Datenschutzerklärung

Verantwortlicher

Wir verarbeiten deine personenbezogenen Daten ausschließlich auf Grundlage der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG). Hier erfährst du, welche Daten wir beim Besuch unserer Website und beim Einkauf in unserem Online-Shop verarbeiten, wozu, auf welcher Rechtsgrundlage, wie lange – und welche Rechte du hast.

Verantwortlich für die Datenverarbeitung: Granola Love e.U., Inhaberin Julia Buzetzki, Untere Hauptstrasse 54, 7041 Wulkaprodersdorf, Österreich
E-Mail: info@granolalove.at · Telefon: +43 676 6744356

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu bestellen. Bei Fragen zum Datenschutz erreichst du uns jederzeit unter info@granolalove.at.

1. Hosting und Server-Logfiles

Unsere Website wird bei Raidboxes GmbH (Hafenstraße 32, 48153 Münster, Deutschland) gehostet. Domain und E-Mail-Postfächer betreiben wir über World4You Internet Services GmbH (Österreich). Mit beiden Anbietern besteht ein Auftragsverarbeitungsvertrag; die Daten werden in der EU verarbeitet.

Bei jedem Aufruf unserer Website werden automatisch technische Daten erfasst: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browsertyp und Betriebssystem. Wir brauchen diese Daten, um die Website auszuliefern, ihre Sicherheit zu gewährleisten und Angriffe abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb)
Speicherdauer: Server-Logfiles werden nach kurzer Zeit automatisch gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

2. Cookies und Einwilligungsmanagement

Cookies sind kleine Textdateien, die dein Browser speichert. Technisch notwendige Cookies (z. B. Warenkorb, Login, deine Cookie-Auswahl) setzen wir ohne Einwilligung, weil der Shop sonst nicht funktioniert (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. b und f DSGVO). Alle anderen Cookies und Dienste – etwa Statistik, Werbe-Messung oder externe Medien – laden wir erst, wenn du im Cookie-Banner zustimmst (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO).

Für die Verwaltung deiner Einwilligungen nutzen wir Borlabs Cookie (Borlabs GmbH, Hamburg, Deutschland). Das Plugin läuft auf unserem eigenen Server; es werden keine Daten an Borlabs übermittelt. Gespeichert werden deine Auswahl, eine zufällige Kennung und der Zeitpunkt – als Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO).

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern – über den Link „Cookie-Einstellungen“ im Footer. Das Borlabs-Cookie wird nach 12 Monaten gelöscht, danach fragen wir erneut.

3. Online-Shop, Kundenkonto und Treuepunkte

Wenn du bei uns bestellst, verarbeiten wir die Daten, die du im Bestellprozess eingibst: Name, Rechnungs- und Lieferadresse, E-Mail-Adresse, optional Telefonnummer, bestellte Produkte, Bestellnummer sowie Zahlungs- und Versandart. Ohne diese Angaben können wir deine Bestellung nicht abwickeln. Unser Shop läuft auf WordPress mit WooCommerce auf unserem eigenen Server.

Kundenkonto: Du kannst freiwillig ein Kundenkonto anlegen. Dort speichern wir zusätzlich deine Login-Daten (Benutzername, verschlüsseltes Passwort) und deine Bestellhistorie. Du kannst als Gast bestellen und dein Konto jederzeit löschen lassen – eine kurze Nachricht an info@granolalove.at genügt.

Treuepunkte: Mit Kundenkonto sammelst du bei Bestellungen Treuepunkte. Dafür speichern wir deinen Punktestand und die Punktebewegungen (z. B. gesammelt, eingelöst, abgelaufen) mit dem Plugin YITH WooCommerce Points and Rewards auf unserem eigenen Server; es werden keine Daten an Dritte übermittelt.

Bestellungen auf Märkten und über Partner: Kaufst du direkt an unserem Marktstand, verarbeiten wir nur Daten, die für die Zahlung nötig sind (z. B. bei Kartenzahlung über unser Kartenterminal von SumUp (SumUp Limited, Dublin, Irland)).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, inkl. Treuepunkte-Programm); Aufbewahrung der Rechnungsdaten nach Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht)
Speicherdauer: Rechnungs- und Buchhaltungsdaten 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO). Kundenkonten und Punktestände bleiben bestehen, bis du sie löschst oder ihre Löschung verlangst.

