen gewährleistet.

7. Datenübermittlung in Drittländer

Sofern wir Daten in einem Drittland (d.h. außerhalb der EU/EWR) verarbeiten oder dies im Rahmen der Inanspruchnahme von Diensten Dritter geschieht, erfolgt dies nur:

• Zur Erfüllung unserer (vor-)vertraglichen Pflichten,
• auf Grundlage Ihrer Einwilligung,
• aufgrund einer rechtlichen Verpflichtung, oder
• auf Grundlage unserer berechtigten Interessen.

Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (DPF) gemäß dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, soweit der Empfänger unter dem DPF zertifiziert ist. Für nicht-zertifizierte Empfänger nutzen wir EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO als Transfermechanismus und führen bei Bedarf ergänzende Schutzmaßnahmen (Transfer Impact Assessment) durch.

8. Bereitstellung des Onlineangebotes und Webhosting

Wir verarbeiten die Daten der Nutzer, um ihnen unsere Online-Dienste bereitzustellen. Zu diesem Zweck verarbeiten wir die IP-Adresse des Nutzers, die notwendig ist, um die Inhalte und Funktionen unserer Online-Dienste an den Browser oder das Endgerät der Nutzer zu übermitteln.

• Verarbeitete Datenarten: Nutzungsdaten, Meta- und Kommunikationsdaten, Protokolldaten (IP-Adresse, Datum/Uhrzeit des Zugriffs, angeforderte URL, Referrer-URL, verwendeter Browser, Betriebssystem)
• Betroffene Personen: Nutzer unserer Website, des Web-Shops (shop.tgramm.app) und der Telegram-WebApp
• Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO)
• Hosting: Railway Corp. (Server-Standort: Amsterdam, Niederlande, EU). Supabase Inc. (Datenbank-Standort: Irland, AWS-Region eu-west-1, EU)

Server-Logdateien werden automatisch nach 30 Tagen gelöscht.

9. Registrierung, Anmeldung und Bestellungen

Händler können über den Telegram-Bot oder die Registrierungsseite (shop.tgramm.app/onboarding) einen Shop erstellen. Endkunden können Bestellungen über den Web-Shop oder die Telegram-WebApp aufgeben. Im Rahmen der Registrierung und Bestellungen werden folgende Daten verarbeitet:

• Telegram-Benutzer-ID, Vorname, Nachname, Benutzername
• Shop-Name, Kontaktdaten des Shop-Betreibers
• Bestelldetails: Produkte, Mengen, Gewichte, Lieferadresse
• Zahlungsinformationen (verarbeitet durch Stripe, Kartendaten werden nicht bei uns gespeichert)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: Die Daten werden gespeichert, solange der Account oder die Geschäftsbeziehung besteht, und darüber hinaus gemäß den gesetzlichen Aufbewahrungsfristen (Rechnungen und Buchungsbelege 8 Jahre gemäß § 147 Abs. 3 AO, § 14b UStG und § 257 Abs. 4 HGB; Handels- und Geschäftsbriefe 6 Jahre; Bücher und Jahresabschlüsse 10 Jahre). Nach Ablauf dieser Fristen werden die Daten gelöscht.

10. Zahlungsabwicklung — Stripe

Zur Abwicklung von Zahlungen nutzen wir den Dienst Stripe. Anbieter ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland.

Stripe verarbeitet in unserem Auftrag folgende personenbezogene Daten:

• Name und Kontaktdaten des Käufers (Name, Telefonnummer)
• Zahlungsdaten (Kartennummer, Ablaufdatum, CVC — werden ausschließlich von Stripe verarbeitet und gespeichert)
• Zahlungsbetrag und Transaktionsdetails
• Technische Identifikatoren (Telegram-User-ID in Metadaten)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Zwischen uns und Stripe besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) gemäß Art. 28 DSGVO. Stripe ist zertifiziert unter dem EU-US Data Privacy Framework und verwendet Standardvertragsklauseln (SCCs) für die Übermittlung personenbezogener Daten. Weitere Informationen: stripe.com/de/privacy

11. Nutzung der Telegram-Plattform

Telegram ist ein optionaler Benachrichtigungskanal. Derzeit ist die Telegram-Anbindung in unserem Angebot nicht aktiv. Sollten Sie TGramm innerhalb von Telegram öffnen, lädt Ihr Browser das Telegram-Skript (telegram.org) erst dann und nur dort. Beim Aufruf im normalen Browser findet keine Verbindung zu Telegram statt. Bei der Nutzung von Telegram werden Daten durch Telegram Messenger Inc. (mit Sitz in den Britischen Jungferninseln und Büros in Dubai) verarbeitet. Wir haben keinen Einfluss auf die Datenverarbeitung durch Telegram selbst und verweisen auf die Datenschutzerklärung von Telegram.

