Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist:
Einzelunternehmen Patrick Heidel · Kapivo
Kirsteinstraße 5, 55131 Mainz, Deutschland
E-Mail: Patrick.Heidel@kapivo.com

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Anfragen zum Datenschutz richten Sie bitte an die vorstehende E-Mail-Adresse.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website, unserer Inhalte und Leistungen erforderlich ist oder Sie in die Verarbeitung eingewilligt haben. Rechtsgrundlagen der Verarbeitung sind je nach Zweck insbesondere:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, z. B. Cookies, Newsletter, Werbetracking)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung und vorvertragliche Maßnahmen)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, z. B. Buchhaltung)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, z. B. IT-Sicherheit, Betrugsprävention, Direktwerbung an Bestandskunden)
• § 25 Abs. 1 TDDDG (Einwilligung für den Zugriff auf Informationen im Endgerät, z. B. nicht notwendige Cookies)
• § 25 Abs. 2 TDDDG (unbedingt erforderliche Cookies)

3. Hosting, Server-Logs und Bereitstellung der Website

Die Website wird auf Infrastruktur unserer Hosting- und Plattform-Dienstleister betrieben (u. a. Lovable Cloud / Supabase mit Rechenzentren in der EU sowie ggf. Content-Delivery-Netzwerke). Beim Aufruf der Website werden technisch notwendige Daten in Server-Logfiles gespeichert: IP-Adresse (i. d. R. gekürzt), Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer-URL, Browsertyp und -version, Betriebssystem, übertragene Datenmenge. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Stabilität, Sicherheit und Missbrauchsabwehr). Die Speicherung erfolgt in der Regel für maximal 30 Tage.

4. Cookies, Local Storage und Consent-Management

Wir setzen Cookies und vergleichbare Technologien (Local Storage, Session Storage, Pixel, Fingerprinting-ähnliche Verfahren) ein. Technisch notwendige Cookies (z. B. Login, Warenkorb, Consent-Speicher) werden auf Grundlage von § 25 Abs. 2 TDDDG bzw. Art. 6 Abs. 1 lit. b/f DSGVO gesetzt. Alle nicht notwendigen Cookies und Tracking- Technologien (insbesondere Marketing, Analyse, Retargeting, Google Ads, Meta Ads, TikTok Ads, LinkedIn Insight Tag) werden ausschließlich auf Grundlage Ihrer Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO gesetzt. Die Einwilligung erfolgt über unser Consent-Banner und kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Link „Cookie-Einstellungen" im Footer).

5. Kundenkonto, Bestellabwicklung und Zahlungsdienstleister

Zur Abwicklung von Bestellungen verarbeiten wir insbesondere Name, E-Mail, Rechnungs-/Lieferadresse, Bestellinhalt, Zahlungsdaten und IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten, i. d. R. 6 bzw. 10 Jahre gem. § 257 HGB, § 147 AO).

Für die Zahlungsabwicklung nutzen wir externe Zahlungsdienstleister, insbesondere Stripe Payments Europe, Ltd. (Dublin, Irland; ggf. Übermittlung an Stripe Inc. in die USA auf Grundlage der EU-Standardvertragsklauseln und ergänzender Maßnahmen sowie des EU-US Data Privacy Framework), sowie ggf. PayPal, Klarna, Apple Pay, Google Pay und SEPA-Anbieter. Die Zahlungsdaten (z. B. Kartendaten) werden direkt an den jeweiligen Zahlungsdienstleister übermittelt und dort verarbeitet; wir speichern keine vollständigen Zahlungsmitteldaten.

6. Newsletter, E-Mail-Marketing und Marketing-Automatisierung

Wenn Sie sich für unseren Newsletter (z. B. „Marktimpulse") anmelden, verarbeiten wir Ihre E-Mail-Adresse und ggf. weitere freiwillig angegebene Daten (z. B. Name, Interessen, Klick- und Öffnungsverhalten). Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail, in der Sie die Anmeldung durch Klick auf einen Link bestätigen. Erst danach nehmen wir Sie in den Newsletter-Verteiler auf. Wir protokollieren Anmelde- und Bestätigungszeitpunkt sowie IP-Adresse zum Nachweis der Einwilligung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. bei Bestandskunden für Direktwerbung für eigene ähnliche Produkte § 7 Abs. 3 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an Patrick.Heidel@kapivo.com abbestellen.