4. Zahlungsabwicklung

Je nach gewählter Zahlungsart geben wir die für die Zahlung nötigen Daten (Name, Rechnungsadresse, E-Mail, Betrag, Bestellnummer) an den jeweiligen Zahlungsdienstleister weiter. Deine Karten- oder Kontodaten gibst du direkt beim Zahlungsdienstleister ein – wir sehen sie nicht.

Zahlungsart	Anbieter	Sitz
Kreditkarte, Apple Pay, Google Pay (im Checkout)	Stripe Payments Europe Ltd.	Dublin, Irland
Klarna	Klarna Bank AB (publ), eingebunden über Stripe	Stockholm, Schweden
PayPal	PayPal (Europe) S.à r.l. et Cie, S.C.A.	Luxemburg
Überweisung	keine Weitergabe an Dritte	–

Stripe, Klarna und PayPal sind für die Zahlungsabwicklung eigenständige Verantwortliche und unterliegen eigenen Pflichten (z. B. Geldwäsche- und Betrugsprävention). Bei Rechnungs- oder Ratenkauf über Klarna kann Klarna eine Bonitätsprüfung durchführen; Details findest du in den Datenschutzhinweisen von Klarna, die dir beim Bezahlvorgang angezeigt werden. Stripe und PayPal können Daten auch an Konzerngesellschaften in den USA übermitteln (siehe Abschnitt 12).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO
Speicherdauer: wie Bestelldaten (Abschnitt 3)

5. Versand und Sendungsverfolgung

Wir versenden mit der Österreichischen Post AG, Rochusplatz 1, 1030 Wien. Damit dein Paket ankommt, übermitteln wir ihr Name und Lieferadresse. Bei persönlicher Lieferung durch uns oder Abholung geben wir keine Daten an Dritte weiter.

Deine E-Mail-Adresse und ggf. Telefonnummer geben wir an den Versanddienstleister weiter, damit er dich über den Zustelltermin informieren kann. Das hilft, Fehlzustellungen zu vermeiden (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen.

Für Versandetiketten, Sendungsverfolgung und Versandbenachrichtigungen nutzen wir Sendcloud der Sendcloud B.V., Stadhuisplein 10, 5611 EM Eindhoven, Niederlande, als Auftragsverarbeiter. Dafür übermitteln wir Bestellnummer, Name, Lieferadresse, E-Mail-Adresse, ggf. Telefonnummer und Paketgewicht. Sendcloud erstellt das Versandetikett, gibt die Daten an den Versanddienstleister weiter und informiert dich per E-Mail über den Sendungsstatus. Die Daten werden in der EU verarbeitet; setzt Sendcloud Unterauftragnehmer außerhalb der EU ein, geschieht das auf Basis von Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Zustellbenachrichtigung Art. 6 Abs. 1 lit. f DSGVO
Speicherdauer: Versanddaten bei Sendcloud speichern wir, solange wir sie für Versand, Reklamationen und gesetzliche Pflichten benötigen; danach werden sie gelöscht. Bei uns gelten die Fristen aus Abschnitt 3.

6. Online-Widerruf („Vertrag widerrufen“)

Über die Seite „Vertrag widerrufen“ kannst du einen Kaufvertrag direkt online widerrufen – als Kundin oder Kunde in deinem Konto oder als Gast. Dafür verarbeiten wir deine Bestellnummer, deinen Namen, deine E-Mail-Adresse, die betroffenen Produkte, optional einen Grund sowie Datum und Uhrzeit des Widerrufs. Du erhältst eine Eingangsbestätigung per E-Mail.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Abwicklung des Widerrufs, gesetzliche Pflicht zur Bereitstellung einer Widerrufsfunktion)
Speicherdauer: zusammen mit den Bestelldaten (Abschnitt 3), mindestens bis zum Ablauf der Gewährleistungs- und Verjährungsfristen.