Im Rahmen unseres Telegram-Bots verarbeiten wir:

• Telegram-Benutzer-ID und öffentlich sichtbare Profilinformationen (Vorname, Nachname, Benutzername, Profilbild)
• Nachrichten, die Sie direkt an unseren Bot senden
• Interaktionen mit der WebApp (Katalogansicht, Bestellungen, Zahlungen)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Hinweis: Für Händler erfolgt die Verwaltung des Shops unter anderem über einen Telegram-Bot. Endkunden können alternativ über den Web-Shop (shop.tgramm.app) bestellen, ohne ein Telegram-Konto zu benötigen. In diesem Fall erhalten sie Benachrichtigungen per E-Mail.

12. Cookies, lokaler Speicher und Ihre Einwilligung

Beim ersten Besuch von tgramm.app fragen wir Sie, ob wir Statistik einsetzen dürfen. Ohne Ihre Zustimmung wird PostHog nicht geladen. „Ablehnen“ und „Akzeptieren“ stehen gleichwertig nebeneinander. Wenn Sie das Banner ignorieren, laden wir keine Statistik.

12.1 Notwendig (ohne Einwilligung, § 25 Abs. 2 Nr. 2 TDDDG)

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht) und lit. f DSGVO.

12.2 Statistik (nur mit Einwilligung, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO)

Wenn Sie „Statistik“ erlauben, laden wir PostHog (Ziffer 17a). Dann speichern wir zusätzlich:

Ohne Einwilligung geben wir Kampagnen-Angaben aus dem Link, den Sie gerade geöffnet haben, direkt an die Registrierungsseite weiter, ohne sie zu speichern.

12.3 Einwilligung ändern oder widerrufen

Unten auf jeder Seite von tgramm.app finden Sie den Link „Cookie-Einstellungen“. Er öffnet die Auswahl. Dort schalten Sie „Statistik“ aus und wählen „Auswahl speichern“ oder „Ablehnen“. Wir stoppen dann PostHog und löschen die genannten Cookies und Einträge. Im Verwaltungsbereich (shop.tgramm.app/admin) finden Sie denselben Link im Benutzermenü („Cookie-Einstellungen“); er führt zu dieser Auswahl auf tgramm.app. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Wir fragen Sie erneut, wenn sich die eingesetzten Dienste oder diese Erklärung wesentlich ändern.

13. Schriftarten

Die Schriftarten (Cormorant Garamond, Jost und Space Mono) liefern wir von unserem eigenen Server aus. Dabei findet keine Verbindung zu Google oder anderen Dritten statt.

14. Newsletter und E-Mail-Marketing

Wir bieten auf unserer Website die Möglichkeit, einen Newsletter zu abonnieren. Im Rahmen der Newsletter-Anmeldung verarbeiten wir folgende Daten:

• E-Mail-Adresse (Pflichtfeld)
• Sprachpräferenz (automatisch erkannt anhand der Seitensprache)
• Quelle der Anmeldung (z.B. Footer, Blog)
• UTM-Parameter (sofern vorhanden, zur Zuordnung des Marketing-Kanals)
• Zeitpunkt der Anmeldung

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Abmeldelink in jeder E-Mail nutzen oder uns eine E-Mail an datenschutz@tgramm.app senden.

Speicherdauer: Ihre E-Mail-Adresse wird gespeichert, bis Sie den Newsletter abbestellen. Nach Abmeldung wird Ihre Adresse unverzüglich aus dem Verteiler entfernt.

15. E-Mail-Versand — Resend

Für den Versand sämtlicher E-Mails (Bestellbestätigungen, Zahlungserinnerungen, Statusbenachrichtigungen, Rechnungen sowie den Newsletter) setzen wir den Dienst Resend der Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA ein.

