1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist: Knuffel UG
(haftungsbeschränkt), Bäckerzeile 3, 83512 Wasserburg am Inn.
E-Mail: hallo@knuffel.app
2. Hosting
Website: Diese Website wird bei Vercel gehostet (Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA). Beim Aufruf verarbeitet Vercel technisch notwendige Server-Logfiles (u. a. IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Typ), um die Auslieferung und Sicherheit der Seite zu gewährleisten (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln.
App (my.knuffel.app): Gehostet auf einem Virtual Private Server (VPS) bei Domainfactory.
3. Datenverarbeitung auf der Website (knuffel.app)
Anmeldung: Auf dieser Website meldest du dich nicht an. Der Knopf „Jetzt anmelden“ führt dich zu unserer App my.knuffel.app, und die Anmeldung findet dort statt. Auf dieser Website verarbeiten wir dafür keine Daten von dir. Welche Daten bei der Anmeldung in der App anfallen, steht in Abschnitt 4.
Kontakt- und Bestellformulare (Sammelbestellung, Flyer): Wenn du eines unserer Formulare nutzt, verarbeiten wir die von dir eingegebenen Daten (z. B. Name, Firma, E-Mail-Adresse, Telefonnummer, Liefer- und ggf. abweichende Rechnungsadresse, Bestell- bzw. Mengenangaben sowie deine Nachricht), um deine Anfrage bzw. Bestellung zu bearbeiten und dir eine Bestätigung zu senden. Rechtsgrundlage ist die Anbahnung bzw. Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO).
Verarbeitung der Formulardaten (n8n auf eigenem Server): Die Daten aus unseren Formularen werden an eine von uns selbst betriebene Instanz der Automatisierungssoftware n8n übermittelt, die den weiteren Ablauf steuert (z. B. das Auslösen der Bestätigungs-E-Mail und die interne Benachrichtigung über deine Anfrage). Der Server ist ein Droplet der DigitalOcean, LLC (New York, USA) und steht in deren Rechenzentrum in Frankfurt am Main. Die Daten werden also innerhalb der EU verarbeitet und gespeichert. Da DigitalOcean als Betreiber der Infrastruktur technisch Zugriff nehmen könnte, besteht mit DigitalOcean ein Auftragsverarbeitungsvertrag samt EU-Standardvertragsklauseln. Rechtsgrundlage ist deine Einwilligung bzw. die Vertragsanbahnung (Art. 6 Abs. 1 lit. a und lit. b DSGVO).
E-Mail-Versand (Brevo): Für den Versand von Transaktions-E-Mails (z. B. Bestätigungen und interne Benachrichtigungen aus den Formularen) nutzen wir den Dienst Brevo (Sendinblue GmbH, Köln, Deutschland). Dabei werden deine E-Mail-Adresse und die Inhalte der jeweiligen Nachricht in unserem Auftrag durch Brevo verarbeitet. Mit Brevo besteht ein Auftragsverarbeitungsvertrag; die Verarbeitung erfolgt innerhalb der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
Spam-Schutz (Cloudflare Turnstile): Zum Schutz unserer Formulare vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Beim Laden des Widgets wird eine Verbindung zu Cloudflare hergestellt und es werden technische Daten (u. a. IP-Adresse und Browser-Informationen) verarbeitet, um menschliche Nutzer von Bots zu unterscheiden. Turnstile setzt hierfür keine Tracking-Cookies. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Spam und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln.
Statistik (Google Analytics über den Google Tag Manager): Wir analysieren, wie unsere Website genutzt wird, um sie zu verbessern. Dabei werden Cookies gesetzt und Nutzungsdaten (z. B. IP-Adresse) verarbeitet. Das geschieht ausschließlich, wenn du im Cookie-Banner die Kategorie Statistik erlaubst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Ohne diese Einwilligung wird der Google Tag Manager gar nicht erst geladen, es geht also auch keine Verbindung zu Google.
Statistik (Contentsquare): Ebenfalls unter der Kategorie Statistik setzen wir Contentsquare ein (Content Square SAS, 7 rue de Madrid, 75008 Paris, Frankreich). Contentsquare zeigt uns, wie unsere Seiten tatsächlich benutzt werden: welche Bereiche gesehen werden, wo geklickt und gescrollt wird und an welcher Stelle jemand abbricht. Erfasst werden dafür Bewegungen von Maus oder Finger, Klicks, Scrollen und Zoom sowie technische Angaben zu Gerät und Browser.
Dazu gehört die Aufzeichnung von Sitzungen (Session Replay): Der Ablauf eines Besuchs lässt sich später als Wiedergabe ansehen. Was du in Formularfelder eintippst, wird dabei maskiert und nicht aufgezeichnet. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Erlaubst du Statistik nicht, wird der Google Tag Manager gar nicht geladen, und es geht auch keine Verbindung zu Contentsquare.
