Skip to main content

Datenschutzerklärung

Stand: 30. Oktober 2026

Wir freuen uns, dass du unseren Online-Shop besuchst. Der Schutz deiner persönlichen Daten ist uns wichtig. Mit dieser Datenschutzerklärung informieren wir dich nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn du unseren Shop unter tarabao.bio nutzt, bei uns bestellst, ein Kundenkonto anlegst, unseren Newsletter abonnierst oder mit uns Kontakt aufnimmst – und welche Rechte du hast.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Bio.Fair.Direkt. GmbH
Eichenstraße 1
95233 Helmbrechts
Deutschland

Vertreten durch die Geschäftsführer Bálint Széll und Carsten Tschense
Telefon: 089 / 24 88 31 67
E-Mail: support@tarabao.bio

Registergericht: Amtsgericht Hof, HRB 7351
Umsatzsteuer-Identifikationsnummer: DE308999336

Bei allen Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter support@tarabao.bio oder postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutz“.

2. Das Wichtigste in Kürze

  • Wir verkaufen Lebensmittel, keine Daten. Wir verarbeiten deine Daten, um deine Bestellung abzuwickeln, dir Service zu bieten und unseren Shop sicher zu betreiben. Wir verkaufen keine personenbezogenen Daten und geben sie nur an die Dienstleister weiter, die wir für den Betrieb des Shops brauchen.
  • Ohne Einwilligung kein Tracking. Statistik und Werbe-Erfolgsmessung laufen nur, wenn du dem im Cookie-Banner zustimmst. Deine Auswahl kannst du jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich der Seite ändern.
  • Keine Werbung ohne dein Ja. Newsletter, personalisierte Angebote und Bewertungseinladungen bekommst du nur, wenn du das ausdrücklich angehakt hast. Abmelden geht jederzeit.
  • Unsere Server stehen in der EU. Shop-System, Datenbanken, Bilder und E-Mail-Versand laufen in Rechenzentren in Deutschland und der EU. Für einzelne Dienste außerhalb der EU (zum Beispiel die Auslieferung der Website, Zahlungsabwicklung, Adress-Vorschläge) nutzen wir Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind oder mit denen wir EU-Standardvertragsklauseln vereinbart haben.

3. Begriffe und Rechtsgrundlagen

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, zum Beispiel Name, Adresse, E-Mail-Adresse, Bestellhistorie oder IP-Adresse.

Wir verarbeiten deine Daten nur, wenn eine Rechtsgrundlage dies erlaubt. In dieser Erklärung findest du bei jeder Verarbeitung die passende Rechtsgrundlage:

  • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Du hast uns ausdrücklich zugestimmt, zum Beispiel beim Cookie-Banner oder bei der Newsletter-Anmeldung. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
  • Art. 6 Abs. 1 lit. b DSGVO (Vertrag): Die Verarbeitung ist für die Abwicklung deiner Bestellung, deines Abonnements oder deines Kundenkontos nötig oder du hast uns vor Vertragsschluss um etwas gebeten.
  • Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Wir müssen Daten aufbewahren, zum Beispiel Rechnungen nach Steuer- und Handelsrecht.
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Wir haben ein berechtigtes Interesse, zum Beispiel am sicheren und stabilen Betrieb des Shops oder am Schutz vor Missbrauch, und deine Interessen überwiegen nicht. Welches Interesse das jeweils ist, nennen wir an der entsprechenden Stelle.
  • § 25 TDDDG: Das Speichern von Informationen auf deinem Endgerät (Cookies, Local Storage) und der Zugriff darauf erfolgen nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG) oder wenn sie unbedingt erforderlich sind, um den von dir gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Hosting, Server-Logfiles und technische Infrastruktur

4.1 Auslieferung der Website (Vercel)

Unser Shop wird über die Plattform Vercel bereitgestellt. Anbieter ist Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Wenn du eine Seite aufrufst, werden folgende Daten automatisch verarbeitet und in Server-Logfiles gespeichert:

  • IP-Adresse deines Endgeräts
  • Datum und Uhrzeit des Zugriffs
  • aufgerufene Seite und übertragene Datenmenge
  • Browsertyp und -version, Betriebssystem
  • Referrer-URL (die Seite, von der du kommst)
  • Herkunftsland (aus der IP-Adresse abgeleitet, um dich auf die passende Länderversion des Shops zu leiten)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Website technisch bereitzustellen, Angriffe abzuwehren und Fehler zu beheben. Ohne diese Daten kann der Shop nicht ausgeliefert werden. Die Logfiles werden nach kurzer Zeit automatisch gelöscht, spätestens nach 30 Tagen, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

Vercel verarbeitet Daten auch in den USA. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO). Ergänzend haben wir mit Vercel einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) geschlossen. Mehr dazu: Datenschutzerklärung von Vercel.

