Datenschutzhinweise

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung personenbezogener Daten auf biosiva.de ist die IBS-Saxony UG (haftungsbeschränkt), Ringstraße 12, 01612 Nünchritz. Inhaltlich verantwortlich ist Andreas Gebel.

Bei Fragen zum Datenschutz, zur Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung oder zum Widerruf von Einwilligungen erreichen Sie uns unter info@ibs-saxony.com.

2. Grundsätze der Verarbeitung

BIOSIVA verarbeitet personenbezogene Daten nur, soweit dies für den jeweiligen Zweck erforderlich ist: zur Bereitstellung der Website, zur Bearbeitung von Anfragen, für Wartelisten, den Saisonbrief, die spätere Abo-Organisation, Community-Funktionen, Mitgliedschaften, Rechnungs- und Nachweispflichten sowie zur Sicherheit der Systeme.

Wir vermeiden die Verarbeitung besonderer Kategorien personenbezogener Daten. Bitte senden Sie über öffentliche Formulare keine Gesundheitsdaten, Zahlungsdaten, Ausweiskopien, vertraulichen Vertragsunterlagen oder sonstigen besonders sensiblen Informationen.

• Datenminimierung: Im ersten Schritt werden nur die notwendigen Angaben abgefragt.
• Zweckbindung: Marketing, Abo-Organisation, Community und Partnerübergabe werden getrennt betrachtet.
• Nachweisbarkeit: Einwilligungen, Double-Opt-in und wichtige Änderungen werden versioniert oder protokolliert.
• Zugriffsschutz: Personenbezogene Daten werden nur berechtigten Rollen bereitgestellt.

3. Website, Hosting und Serverlogs

Beim Aufruf von biosiva.de verarbeitet der technische Betrieb der Website Daten, die Ihr Browser automatisch übermittelt. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser- und Betriebssysteminformationen sowie technische Statusdaten gehören.

Diese Verarbeitung dient der Auslieferung der Website, der Stabilität, Fehleranalyse, Missbrauchsabwehr und IT-Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit Daten zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich sind, kann Art. 6 Abs. 1 lit. b DSGVO hinzutreten.

4. Kontaktformulare, Leads und Wartelisten

Wenn Sie ein Formular für Frischekiste, Privat-Warteliste, Partnerkontakt oder allgemeine Kontaktanfragen nutzen, verarbeiten wir die von Ihnen angegebenen Daten zur Bearbeitung Ihrer Anfrage. Dazu gehören insbesondere Name bzw. Name/Betrieb, E-Mail-Adresse, PLZ/Ort, angefragtes Angebot, Privat-/Team-Interesse, optionaler Rückrufwunsch, Herkunft der Anfrage, Kampagnencode, Kampagnenquelle, Medium, Motiv, Suchbegriff bzw. UTM-Parameter, Landingpage, Referrer und freiwillige Nachrichtentexte.

Die Verarbeitung erfolgt zur Bearbeitung der Anfrage, zur vorvertraglichen Kommunikation, zur Prüfung möglicher Liefercluster, zur Zuordnung passender Partner oder Angebote und zur Dokumentation der Einwilligung. Rechtsgrundlagen sind je nach Vorgang Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO und bei ausdrücklicher Einwilligung Art. 6 Abs. 1 lit. a DSGVO.

Bei bezahlten Anzeigen oder Kampagnenlinks können zusätzlich technische Klickkennungen der jeweiligen Plattform, etwa Google Ads-, Meta- oder Microsoft-Click-IDs, sowie interne Lead-Segmente und Conversion-Ereignisse verarbeitet werden. Diese Daten dienen der Bewertung, welche freiwilligen Anfragen durch konkrete Kampagnen ausgelöst wurden, und werden nicht als öffentliche Rohleads bereitgestellt.