Zur Zustellung von Auftragsbestätigungen, Rechnungen, Kundenbereichs-Zugängen, Erinnerungen und Newsletter-Kampagnen setzen wir E-Mail-Versand- und Marketing-Automation-Dienste ein (z. B. Lovable Emails / Resend, ggf. Postmark, Brevo, ActiveCampaign, Mailchimp oder vergleichbare Anbieter). Diese verarbeiten in unserem Auftrag Ihre E-Mail-Adresse, Zustell- und Interaktionsdaten (Öffnungen, Klicks, Bounces). Wir haben mit den Dienstleistern Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen. Bei Anbietern mit US-Konzernbezug erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

Im Rahmen von Marketing-Automatisierungen können wir E-Mails ereignis- oder verhaltensbasiert versenden (z. B. Warenkorbabbruch-Mails, Reaktivierungsmails, Onboarding-Serien, Segmentierung nach Interessen und Käufen). Hierbei können auch Tracking-Pixel und Klick-Tracking in E-Mails eingesetzt werden. Sofern eine Einwilligung erforderlich ist, erfolgt der Einsatz auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

7. Webanalyse

Zur Reichweitenmessung und Optimierung unserer Website setzen wir Analyse-Dienste ein (z. B. Google Analytics 4 der Google Ireland Ltd., ggf. Google LLC, USA; alternativ oder ergänzend Plausible, Matomo, PostHog o. Ä.). Verarbeitet werden insbesondere gekürzte IP-Adresse, Geräte- und Browserinformationen, aufgerufene Seiten, Verweildauer, Referrer sowie pseudonyme Nutzer-IDs. Der Einsatz nicht notwendiger Analyse-Tools erfolgt ausschließlich nach Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Bei Google-Diensten werden IP-Anonymisierung und ggf. Consent Mode v2 eingesetzt; eine Übermittlung in die USA kann stattfinden (Rechtsgrundlage: EU-Standardvertragsklauseln, EU-US Data Privacy Framework).

8. Google Ads, Google Tag Manager, Conversion-Tracking und Remarketing

Wir nutzen Dienste der Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Mutterkonzern: Google LLC, USA), insbesondere Google Ads, Google Tag Manager, Google Conversion-Tracking, Google Remarketing / Dynamic Remarketing sowie Google Signals. Beim Aufruf unserer Website oder nach Klick auf eine Google-Anzeige können Cookies bzw. vergleichbare Technologien auf Ihrem Endgerät gespeichert werden, die Google eine Wiedererkennung Ihres Browsers ermöglichen. So wird gemessen, welche Anzeigen zu Interaktionen oder Käufen geführt haben (Conversion-Tracking), und Ihnen können auf anderen Websites im Google-Werbenetzwerk (z. B. YouTube, Google-Suche, Display-Partner) interessenbezogene Werbeanzeigen ausgespielt werden (Remarketing).

Übermittelt werden u. a. Cookie-IDs, Klick-IDs (GCLID), IP-Adresse, User-Agent, Referrer, Zeitstempel und Conversion-Events. Bei eingeloggten Google-Nutzern kann Google diese Informationen mit dem Google-Konto verknüpfen. Wir setzen ggf. auch das Enhanced Conversions-Verfahren ein, bei dem gehashte Kundendaten (z. B. gehashte E-Mail-Adresse) an Google übermittelt werden, um Conversion-Messungen zu verbessern.

Rechtsgrundlage ist ausschließlich Ihre Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework. Weitere Informationen: policies.google.com/privacy. Widerruf jederzeit möglich über die Cookie-Einstellungen sowie Werbeeinstellungen unter adssettings.google.com.

9. Meta Ads (Facebook / Instagram), Meta-Pixel und Conversions-API

Wir nutzen Werbe- und Analysedienste der Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland (Mutterkonzern: Meta Platforms, Inc., USA), insbesondere den Meta-Pixel, die Conversions-API (CAPI), Custom Audiences, Lookalike Audiences und Retargeting für Facebook und Instagram.

Über den Meta-Pixel werden Informationen zu Ihrem Besuch (z. B. besuchte Seiten, Klicks, Käufe, Warenkorb-Ereignisse, Geräte- und Browserinformationen, IP-Adresse, Cookie-IDs, ggf. Facebook-Click-ID (fbclid) und Facebook-Browser-ID (fbp)) an Meta übermittelt. Über die Conversions-API übermitteln wir zusätzlich serverseitig Ereignisdaten, ggf. angereichert um gehashte Kundendaten (z. B. gehashte E-Mail-Adresse, Telefonnummer) zum Zweck des sogenannten Advanced Matching. Meta verwendet diese Daten, um Ihnen bei Facebook und Instagram interessenbezogene Werbung anzuzeigen und um die Wirksamkeit unserer Anzeigen zu messen. Zwischen uns und Meta besteht eine gemeinsame Verantwortlichkeit gem. Art. 26 DSGVO für die Datenerhebung auf unserer Website; die Weiterverarbeitung durch Meta erfolgt in alleiniger Verantwortung von Meta.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework. Widerruf jederzeit über unsere Cookie-Einstellungen sowie in den Werbeeinstellungen Ihres Meta-Kontos.

10. Weitere Werbe- und Tracking-Netzwerke

Je nach Kampagne setzen wir ergänzend Werbetechnologien weiterer Anbieter ein, insbesondere:

• TikTok Ads / TikTok Pixel (TikTok Technology Ltd., Irland; TikTok Ltd., USA/China) – Conversion-Tracking und Retargeting.
• LinkedIn Insight Tag / LinkedIn Ads (LinkedIn Ireland Unlimited Company, Irland) – Conversion-Tracking und zielgruppenbasierte Werbung.
• Microsoft Advertising (Bing Ads) UET Tag(Microsoft Ireland Operations Ltd.) – Conversion- und Retargeting-Tracking.
• Pinterest Tag, X/Twitter Ads, YouTube-Conversion-Tracking sowie ggf. weitere Netzwerke.