4.2 Shop-System, Datenbanken und Dateien

Das Shop-System, in dem Warenkorb, Kundenkonto, Bestellungen und Abonnements verwaltet werden, unser Content-Management-System und unser Newsletter-System betreiben wir auf Servern von OVHcloud (OVH GmbH, Christophstraße 17, 50670 Köln) im Rechenzentrum Frankfurt am Main. Datenbanken und Objektspeicher (zum Beispiel Produktbilder, Rechnungs-PDFs, Bewertungsfotos) liegen bei DigitalOcean (DigitalOcean LLC, 101 Avenue of the Americas, New York, NY 10013, USA) im Rechenzentrum Frankfurt am Main sowie bei OVHcloud in Deutschland. Mit allen Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; für DigitalOcean als US-Unternehmen zusätzlich EU-Standardvertragsklauseln sowie die Zertifizierung nach dem EU-US Data Privacy Framework. Die Daten selbst bleiben auf Servern in Deutschland.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, zuverlässigen Betrieb).

4.3 Warenwirtschaft (ERPNext)

Bestellungen, Rechnungen, Lagerbestände und der Versand werden in unserem Warenwirtschaftssystem ERPNext verarbeitet. Es wird bei Frappe Cloud (Frappe Technologies Pvt. Ltd., Mumbai, Indien) auf Servern in Deutschland (Hetzner Online GmbH, Nürnberg) betrieben. Mit Frappe besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln für den Fall eines Support-Zugriffs von außerhalb der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

4.4 Technisches Monitoring und Fehlerdiagnose

Um Störungen schnell zu erkennen und zu beheben, zeichnen unsere Server technische Protokolle und Ablaufdaten (sogenannte Traces und Logs) auf, zum Beispiel aufgerufene Seiten, Antwortzeiten, Fehlermeldungen und – soweit für die Fehleranalyse nötig – Bestell- oder Warenkorb-Kennungen und gekürzte IP-Adressen. Diese Daten werten wir mit Grafana Cloud aus (Grafana Labs, 1 Southwark Bridge Road, London SE1 9HL, Vereinigtes Königreich; Datenverarbeitung in einem EU-/UK-Rechenzentrum). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Die Daten werden in der Regel nach 30 Tagen automatisch gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der stabile und sichere Betrieb des Shops.

5. Cookies und Einwilligung (Cookie-Banner)

Cookies sind kleine Textdateien, die dein Browser speichert. Wir setzen nur wenige Cookies ein und unterscheiden drei Kategorien. Beim ersten Besuch fragen wir dich im Cookie-Banner, welche davon du erlaubst. Technisch notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG); alle anderen nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

5.1 Notwendig

Diese Cookies brauchen wir, damit der Shop funktioniert: für Warenkorb, Anmeldung, Bestellabschluss und das Speichern deiner Cookie-Auswahl.

  • _medusa_cart_id: Kennung deines Warenkorbs. Laufzeit 7 Tage.
  • _medusa_jwt: Anmeldesitzung deines Kundenkontos. Laufzeit 7 Tage.
  • trb-consent: Speichert deine Cookie-Auswahl (Version des Banner-Textes, Zeitpunkt, gewählte Kategorien), damit wir dich nicht bei jedem Besuch erneut fragen. Laufzeit 12 Monate.
  • Local Storage „Nussmix“: Wenn du im Nussmixer eine eigene Mischung zusammenstellst, merkt sich dein Browser den Entwurf lokal. Diese Daten werden nicht an uns übertragen.

Außerdem setzt Stripe im Bestellprozess eigene technisch notwendige Cookies zur Betrugsprävention (siehe Abschnitt 9.1).

5.2 Statistik („anonyme Besuchsstatistiken“)

Mit deiner Einwilligung messen wir, welche Seiten wie oft aufgerufen werden und welche Bestellungen daraus entstehen (siehe Abschnitt 16). Dafür setzen wir ein Cookie:

  • trb-aid: Zufällig erzeugte, pseudonyme Besucher-Kennung. Sie enthält keine Daten über dich und wird nur gesetzt, wenn du der Statistik zugestimmt hast. Laufzeit 12 Monate.