7. Kontaktaufnahme und Formulare

Wenn du uns per E-Mail, Telefon oder über eines unserer Formulare kontaktierst (Kontakt, „Partner werden“, Firmengeschenke), verarbeiten wir die Daten, die du angibst – in der Regel Name, E-Mail-Adresse, ggf. Firma und Telefonnummer sowie deine Nachricht. Die Formulare laufen über Ninja Forms auf unserem eigenen Server; Einsendungen erreichen uns per E-Mail.

Spamschutz: Zum Schutz vor Spam nutzen wir in unseren Formularen ausschließlich Mechanismen, die auf unserem eigenen Server laufen (ein unsichtbares Prüffeld und ggf. eine einfache Kontrollfrage). Dabei werden keine Daten an Dritte übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage einen Vertrag betrifft (z. B. Bestellung, Firmengeschenke, Partnerschaft); sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung deiner Anfrage)
Speicherdauer: Wir löschen Anfragen, sobald sie erledigt sind, spätestens nach 12 Monaten – es sei denn, daraus entsteht ein Vertrag oder gesetzliche Aufbewahrungsfristen gelten.

8. Newsletter und Black-Friday-Early-Access (Brevo)

Mit unserem Newsletter erfährst du von neuen Sorten, Rezepten und Aktionen; als Dankeschön für deine Anmeldung erhältst du einen einmaligen 5-%-Gutschein. Für die Anmeldung brauchen wir deine E-Mail-Adresse und deinen Vornamen (für die persönliche Anrede). Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Du bekommst eine E-Mail mit einem Bestätigungslink, erst danach bist du eingetragen. Wir speichern Zeitpunkt der Anmeldung und Bestätigung sowie deine IP-Adresse als Nachweis.

Willkommensgutschein: Nach deiner Bestätigung erzeugt unser Shop einen persönlichen, einmal einlösbaren Gutscheincode und speichert ihn zusammen mit deiner E-Mail-Adresse in unserem Shop und als Merkmal deines Kontakts bei Brevo, damit wir ihn dir in der Willkommensmail schicken können.

Black-Friday-Early-Access: Für unsere Black-Friday-Aktion führen wir eine eigene Liste. Trägst du dich dort ein (ebenfalls mit Double-Opt-in), schicken wir dir den Early-Access-Code und Informationen zur Aktion. Wie bei der Anmeldung angegeben, bekommst du nach Ende der Aktion unseren Newsletter. Abmelden kannst du dich jederzeit.

Für den Versand nutzen wir Brevo der Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland, als Auftragsverarbeiter. Brevo wertet für uns aus, ob ein Newsletter geöffnet und welche Links angeklickt wurden. So sehen wir, welche Inhalte dich interessieren. Diese Auswertung ist Teil deiner Newsletter-Einwilligung.

Du kannst den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an info@granolalove.at abbestellen.

Anmeldung im Checkout: Du kannst den Newsletter auch beim Bestellen über eine Checkbox abonnieren. Auch hier gilt das Double-Opt-in: Erst nach Klick auf den Bestätigungslink bist du eingetragen.

Kundendaten in Brevo: Wir nutzen Brevo zusätzlich als zentrale Kundenverwaltung. Dafür werden bei jeder Bestellung Name, E-Mail-Adresse, Adresse sowie Bestelldaten (z. B. gekaufte Produkte, Bestellwert, Bestelldatum) aller Kundinnen und Kunden an Brevo übertragen – über das Plugin „Brevo for WooCommerce“. Newsletter erhalten aber nur Kontakte, die ihn ausdrücklich abonniert haben; alle anderen werden in Brevo ohne Newsletter-Status geführt. Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen Kundenverwaltung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung jederzeit widersprechen; wir löschen deinen Kontakt dann in Brevo, soweit keine Aufbewahrungspflichten bestehen.