• Verarbeitete Datenarten: E-Mail-Adresse, Name (sofern angegeben), Inhalt der jeweiligen E-Mail (u. a. Bestellnummer, bestellte Artikel, Beträge, Abholzeitpunkt), Versand- und Zustellprotokolle
• Betroffene Personen: Kundinnen und Kunden der über TGramm betriebenen Shops, Händlerinnen und Händler, Newsletter-Abonnenten
• Zweck: Erfüllung des Kaufvertrags und Kundenkommunikation; beim Newsletter Direktwerbung
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); beim Newsletter Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
• Drittlandtransfer: Resend, Inc. hat seinen Sitz in den USA. Der Versand erfolgt über die Infrastruktur von Amazon Web Services in der Region eu-west-1 (Irland, EU). Ein Zugriff aus den USA kann gleichwohl nicht ausgeschlossen werden; die Übermittlung erfolgt daher auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) — siehe Ziffer 7.

16. Fehleranalyse und Stabilität — Sentry

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry der Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Tritt in unserer Anwendung ein Fehler auf, wird ein technischer Fehlerbericht an Sentry übermittelt.

• Verarbeitete Datenarten: Zeitpunkt und Art des Fehlers, technische Fehlermeldung (Stacktrace), aufgerufene URL, Browser- und Geräteinformationen, IP-Adresse
• Betroffene Personen: Nutzerinnen und Nutzer des Web-Shops und des Verwaltungsbereichs (shop.tgramm.app). Die Website tgramm.app selbst sendet nichts an Sentry.
• Zweck: Gewährleistung des sicheren und störungsfreien Betriebs, Fehlerbehebung
• Rechtsgrundlage: Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — unser Interesse an einem funktionsfähigen und sicheren Angebot
• Umfang: Die Übermittlung personenbezogener Daten ist in unserer Konfiguration deaktiviert (send_default_pii ist nicht aktiviert). Es werden daher keine Formulareingaben oder Nutzerkennungen gezielt übertragen. Ein Fehlerbericht kann jedoch technisch bedingt personenbezogene Daten enthalten. Neben Fehlerberichten übertragen wir bei einem Teil der Seitenaufrufe (20 %) Leistungsdaten (Ladezeiten, aufgerufene Adresse). Die Server-Anwendung sendet zusätzlich Fehlerberichte, Leistungsdaten (20 %) und Profiling-Daten (10 %).
• Hinweis: Sentry speichert keine Daten in Ihrem Browser und zeichnet keine Sitzungen auf.
• Drittlandtransfer: USA, auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) — siehe Ziffer 7.

Technische Server-Protokolle (Fehler- und Ablaufmeldungen) werden zur Fehlersuche an PostHog Inc. (Server in der EU, Frankfurt) übermittelt. Personenbezogene Angaben wie E-Mail-Adressen, Telefonnummern, Namen, Anschriften und IBAN werden vor der Übermittlung entfernt. Speicherdauer: 14 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und fehlerfreien Betrieb).

17. Automatische Speisekarten-Erkennung — Mistral AI

Händlerinnen und Händler können beim Anlegen ihres Shops ein Foto oder eine PDF-Datei ihrer Speise- bzw. Produktkarte hochladen, um daraus automatisch Produkte zu erzeugen. Für die Bilderkennung übermitteln wir die hochgeladene Datei an Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (Modell pixtral-12b).

• Verarbeitete Datenarten: Inhalt der hochgeladenen Datei (Produktbezeichnungen, Preise und alle sonstigen darauf abgebildeten Angaben)
• Betroffene Personen: Händlerinnen und Händler, die diese Funktion aktiv nutzen
• Zweck: Automatisches Anlegen des Produktkatalogs
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Funktion wird ausschließlich auf ausdrückliche Veranlassung der Händlerin bzw. des Händlers ausgelöst
• Drittlandtransfer: Keiner. Mistral AI SAS ist ein Unternehmen mit Sitz in der EU (Frankreich).
• Hinweis: Bitte laden Sie keine Dokumente hoch, die personenbezogene Daten Dritter enthalten. Die Datei wird ausschließlich zur Verarbeitung der jeweiligen Anfrage übermittelt und von uns nicht dauerhaft bei Mistral AI gespeichert.