Zur Missbrauchsabwehr und Nachweisbarkeit können IP-Adresse und User-Agent nur gehasht gespeichert werden. Der Klarwert soll nicht in operativen Tabellen abgelegt werden. QR-Codes auf Werbemitteln können anonym als Kampagnenaufruf gezählt werden; dabei werden keine Namen, E-Mail-Adressen, Telefonnummern oder Rohdaten wie IP-Adresse gespeichert.

5. Saisonbrief, Info-Mails und Double-Opt-in

Für Saisonbrief, Newsletter oder Info-Mails nutzen wir ein Double-Opt-in-Verfahren. Nach Anmeldung senden wir eine Bestätigungsmail. Erst nach Bestätigung wird die Anmeldung aktiv.

Verarbeitet werden E-Mail-Adresse, Zweck der Anmeldung, Quelle der Anmeldung, Datenschutztextversion, Status, Bestätigungszeitpunkt, Token-Hash sowie technische Nachweisdaten wie gehashte IP- und User-Agent-Werte. Rechtsgrundlage für werbliche E-Mails ist Art. 6 Abs. 1 lit. a DSGVO. Der Nachweis der Einwilligung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über einen Abmeldelink oder per E-Mail an info@ibs-saxony.com.

6. WhatsApp-Kommunikation und Gruppen

WhatsApp wird nur genutzt, wenn Sie dies ausdrücklich auswählen oder die Kommunikation selbst über WhatsApp beginnen. Ohne Einwilligung werden keine WhatsApp-Nachrichten zu Werbe- oder Infozwecken versendet.

Für 1:1-Rückfragen oder schnelle Liefer- und Saisoninfos verarbeiten wir Ihre Telefonnummer, den Anlass der Anfrage, den Einwilligungsstatus, die Einwilligungsversion und notwendige Kommunikationsnotizen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie unser berechtigtes Interesse an der Nachweisbarkeit und Bearbeitung der Anfrage nach Art. 6 Abs. 1 lit. f DSGVO.

Eine normale WhatsApp-Gruppe wird nur für aktive Pilot- oder Bestandskunden genutzt. Vor einer Gruppeneinladung wird gesondert darauf hingewiesen, dass Telefonnummern und Profilangaben innerhalb einer WhatsApp-Gruppe für andere Gruppenmitglieder sichtbar sein können. Interessenten erhalten stattdessen bevorzugt 1:1-Kommunikation oder einen Kanal ohne gegenseitige Sichtbarkeit.

• WhatsApp-Gruppen werden nicht für kalte Werbung oder ungefragte Broadcasts genutzt.
• Rückfragen können per Direktnachricht gestellt werden; die Gruppe soll möglichst admin-only und informationsorientiert bleiben.
• Ein Widerruf oder Austritt wird respektiert und als Werbewiderspruch bzw. Kommunikationssperre dokumentiert.

7. Community, Mitgliedschaft und Kundenkonto

BIOSIVA plant Community-, Kundenkonto-, Mitgliedschafts- und spätere Abo-Funktionen. Dabei können Stammdaten, Kontaktdaten, Rollen, Mitgliedschaftsstufe, Status, Abo-Rhythmus, Pausen, Liefer- oder Abholgebiet, Bestellhistorie, Rechnungsgrundlagen, Supportnotizen und Audit-Ereignisse verarbeitet werden.

Die Verarbeitung dient der Bereitstellung des Kundenkontos, der Community- und Mitgliedschaftsfunktionen, der Abo-Verwaltung, der Lieferplanung, der Kommunikation, der Abrechnung und der Missbrauchsabwehr. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Nachweis und Systembetrieb.

Öffentliche Community-Profile, Kommentare, Bewertungen, Social-Proof-Inhalte oder Referenzen werden nur freigeschaltet, wenn Zweck, Sichtbarkeit, Rechte, Moderation und Löschmöglichkeiten vorab klar geregelt sind.