Diese Dienste werden ebenfalls nur mit Ihrer Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO aktiviert. Bei Anbietern außerhalb der EU/EWR erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO) und, sofern verfügbar, Angemessenheitsbeschlüssen.

11. Eingebettete Inhalte, Fonts und CDN

Auf unserer Website können Inhalte Dritter eingebunden sein (z. B. YouTube-Videos, Vimeo, Instagram-, TikTok- und LinkedIn-Embeds, Google Maps, Trustpilot). Beim Aufruf solcher Inhalte wird eine Verbindung zu den Servern des jeweiligen Anbieters aufgebaut, wobei mindestens Ihre IP-Adresse übermittelt wird. Wir binden diese Inhalte nach Möglichkeit erst nach Einwilligung oder im datenschutzfreundlichen Modus ein. Schriften und statische Assets werden über Content-Delivery-Netzwerke (z. B. Google Fonts, Cloudflare, Vercel Edge Network) bereitgestellt; Google Fonts werden nach Möglichkeit lokal ausgeliefert.

12. Server-Side Tracking, Consent Mode und Datenanreicherung

Wir setzen ggf. serverseitiges Tracking (Server-Side Tag Manager, Conversions-API-Gateways) sowie Google Consent Mode v2 ein, um Consent-Signale konsistent an eingesetzte Tools zu übermitteln. Dabei können Ereignisdaten zunächst an einen von uns bzw. unserem Auftragsverarbeiter betriebenen Endpunkt in der EU gesendet und von dort , unter Beachtung der Einwilligung , an die jeweiligen Empfänger weitergeleitet werden. Ohne Einwilligung werden nur pseudonymisierte Signale (Consent Mode – „denied") ohne personenbezogene Identifier übermittelt.

13. Kontaktformular und Kommunikation

Bei Kontaktaufnahme per Formular, E-Mail oder Messenger verarbeiten wir die von Ihnen mitgeteilten Angaben (z. B. Name, E-Mail, Betreff, Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich/vertraglich) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

14. Social-Media-Profile

Wir betreiben Präsenzen auf sozialen Netzwerken (Instagram, Facebook, LinkedIn, TikTok, YouTube, X/Twitter). Für die Datenverarbeitung durch diese Plattformen selbst sind die jeweiligen Anbieter mitverantwortlich (Art. 26 DSGVO); Details entnehmen Sie bitte den Datenschutzerklärungen der Betreiber. Wir verarbeiten Interaktionsdaten (Kommentare, Direktnachrichten, Follower-Statistiken) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Öffentlichkeitsarbeit und Kundenkommunikation).

15. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden an folgende Kategorien von Empfängern übermittelt: Hosting- und Datenbankdienstleister, Zahlungsdienstleister, E-Mail- und Marketing-Automation-Anbieter, Werbe- und Analysenetzwerke (Google, Meta, TikTok, LinkedIn, Microsoft), Steuerberater, IT-Dienstleister, ggf. Anwälte und Behörden bei gesetzlicher Verpflichtung. Mit allen Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen.

16. Übermittlungen in Drittländer

Einige der eingesetzten Dienste (insbesondere Google, Meta, Microsoft, TikTok, Stripe) verarbeiten Daten auch außerhalb des EWR, insbesondere in den USA. Ein angemessenes Datenschutzniveau wird durch EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), zusätzliche technische und organisatorische Maßnahmen und , wo einschlägig , den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework hergestellt. Sie können eine Kopie der getroffenen Garantien bei uns anfordern.

17. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. 6 Jahre nach § 257 HGB, 10 Jahre nach § 147 AO) bestehen. Nach Zweckfortfall werden die Daten gelöscht oder anonymisiert.

18. Automatisierte Entscheidungsfindung und Profiling

Zur Ausspielung personalisierter Werbeanzeigen und E-Mails verwenden wir ggf. profilbildende Verfahren (z. B. interessenbasierte Werbung, Warenkorbabbruch-Automationen, Segmentierung nach Kaufverhalten). Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO findet nicht statt.

19. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Vorschriften folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen sowie gegen Direktwerbung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz

Anfragen richten Sie bitte an Patrick.Heidel@kapivo.com.

20. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen Manipulation, Verlust, Zerstörung und Zugriff Unbefugter zu schützen (u. a. TLS-Verschlüsselung, Zugriffskontrollen, rollenbasierte Rechte, Row-Level-Security in der Datenbank, regelmäßige Updates). Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der von uns durchgeführten Datenverarbeitungen dies erforderlich machen (z. B. neue Dienste, geänderte Rechtslage). Die jeweils aktuelle Fassung finden Sie auf dieser Seite.