17a. Statistik und Produktanalyse — PostHog

Auf tgramm.app messen wir mit PostHog der PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA, Seitenaufrufe und einzelne Klicks (Anmelde-Buttons, FAQ), damit wir sehen, welche Seiten helfen. Im Einrichtungs- und Verwaltungsbereich (shop.tgramm.app/onboarding und /admin) werten wir zusätzlich die Schritte der Einrichtung aus und zeichnen Sitzungen auf. Die Verarbeitung erfolgt ausschließlich über die EU-Infrastruktur von PostHog (Rechenzentrum Frankfurt am Main, Deutschland).

• Verarbeitete Datenarten: Nutzungsdaten (aufgerufene Schritte des Einrichtungsprozesses, Klick- und Navigationsverhalten, Verweildauer, Abbruchpunkt), Meta-/Kommunikationsdaten (aufgerufene Seite, Herkunft (Referrer), Kampagnen-Angaben aus dem Link (UTM), Browser, Betriebssystem, Bildschirmgröße). Zusätzlich wird eine Sitzungsaufzeichnung (Bildschirmwiedergabe der Seitenbedienung) erstellt.
• Betroffene Personen: Interessentinnen und Interessenten sowie Händlerinnen und Händler, die unsere Registrierung bzw. den Verwaltungsbereich nutzen
• Zweck: Analyse und Verbesserung der Benutzerführung, Erkennen von Fehlbedienungen und Abbruchursachen, Fehlerdiagnose
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Ohne Ihre über den Cookie-Banner erteilte Einwilligung wird PostHog nicht geladen und es werden keine Daten übermittelt.
• Keine Aufzeichnung auf tgramm.app und in Shops: Auf tgramm.app zeichnen wir keine Sitzungen auf. Auf den Seiten der Händler-Shops (shop.tgramm.app/<Shop-Name>) setzen wir PostHog nicht ein.
• Keine Personenprofile: Wir erstellen für anonyme Besucher keine Personenprofile (person_profiles: identified_only).
• Keine IP-Speicherung: Die Übermittlung Ihrer IP-Adresse an PostHog ist deaktiviert (ip: false).
• Datenminimierung bei der Sitzungsaufzeichnung: Sämtliche Eingabefelder und Textinhalte werden vor der Übermittlung maskiert (maskAllInputs, maskTextSelector: '*'). Es werden daher keine von Ihnen eingegebenen Inhalte — insbesondere keine E-Mail-Adressen, Passwörter, Namen oder Anschriften — aufgezeichnet, sondern ausschließlich Layout, Seitenstruktur und Zeigerbewegungen.
• Keine Klarnamen-Zuordnung: Angemeldete Händlerinnen und Händler werden ausschließlich über eine pseudonyme Kennung (UUID) zugeordnet. E-Mail-Adressen oder Shop-Namen werden nicht an PostHog übermittelt.
• Kein automatisches Mitschneiden aller Interaktionen: Die Funktion „Autocapture“ ist deaktiviert (autocapture: false). Es werden nur die von uns ausdrücklich definierten Ereignisse des Einrichtungsprozesses erfasst.
• Speicherdauer: Ereignisdaten werden nach 12 Monaten, Sitzungsaufzeichnungen nach 30 Tagen automatisch gelöscht.
• Drittlandtransfer: PostHog, Inc. hat seinen Sitz in den USA; die Verarbeitung erfolgt in der EU (Frankfurt a. M.). Ein Zugriff aus den USA kann nicht vollständig ausgeschlossen werden; die Übermittlung erfolgt daher auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) — siehe Ziffer 7.
• Widerruf: Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ widerrufen, siehe Ziffer 12.3.
• Weitere Informationen: Datenschutzerklärung von PostHog

17c. Briefwerbung an Betriebe

Wir informieren Lebensmittelbetriebe per Brief über TGramm. Dieser Abschnitt ist zugleich die Information nach Art. 14 DSGVO für alle Empfängerinnen und Empfänger eines solchen Briefes.