• Mitgliedschaften und Kundenkonten werden nur für die jeweils beschriebenen Leistungen genutzt.
• Partner sehen nur Daten, die für zugeordnete Kunden, Lieferung, Kommissionierung, Reklamation oder Abrechnung erforderlich sind.
• Freitextfelder dürfen nicht für sensible Angaben wie Gesundheits-, Allergie- oder Zahlungsdaten genutzt werden.

8. Abos, Rechnungen und Zahlungen

Die Zahlungsabwicklung ist zum Stand dieser Hinweise zunächst als manuelle Abrechnung bzw. Rechnung vorgesehen. Dabei können rechnungsrelevante Kontakt-, Kunden-, Leistungs- und Vertragsdaten verarbeitet werden.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertrag und Abwicklung sowie Art. 6 Abs. 1 lit. c DSGVO für steuer- und handelsrechtliche Aufbewahrungspflichten.

Stripe, PayPal, SEPA-Dienstleister oder andere Zahlungsanbieter sind derzeit nicht aktiv eingebunden. Wenn ein Zahlungsdienstleister eingebunden wird, werden diese Datenschutzhinweise um Anbieter, Datenkategorien, Rechtsgrundlagen, Drittlandtransfer, AVV/DPA und Widerrufs- bzw. Kündigungsprozesse ergänzt.

9. Cookies, lokale Speicher und Consent

Die öffentliche Website soll ohne nicht notwendige Cookies nutzbar sein. Technisch notwendige Cookies oder lokale Speicher können eingesetzt werden, wenn sie für Sicherheit, Login, Warenkorb, Consent-Verwaltung oder die gewünschte Funktion zwingend erforderlich sind.

Für technisch nicht notwendige Cookies, volle Analyse, Marketing, Profilbildung, Session Recording oder Social-Media-Embeds holen wir vorab eine ausdrückliche Einwilligung ein. Rechtsgrundlage für den Zugriff auf Endgeräte ist dann § 25 Abs. 1 TDDDG und für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Technisch erforderliche Speicherungen stützen sich auf § 25 Abs. 2 TDDDG.

10. Google Search Console und Google Analytics 4

Google Search Console kann genutzt werden, um die Auffindbarkeit, Indexierung, technische Fehler und aggregierte Suchleistungsdaten von biosiva.de auszuwerten. Search Console setzt auf biosiva.de kein eigenes Tracking-Cookie für Besucherinnen und Besucher. Die Verifikation kann über DNS, Datei oder Meta-Tag erfolgen.

Google Analytics 4 ist so eingebunden, dass der Google-Tag nicht im initialen HTML geladen oder vorgeladen wird. Anbieter ist Google Ireland Limited. Ohne Ihre Einwilligung wird kein Script von www.googletagmanager.com für Google Analytics nachgeladen.

Erst wenn Sie Analytics erlauben, laden wir den Google-Tag, setzen analytics_storage auf granted und halten ad_storage, ad_user_data sowie ad_personalization auf denied. Dann können insbesondere Seitenaufrufe, Interaktionen, technische Browser- und Gerätedaten, ungefähre Region, Referrer, Kampagnenparameter und Zeitpunkte verarbeitet werden, um Reichweite, Nutzung und Funktion der Website auszuwerten.

Wir setzen Google Analytics nicht für personalisierte Werbung ein. Werbe- und Personalisierungsfreigaben bleiben technisch denied. Die Einwilligung wird lokal im Browser gespeichert und kann über die Cookie-Einstellungen widerrufen werden.

Die genaue Google-Analytics-Konfiguration, Advanced Consent Mode, Datenaufbewahrung, Datenfreigaben und Auftragsverarbeitung sollten vor dauerhaftem Betrieb anwaltlich und im Google-Konto geprüft werden.

11. Microsoft Clarity und Social Media

Microsoft Clarity ist in der technischen Planung als optionales Analysewerkzeug vorgesehen, wird aber nicht automatisch ohne wirksame Einwilligung geladen. Clarity kann bei Aktivierung Interaktionsdaten wie Klicks, Scrolls, Seitenaufrufe, technische Informationen und gekürzte oder anderweitig geschützte Identifikatoren verarbeiten. Session-Recording- oder Heatmap-Funktionen dürfen keine sensiblen Formularinhalte erfassen.