Contentsquare verarbeitet die Daten für uns als Auftragsverarbeiter (Art. 28 DSGVO); ein entsprechender Vertrag liegt vor. Für Kunden mit Sitz in der EU liegt das Rechenzentrum in der EU. Aufzeichnungen von Sitzungen werden nach einem Monat gelöscht, IP-Adressen nach drei Tagen, die übrigen Nutzungsdaten nach 13 Monaten.
Marketing (Meta-Pixel): Erlaubst du im Cookie-Banner die Kategorie Marketing, binden wir den Meta-Pixel ein (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland). Damit messen wir, ob unsere Werbung auf Instagram und Facebook wirkt, also ob jemand nach dem Klick auf eine Anzeige bei uns landet und sich anmeldet. Verarbeitet werden dabei unter anderem deine IP-Adresse, Angaben zu deinem Browser und Gerät, die aufgerufene Seite sowie eine Kennung, die in einem Cookie gespeichert wird. Rechtsgrundlage ist allein deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Erteilst du sie nicht, wird der Pixel nicht geladen.
Für die Erhebung dieser Daten und ihre Übermittlung an Meta sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO); dazu besteht eine Vereinbarung über gemeinsame Verantwortlichkeit. Was Meta anschließend mit den Daten macht, verantwortet Meta allein. Die Daten können dabei an die Meta Platforms, Inc. in den USA übermittelt werden; Grundlage dafür sind die EU-Standardvertragsklauseln und die Zertifizierung von Meta unter dem EU-US Data Privacy Framework. Näheres findest du in der Datenschutzrichtlinie von Meta.
Wo deine Entscheidung gespeichert wird. Damit wir dich nicht bei jedem Besuch erneut fragen, speichern wir deine Wahl in einem Cookie namens knuffel_cc. Es enthält, welche Kategorien du erlaubt hast, wann du entschieden und zuletzt geändert hast, welche Fassung unserer Hinweise du gesehen hast, und eine zufällige Kennung, mit der wir nachweisen können, dass eine Einwilligung vorliegt. Aus dieser Kennung lässt sich nicht ablesen, wer du bist. Das Cookie gilt für knuffel.app und für die App unter my.knuffel.app, deshalb musst du die Frage nur einmal beantworten. Es läuft nach sechs Monaten ab, danach fragen wir neu, ebenso, wenn sich an den Diensten etwas ändert. Dieses Cookie ist technisch notwendig, um deine Entscheidung umzusetzen, und wird deshalb auch dann gesetzt, wenn du alles ablehnst. Für die Abfrage nutzen wir die quelloffene Bibliothek CookieConsent. Sie wird von unserem eigenen Server ausgeliefert, dabei entsteht keine Verbindung zu Dritten.
Ausnahme für unser Team. Damit unsere eigenen Besuche die Statistik nicht verfälschen, können wir uns selbst vom Tracking ausnehmen. Dafür setzen wir auf unseren eigenen Geräten das Cookie knuffel_intern. Solange es vorhanden ist, werden keine Statistik- und Marketing-Dienste geladen. Es enthält keine personenbezogenen Daten und wird nur gesetzt, wenn jemand aus dem Team es ausdrücklich einschaltet.
Deine Einwilligung kannst du jederzeit ändern. Über den Link „Cookie-Einstellungen“ in der Fußzeile öffnest du den Banner erneut und kannst jede Kategorie einzeln an- oder abwählen, mit Wirkung für die Zukunft.
4. Datenverarbeitung in der App (my.knuffel.app)
Um unsere Dienstleistung erbringen zu können (Auftragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO), erheben wir in der App folgende Daten:
Für dein Konto: Deine E-Mail-Adresse. Mit ihr meldest du dich in der App an, du bekommst darüber den Anmeldecode und Nachrichten zu deinen Geschichten.
Für die Personalisierung: Foto und Name des Kuscheltiers, Vorname und Alter des Kindes, Themenwunsch. Diese Angaben bleiben in deiner Sammlung gespeichert, damit du ein Kuscheltier beim nächsten Buch wieder auswählen kannst, statt das Foto erneut hochzuladen. Gespeicherte Kuscheltiere kannst du in der App jederzeit ändern oder löschen.
Für die Abwicklung: Adressdaten für die Zustellung.
Zahlungsabwicklung: Die Zahlung erfolgt über den Dienstleister PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A.). Zur Abwicklung werden die erforderlichen Kauf- und Zahlungsdaten an PayPal übermittelt (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen findest du in der Datenschutzerklärung von PayPal.
5. Deine Rechte
Du hast jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit deiner gespeicherten personenbezogenen Daten.
Eine einmal erteilte Einwilligung (z. B. für unsere E-Mails oder Google Analytics) kannst du jederzeit formlos per E-Mail an hallo@knuffel.app mit Wirkung für die Zukunft widerrufen. Zudem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.