• Herkunft der Daten: OpenStreetMap (öffentlich zugängliche Daten, © OpenStreetMap-Mitwirkende, Lizenz ODbL) oder das Impressum der Website des Betriebs (dazu öffentliche Angebotsseiten derselben Website). Welche Quelle es war, steht im Brief. Die Daten wurden nicht bei Ihnen erhoben.
• Verarbeitete Datenarten: Name des Betriebs, Geschäftsanschrift, öffentliche Website-Adresse; bei Briefen aus der Website-Recherche zusätzlich der im Impressum genannte Inhaber oder Ansprechpartner und ein kurzer Satz aus Ihrem öffentlichen Angebot, auf den sich der Brief bezieht. Zur Auswahl passender Betriebe prüfen wir einmalig, ob die öffentliche Startseite Begriffe wie Versand, Vorbestellung oder Preise je Kilogramm enthält; gespeichert wird nur das Ergebnis als Zahl. Telefonnummern und E-Mail-Adressen erheben wir nicht.
• Zweck: einmalige Zusendung eines Informationsbriefes; Zuordnung einer späteren Anmeldung zu diesem Brief über den Code im aufgedruckten Link
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Direktwerbung für unser Angebot (Erwägungsgrund 47 DSGVO).
• Empfänger: Pingen GmbH, Schweiz, als Auftragsverarbeiter für Druck und Versand. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.
• Speicherdauer: höchstens 24 Monate nach dem letzten Brief. Widersprechen Sie, speichern wir ausschließlich eine Kennung Ihres Betriebs in einer Sperrliste, damit Sie keine weitere Post von uns erhalten.
• Widerspruch (Art. 21 Abs. 2 DSGVO): Sie können der Verarbeitung zu Werbezwecken jederzeit ohne Angabe von Gründen widersprechen, formlos an datenschutz@tgramm.app oder an die im Brief genannte Adresse.

17d. Anfrage über das Formular auf tgramm.app/start

Auf der Seite tgramm.app/start können Betriebe uns ihre Preisliste senden, damit wir daraus ihren Shop einrichten.

• Verarbeitete Daten: Name des Betriebs, E-Mail-Adresse, die hochgeladene Datei (Foto oder PDF der Preisliste) sowie, falls vorhanden, der Code aus unserem Brief und das Briefsegment. Technisch notwendig verarbeiten wir außerdem die IP-Adresse kurzzeitig zur Begrenzung von Missbrauch; sie wird nicht mit der Anfrage gespeichert.
• Konto und Shop: Mit Ihrer E-Mail-Adresse legen wir ein Benutzerkonto und einen noch nicht öffentlichen Shop an, zusammen mit Ihren Angaben zu Shop-Name, Branche und Lieferarten, falls Sie diese machen.
• Zweck: Einrichtung des Shops und Kontaktaufnahme mit Ihnen per E-Mail zu genau dieser Anfrage. Kein Newsletter, keine Weitergabe zu Werbezwecken.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage) und Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie mit dem Häkchen im Formular erteilen. Die Einwilligung können Sie jederzeit per E-Mail an datenschutz@tgramm.app widerrufen.
• Speicherort: Die Angaben speichern wir in unserer Datenbank, die Datei in einem nicht öffentlichen Speicherbereich (Supabase Storage, Supabase Inc., Rechenzentrum in Irland, AWS-Region eu-west-1) — siehe Ziffer 8. Zugriff hat nur der Verantwortliche nach Ziffer 1.
• Benachrichtigung: Über den Eingang einer Anfrage benachrichtigen wir uns selbst per Telegram (Name des Betriebs, E-Mail-Adresse, Code, zeitlich begrenzter Link zur Datei) — siehe Ziffer 11.
• Speicherdauer: Kommt kein Vertrag zustande, löschen wir Angaben und Datei spätestens 6 Monate nach Eingang, bei Widerruf der Einwilligung unverzüglich. Kommt ein Vertrag zustande, gelten die Fristen nach Ziffer 9.

17e. Bilder und Blog-Inhalte — Sanity

Bilder und Texte unseres Blogs und einzelner Seiten liegen bei Sanity (cdn.sanity.io). Beim Laden dieser Bilder übermittelt Ihr Browser Ihre IP-Adresse und technische Verbindungsdaten an Sanity. Zweck: schnelle und sichere Auslieferung der Inhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

17f. Adressvorschläge bei der Eingabe der Adresse — Google Places

Wenn Sie im Straßenfeld der Kasse eines Shops tippen, zeigen wir Adressvorschläge an. Händlerinnen und Händler sehen dieselben Vorschläge in den Shop-Einstellungen, wenn sie ihre Geschäftsadresse eintragen. Die Vorschläge kommen von der Adresssuche (Places API) von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Muttergesellschaft ist Google LLC, USA.