5.3 Werbe-Erfolg („wir merken uns, über welche Anzeige du uns gefunden hast“)

Mit deiner Einwilligung merken wir uns, über welche Anzeige oder Kampagne du in den Shop gekommen bist, um den Erfolg unserer Werbung zu messen (siehe Abschnitt 17):

  • trb-attribution: Kampagnen-Parameter aus der aufgerufenen Adresse (utm-Parameter, Microsoft-Klick-Kennung „msclkid“), die erste aufgerufene Seite und der Zeitpunkt. Laufzeit 30 Tage. Beim ersten Hinzufügen eines Artikels zum Warenkorb werden diese Werte in deinen Warenkorb übernommen, damit wir eine spätere Bestellung der Kampagne zuordnen können.

5.4 Einwilligung ändern oder widerrufen

Du kannst deine Auswahl jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich jeder Seite ändern oder widerrufen. Widerrufst du eine Kategorie, löschen wir die zugehörigen Cookies sofort und entfernen die Kampagnen-Daten aus deinem Warenkorb. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Du kannst Cookies außerdem in deinem Browser löschen oder blockieren; dann sind aber unter Umständen nicht alle Funktionen des Shops nutzbar.

6. Schutz vor Missbrauch (Cloudflare Turnstile)

Bei Anmeldung, Registrierung, Newsletter-Anmeldung, Kontaktformular, Widerrufsformular und im Bestellprozess setzen wir Cloudflare Turnstile ein, um automatisierte Zugriffe (Bots) zu erkennen. Turnstile bindet ein Skript von Cloudflare ein und verarbeitet dabei deine IP-Adresse, Informationen über deinen Browser und dein Verhalten auf der Seite (zum Beispiel Mausbewegungen), ohne dass du ein Rätsel lösen musst. Das Ergebnis der Prüfung übermittelt unser Server zur Verifikation an Cloudflare.

Anbieter ist Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, in der EU vertreten durch Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln. Mehr dazu: Datenschutzerklärung von Cloudflare.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz unserer Formulare und Kundenkonten vor Spam, Missbrauch und Angriffen. Das Einbinden des Skripts ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um die geschützten Funktionen sicher bereitzustellen.

7. Produktsuche (Typesense)

Für die Suchfunktion nutzen wir Typesense Cloud (Typesense, Inc., 1255 Treat Blvd, Suite 300, Walnut Creek, CA 94597, USA). Der von uns genutzte Such-Server steht im Rechenzentrum Frankfurt am Main (Amazon Web Services, Region eu-central-1). Wenn du einen Suchbegriff eingibst, sendet dein Browser den Begriff zusammen mit deiner IP-Adresse direkt an diesen Server, der die passenden Produkte zurückliefert. Suchbegriffe werden nicht mit deiner Person oder deinem Kundenkonto verknüpft. Mit Typesense besteht ein Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine schnelle und zuverlässige Produktsuche.

8. Kundenkonto

Du kannst bei uns als Gast bestellen oder ein Kundenkonto anlegen. Bei der Registrierung verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Passwort (nur als kryptografischer Hash gespeichert) und optional deine Telefonnummer. Nach der Registrierung schicken wir dir eine E-Mail mit einem Bestätigungslink, um sicherzustellen, dass die Adresse dir gehört. Mit der Bestätigung werden frühere Gastbestellungen mit derselben E-Mail-Adresse deinem Konto zugeordnet, damit du sie in der Bestellhistorie siehst.

Im Kundenkonto speichern wir außerdem deine Lieferadressen, deine Bestellungen und Rechnungen, deine Abonnements sowie den Status deiner Newsletter-Einwilligung. Wir protokollieren Anmeldungen (Zeitpunkt) zum Schutz deines Kontos.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Kundenkonto). Dein Konto bleibt bestehen, bis du es löschen lässt. Schreibe dazu an support@tarabao.bio. Daten, die wir aufgrund gesetzlicher Pflichten aufbewahren müssen (insbesondere Bestell- und Rechnungsdaten), werden dann gesperrt und erst nach Ablauf der Aufbewahrungsfristen gelöscht (siehe Abschnitt 20).