Website-Tracking durch Brevo: Nur wenn du im Cookie-Banner der Kategorie „Marketing“ zustimmst, lädt Brevo ein Tracking-Script. Damit können wir sehen, welche Seiten und Produkte sich Newsletter-Abonnentinnen und -Abonnenten ansehen, um Inhalte passender zu gestalten (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Ohne Zustimmung wird das Script nicht geladen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 174 TKG 2021 (Einwilligung); Nachweis der Einwilligung Art. 6 Abs. 1 lit. c und f DSGVO
Speicherdauer: bis zur Abmeldung. Danach speichern wir deine E-Mail-Adresse bis zu 3 Jahre in einer Sperrliste, um die frühere Einwilligung nachweisen zu können und dich nicht erneut anzuschreiben. Gutscheincodes löschen wir nach Einlösung bzw. Ablauf, soweit keine Aufbewahrungspflichten bestehen.

9. Google Analytics

Wenn du zustimmst, nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit sehen wir, wie unsere Website genutzt wird – etwa welche Seiten beliebt sind und wo Besucherinnen und Besucher abspringen – und können Shop und Inhalte verbessern.

Google Analytics setzt Cookies und verarbeitet Nutzungsdaten (aufgerufene Seiten, Verweildauer, Klicks, Käufe), Geräte- und Browserinformationen sowie den ungefähren Standort. Google Analytics 4 speichert keine vollständigen IP-Adressen; sie werden nur kurzzeitig zur Standortbestimmung genutzt und danach verworfen. Daten können an Google LLC in den USA übermittelt werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Die Datenverarbeitungsbedingungen von Google sind Teil unseres Vertrags mit Google. Google Signals und Werbefunktionen haben wir deaktiviert; deine Daten werden nicht mit Google-Konten verknüpft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021 (Einwilligung über das Cookie-Banner)
Speicherdauer: Nutzungsdaten werden 14 Monate nach deinem letzten Besuch automatisch gelöscht; die Cookies laufen nach maximal 24 Monaten ab. Du kannst deine Einwilligung jederzeit in den Cookie-Einstellungen widerrufen.

10. Meta-Pixel und Werbung auf Facebook und Instagram

Wir schalten Werbeanzeigen auf Facebook und Instagram. Um zu messen, wie gut diese Anzeigen funktionieren, und um sie Menschen zu zeigen, die unseren Shop bereits besucht haben, nutzen wir – nur wenn du im Cookie-Banner der Kategorie „Marketing“ zustimmst – das Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland.

Das Meta-Pixel setzt ein Cookie und übermittelt an Meta, welche Seiten du bei uns aufrufst und welche Aktionen du ausführst (z. B. Produkt angesehen, in den Warenkorb gelegt, Kauf abgeschlossen, mit Bestellwert), zusammen mit technischen Daten wie IP-Adresse, Browser und Gerät. Bist du bei Facebook oder Instagram angemeldet, kann Meta diese Daten deinem Konto zuordnen. Wir selbst sehen nur zusammengefasste Statistiken und können keine einzelnen Personen erkennen.

Für die Erhebung und Übermittlung der Daten über das Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die weitere Verarbeitung erfolgt in der Verantwortung von Meta. Meta kann Daten an Meta Platforms Inc. in den USA übermitteln; Meta ist nach dem EU-US Data Privacy Framework zertifiziert. Wie Meta deine Daten verwendet und wie du Werbeeinstellungen änderst, erfährst du in der Datenschutzrichtlinie von Meta.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021 (Einwilligung über das Cookie-Banner)
Speicherdauer: Das Pixel-Cookie läuft nach spätestens 3 Monaten ab. Du kannst deine Einwilligung jederzeit in den Cookie-Einstellungen widerrufen.

11. Social Media, System-E-Mails und weitere Technik

Social-Media-Profile: Wir sind auf Facebook, Instagram und LinkedIn vertreten. Auf unserer Website verlinken wir diese Profile nur mit einfachen Links – beim bloßen Besuch unserer Seite werden dadurch keine Daten an die Netzwerke übertragen. Erst wenn du einen Link anklickst, gelten die Datenschutzbestimmungen des jeweiligen Netzwerks. Für unsere Facebook- und Instagram-Seiten sind wir gemeinsam mit der Meta Platforms Ireland Ltd. verantwortlich (Art. 26 DSGVO); Meta stellt uns anonymisierte Statistiken zur Nutzung bereit. Deine Rechte kannst du bei uns oder direkt bei Meta geltend machen.