Social-Media-Präsenzen oder spätere Einbettungen von Instagram, Facebook, YouTube, TikTok, LinkedIn oder vergleichbaren Diensten werden auf der Website zunächst nur als einfache Links geplant. Externe Inhalte, Pixel, Like-Buttons, Feeds oder Tracking-Embeds werden erst nach Einwilligung geladen und vorher in diesen Hinweisen ergänzt.

Clarity wird nur nach Einwilligung aktiviert; Cookie-Verhalten, Maskierung und Datenübermittlung werden bei Aktivierung in diesen Hinweisen beschrieben.

12. Empfänger, Dienstleister und Auftragsverarbeiter

Personenbezogene Daten können an technische Dienstleister übermittelt werden, soweit dies für Betrieb, Speicherung, E-Mail-Versand, Support, Sicherheit oder Abrechnung erforderlich ist. Mit Auftragsverarbeitern werden, soweit erforderlich, Vereinbarungen nach Art. 28 DSGVO geschlossen.

Eine Weitergabe an regionale Partner erfolgt nur, wenn sie für die Bearbeitung Ihrer Anfrage, Lieferung, Abo-Organisation, Reklamation oder Abrechnung erforderlich ist oder Sie hierzu eingewilligt haben. Partner erhalten keine freien Zugriffe auf fremde Kunden- oder Interessentendaten.

13. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten bestehen. Danach werden Daten gelöscht, anonymisiert oder gesperrt.

Nicht bestätigte Double-Opt-in-Anmeldungen und abgelaufene Token werden regelmäßig gelöscht oder unbrauchbar gemacht. Anfrage- und Wartelistendaten werden gelöscht, wenn kein Bedarf mehr besteht, keine Kundenbeziehung entsteht und keine Nachweiszwecke entgegenstehen. Rechnungs- und Buchungsdaten können gesetzlichen Aufbewahrungspflichten unterliegen.

14. Ihre Rechte

Sie haben nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für Sachsen ist regelmäßig die Sächsische Datenschutz- und Transparenzbeauftragte zuständig, sofern keine andere Aufsichtsbehörde einschlägig ist.

15. Sicherheit und Änderungen

Wir treffen technische und organisatorische Maßnahmen, um personenbezogene Daten gegen unbefugten Zugriff, Verlust, Veränderung und Missbrauch zu schützen. Dazu gehören HTTPS, rollenbasierte Zugriffe, serverseitige Geheimnisse, Zugriffsbeschränkungen, Protokollierung kritischer Ereignisse und Datenminimierung.

Diese Datenschutzhinweise werden angepasst, wenn sich technische Umsetzung, Anbieter, Zwecke, Rechtsgrundlagen, Community-Funktionen, Zahlungsanbieter, Social-Media-Einbindungen oder gesetzliche Anforderungen ändern.

16. Rechts- und Informationsgrundlagen

Diese Quellen dienen als Grundlage für Einordnung, technische Umsetzung und regelmäßige Aktualisierung.

• DSGVO Art. 13: Informationspflichten bei Erhebung personenbezogener Daten.
• TDDDG § 25: Zugriff auf Endeinrichtungen, Cookies und vergleichbare Technologien.
• BfDI: Hinweise zu Cookies, Tracking-Technologien und Einwilligungs-Bannern.
• DSK: Orientierungshilfe zur Direktwerbung und Widerspruchsrechten.
• WhatsApp Business: Opt-in, Profil- und Opt-out-Anforderungen.
• Google: Search Console Daten, Google Analytics Cookies und Consent Mode.
• Microsoft: Clarity Consent Mode und Cookie-Verhalten.
• Supabase und ggf. Hostinganbieter: DPA/AVV, Subprozessoren und Drittlandtransfer.