9. Bestellung und Vertragsabwicklung

Wenn du bestellst, verarbeiten wir die Daten, die wir brauchen, um den Kaufvertrag zu erfüllen:

  • Name, Rechnungs- und Lieferadresse, E-Mail-Adresse, optional Telefonnummer
  • bestellte Artikel, Mengen, Preise, gewählte Versand- und Zahlungsart, Gutscheincodes
  • bei individuellen Nussmischungen: die von dir gewählte Zusammensetzung und der von dir vergebene Name
  • Bestell- und Rechnungsnummer, Bestellzeitpunkt, Status der Bestellung und des Versands
  • deine Angaben zur Einwilligung in Newsletter oder Bewertungseinladung
  • die IP-Adresse, von der die Bestellung aufgegeben wurde (zur Dokumentation des Vertragsschlusses und zur Betrugsprävention)

Die Daten werden in unserem Shop-System und in unserer Warenwirtschaft (Abschnitt 4.3) verarbeitet, in der Rechnung und Lieferschein erzeugt, der Versand vorbereitet und die Ware kommissioniert wird. Die Mitarbeitenden in unserem Lager in Helmbrechts sehen die für Kommissionierung und Versand nötigen Daten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Aufbewahrung von Rechnungen und Buchungsbelegen gilt Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Per E-Mail erhältst du Bestellbestätigung, Versandbestätigung mit Sendungsverfolgung und Rechnung sowie – je nach Zahlungsart – Zahlungshinweise. Diese Nachrichten sind Teil der Vertragsabwicklung (siehe Abschnitt 12).

9.1 Zahlung über Stripe

Alle Online-Zahlungsarten wickeln wir über den Zahlungsdienstleister Stripe ab: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, mit der Muttergesellschaft Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA. Über Stripe kannst du je nach Land und Verfügbarkeit mit Kreditkarte, PayPal, Klarna, SEPA-Lastschrift, Apple Pay, Google Pay und weiteren lokalen Zahlungsarten bezahlen.

Die Eingabe deiner Zahlungsdaten erfolgt in einem von Stripe bereitgestellten Formular direkt an Stripe; wir selbst erhalten und speichern keine vollständigen Kartennummern oder Kontodaten, sondern nur eine Zahlungskennung, die Zahlungsart, bei Karten die letzten vier Ziffern und den Zahlungsstatus. Stripe erhält von uns Betrag, Währung, Bestellnummer, deine E-Mail-Adresse, Name und Rechnungsadresse sowie – bei Lieferung – die Lieferadresse. Stripe verarbeitet darüber hinaus Geräte- und Browserdaten (unter anderem IP-Adresse) zur Betrugsprävention und setzt dafür eigene, technisch notwendige Cookies, sobald das Zahlungsformular geladen wird. Stripe ist für die Zahlungsabwicklung eigenständig Verantwortlicher und zusätzlich an die Pflichten eines lizenzierten Zahlungsinstituts gebunden.

Wählst du PayPal oder Klarna, wirst du zum Abschluss der Zahlung zu diesem Anbieter weitergeleitet; dort gelten dessen Datenschutzbestimmungen (PayPal (Europe) S.à r.l. et Cie, S.C.A., Klarna Bank AB). Klarna führt für Rechnungs- und Ratenkauf eine eigene Identitäts- und Bonitätsprüfung durch, über die Klarna dich vor der Zahlung informiert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Zahlung als Teil des Kaufvertrags) und Art. 6 Abs. 1 lit. f DSGVO für die Betrugsprävention (berechtigtes Interesse am Schutz vor Zahlungsausfällen und Missbrauch). Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; Stripe verwendet zudem EU-Standardvertragsklauseln. Mehr dazu: Datenschutzerklärung von Stripe.

Gespeicherte Zahlungsart für Abonnements: Wenn du als angemeldeter Kunde bestellst, wird deine Zahlungsart bei Stripe für künftige Zahlungen hinterlegt, damit Abo-Lieferungen (Abschnitt 10) automatisch abgerechnet werden können. Die Zahlungsdaten liegen ausschließlich bei Stripe; wir speichern nur die Referenz. Du kannst die hinterlegte Zahlungsart über unseren Support löschen lassen, solange kein laufendes Abonnement darauf angewiesen ist.