System-E-Mails: Bestellbestätigungen, Versandinfos und Passwort-Links versenden wir über unser eigenes E-Mail-Postfach bei World4You (Plugin WP Mail SMTP Pro). Dabei werden keine Daten an weitere Dienste übermittelt (Art. 6 Abs. 1 lit. b DSGVO).

Weitere Plugins: Für Geschwindigkeit, Suche und Darstellung nutzen wir u. a. WP Rocket (Caching), FiboSearch (Produktsuche) und Boxzilla (Pop-ups, z. B. für die Newsletter-Anmeldung). Diese Plugins laufen auf unserem eigenen Server und übertragen keine personenbezogenen Daten an Dritte. Schriftarten (Google Fonts) binden wir lokal ein – beim Seitenaufruf wird keine Verbindung zu Google-Servern hergestellt (Art. 6 Abs. 1 lit. f DSGVO).

Produktbewertungen: Du kannst gekaufte Produkte über die Bewertungsfunktion von WooCommerce bewerten. Dabei speichern wir Name, E-Mail-Adresse, Sternebewertung, deinen Text und den Zeitpunkt. Veröffentlicht werden nur Name (bzw. das Pseudonym, das du angibst), Bewertung und Text – deine E-Mail-Adresse nie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (du entscheidest freiwillig, eine Bewertung abzugeben). Bewertungen bleiben online, bis du ihre Löschung verlangst.

Geschenkgutscheine: Für digitale Gutscheine nutzen wir das Plugin YITH WooCommerce Gift Cards auf unserem eigenen Server. Verschenkst du einen Gutschein, verarbeiten wir zusätzlich Name und E-Mail-Adresse der beschenkten Person sowie deine persönliche Nachricht, um den Gutschein zuzustellen (Art. 6 Abs. 1 lit. b DSGVO). Bitte gib diese Daten nur weiter, wenn die beschenkte Person damit rechnen kann. Gutscheindaten speichern wir bis zum Ablauf der Gültigkeit, Rechnungsdaten nach Abschnitt 3.

12. Empfänger, Drittlandübermittlung und Speicherdauer

Empfänger: Wir geben deine Daten nur weiter, wenn es für die genannten Zwecke nötig ist – an die oben genannten Dienstleister sowie an unsere Steuerberatung (für Buchhaltung und Steuererklärung, Art. 6 Abs. 1 lit. c DSGVO). Wir verkaufen keine Daten.

Übermittlung in Drittländer: Einige Dienstleister sitzen außerhalb der EU oder nutzen dort Server, vor allem in den USA. Eine Übermittlung erfolgt nur, wenn ein angemessenes Datenschutzniveau gesichert ist: durch den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (für zertifizierte Unternehmen wie Google, Meta, Stripe und PayPal) oder durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer im Überblick: Grundsätzlich löschen wir Daten, sobald sie für ihren Zweck nicht mehr gebraucht werden. Die konkreten Fristen stehen bei den einzelnen Abschnitten; die wichtigsten:

Daten	Frist
Rechnungen, Buchhaltung	7 Jahre (§ 132 BAO)
Gewährleistungsrelevante Bestelldaten	bis zu 3 Jahre nach Lieferung (Verjährung, § 1489 ABGB)
Newsletter-Abmeldung (Sperrliste)	bis zu 3 Jahre
Kontaktanfragen	max. 12 Monate nach Erledigung
Server-Logfiles	kurzfristig, automatische Löschung durch den Hoster

Keine automatisierte Entscheidungsfindung: Wir treffen keine Entscheidungen, die ausschließlich automatisiert erfolgen und dich erheblich beeinträchtigen (Art. 22 DSGVO). Eine Bonitätsprüfung durch Klarna erfolgt eigenverantwortlich durch Klarna.

13. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über die Daten, die wir über dich speichern (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Gegen Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

Für alle Anliegen genügt eine formlose Nachricht an info@granolalove.at. Wir antworten innerhalb eines Monats.

Beschwerderecht: Wenn du meinst, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at. Wir freuen uns aber, wenn du dich zuerst an uns wendest.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unsere Dienste oder die Rechtslage ändern. Es gilt jeweils die hier veröffentlichte Fassung.