• Ablauf: Ihr Browser sendet den getippten Text nur an unseren Server (api.tgramm.app). Unser Server leitet den Text und eine zufällige Sitzungskennung an Google weiter. Wählen Sie einen Vorschlag aus, fragt unser Server bei Google einmal die Bestandteile der Adresse ab (Straße, Hausnummer, Postleitzahl, Ort).
• Verarbeitete Datenarten: der getippte Adressteil, die zufällige Sitzungskennung, die ausgewählte Adresse.
• Keine Verbindung Ihres Geräts zu Google: Ihre IP-Adresse, Browserangaben und Cookies erhält Google nicht, weil die Anfrage von unserem Server ausgeht. Wir laden kein Google-Skript. Auf Ihrem Gerät wird dafür nichts gespeichert oder ausgelesen, deshalb ist keine Einwilligung nach § 25 TDDDG nötig.
• Zweck: richtige Lieferadresse, weniger fehlgeschlagene Zustellungen, schnellere Eingabe.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Angabe der Lieferadresse zur Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an richtigen Adressen). Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen, siehe Ziffer 18.
• Freiwillig: Das Feld funktioniert auch ohne Vorschläge. Sie können Ihre Adresse vollständig von Hand eingeben.
• Speicherung bei uns: Wir speichern den getippten Text und die Vorschläge nicht, schreiben sie nicht ins Protokoll und halten keine Google-Ergebnisse zwischen. Gespeichert wird nur die Adresse, die Sie mit der Bestellung abschicken, als Teil der Bestellung (Ziffer 9).
• Drittlandtransfer: Google kann Daten in den USA verarbeiten. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Zusätzlich gelten EU-Standardvertragsklauseln aus den Vertragsbedingungen von Google, siehe Ziffer 7.
• Weitere Informationen: Datenschutzerklärung von Google, Datenverarbeitungszusatz von Google

In der Kasse eines Shops ist die jeweilige Händlerin bzw. der Händler Verantwortlicher, wir handeln als Auftragsverarbeiter (Ziffer 6). In den Shop-Einstellungen und für die Plattform selbst sind wir Verantwortlicher.

18. Rechte der betroffenen Personen

Ihnen stehen als Betroffene nach der DSGVO verschiedene Rechte zu, die sich insbesondere aus Art. 15 bis 21 DSGVO ergeben:

• Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob betreffende Daten verarbeitet werden, und auf Auskunft über diese Daten sowie auf weitere Informationen und eine Kopie der Daten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Vervollständigung oder Berichtigung unrichtiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die unverzügliche Löschung betreffender Daten zu verlangen, sofern die gesetzlichen Voraussetzungen erfüllt sind. Das Recht auf Löschung besteht nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen, z.B. wenn Sie die Richtigkeit der Daten bestreiten.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln.
• Recht auf Widerspruch (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht berührt.
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung gegen die DSGVO verstößt. Sie können sich hierfür insbesondere an die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder unseres Unternehmenssitzes wenden.

Die für uns zuständige Aufsichtsbehörde ist:

19. Löschung von Daten

Die von uns verarbeiteten Daten werden nach Maßgabe der gesetzlichen Vorgaben gelöscht, sobald deren zur Verarbeitung erlaubte Einwilligungen widerrufen werden oder sonstige Erlaubnisse entfallen. Sofern die Daten nicht gelöscht werden, weil sie für andere und gesetzlich zulässige Zwecke erforderlich sind, wird deren Verarbeitung auf diese Zwecke beschränkt (Sperrung).

Aufbewahrungsfristen:

• Rechnungen und Buchungsbelege: 8 Jahre (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG, § 257 Abs. 4 HGB)
• Empfangene und abgesandte Handels- und Geschäftsbriefe: 6 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB)
• Bücher, Inventare, Jahresabschlüsse und Lageberichte: 10 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB)
• Account-Daten nach Kündigung: 30 Tage (Übergangsfrist), dann Löschung sofern keine gesetzlichen Pflichten entgegenstehen
• Server-Logdateien: 30 Tage

20. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen, z.B. bei der Einführung neuer Services. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Wesentliche Änderungen werden wir über unsere Website oder per E-Mail mitteilen. Wenn wir neue Dienste einsetzen oder Zwecke ändern, fragen wir Sie über das Cookie-Banner erneut.