9.2 Zahlung per Vorkasse (Überweisung)

Bei Vorkasse teilen wir dir unsere Bankverbindung, den Betrag und einen Verwendungszweck mit. Deine Überweisung erreicht unser Geschäftskonto; dabei erhalten wir von deiner Bank deinen Namen, deine IBAN und den Verwendungszweck. Wir gleichen den Zahlungseingang automatisch mit der Bestellung ab (elektronischer Kontoauszug unserer Hausbank) und versenden nach Zahlungseingang. Geht innerhalb der Zahlungsfrist keine Zahlung ein, erinnern wir dich einmal per E-Mail und stornieren die Bestellung danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Kontobewegungen unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

10. Abonnements

Bestimmte Produkte kannst du im Abo beziehen. Dafür speichern wir zusätzlich zu den Bestelldaten das Lieferintervall, die nächsten Liefertermine, den Status des Abonnements und die zugehörigen Folgebestellungen. Folgebestellungen werden automatisch erzeugt und über die hinterlegte Zahlungsart (Abschnitt 9.1) abgerechnet; du erhältst zu jeder Lieferung die üblichen Bestell- und Versandmails. Du kannst Abonnements im Kundenkonto pausieren oder kündigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Versand und Abholung

11.1 Versanddienstleister

Für die Lieferung übermitteln wir die für die Zustellung erforderlichen Daten an den von dir gewählten Versanddienstleister: Name, Firma (falls angegeben), Lieferadresse, Land und – bei Lieferung an eine Packstation – deine Postnummer. Deine Telefonnummer und E-Mail-Adresse geben wir nur weiter, wenn du dem im Bestellprozess mit dem Kästchen „Telefonnummer und E-Mail-Adresse an den Versanddienstleister weitergeben“ zugestimmt hast; der Dienstleister nutzt sie, um dich über die Zustellung zu informieren. Bei einzelnen Versandarten ist die Telefonnummer für die Zustellung zwingend erforderlich (zum Beispiel UPS-Lieferungen außerhalb Deutschlands sowie Auslandssendungen mit Zollabwicklung, bei denen UPS zusätzlich die E-Mail-Adresse benötigt); diese Versandarten kannst du nur mit Angabe der Telefonnummer und dieser Zustimmung wählen, oder du wählst eine andere Versandart. Wir setzen folgende Dienstleister ein:

Die Versanddienstleister sind für die Zustellung eigenständig Verantwortliche. Sendungsnummern speichern wir, um dir die Sendungsverfolgung anzubieten und Nachfragen zu klären. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Weitergabe von Telefonnummer oder E-Mail-Adresse zur Zustellbenachrichtigung deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit für künftige Sendungen widerrufen kannst.

11.2 Abholung in Helmbrechts

Wählst du die Abholung, verarbeiten wir deinen Namen und deine Bestellnummer, um dir die Ware vor Ort auszuhändigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11.3 Adress-Vorschläge und Adressprüfung (Google)

Damit Adressen schnell und korrekt eingegeben werden, bieten wir im Bestellprozess zwei Hilfen an:

Adress-Vorschläge (Google Places Autocomplete): Während du in das Adress-Suchfeld tippst, sendet dein Browser den eingegebenen Text zusammen mit deiner IP-Adresse an Google und erhält passende Adressvorschläge. Du musst das Suchfeld nicht benutzen; alle Adressfelder lassen sich auch direkt von Hand ausfüllen.

Adressprüfung (Google Address Validation): Wenn du auf „Weiter“ klickst, prüft unser Server die Lieferadresse (Straße und Hausnummer, Postleitzahl, Ort, Land – nie deinen Namen oder einen Adresszusatz) über die Google Address Validation API und schlägt dir bei Abweichungen eine Korrektur vor. Die Entscheidung bleibt bei dir: Du kannst die Adresse jederzeit so verwenden, wie du sie eingegeben hast. Adressen an Packstationen oder Postfilialen werden nicht geprüft.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Daten können an Google LLC in den USA übermittelt werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln der Google-Maps-Platform-Nutzungsbedingungen. Mehr dazu: Datenschutzerklärung von Google.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, dass Lieferungen ankommen und nicht wegen Tippfehlern zurückkommen; deine Interessen wahren wir, indem nur die Adressbestandteile selbst übermittelt werden, die manuelle Eingabe immer möglich bleibt und du das letzte Wort über deine Adresse hast.

12. E-Mails zur Vertragsabwicklung und zum Kundenkonto

Bestätigungen (Bestellung, Versand, Rechnung, Zahlungshinweise bei Vorkasse, Widerruf, Konto-Verifizierung, Newsletter-Bestätigung) versenden wir über Amazon Simple Email Service (Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg) aus dem Rechenzentrum Frankfurt am Main (Region eu-central-1). Dabei verarbeitet Amazon deine E-Mail-Adresse und den Inhalt der Nachricht. Mit Amazon besteht ein Auftragsverarbeitungsvertrag. Unsere E-Mails enthalten keine Öffnungs- oder Klick-Zähler.

Um Zustellprobleme nachvollziehen zu können, protokollieren wir, welche E-Mail wann an welche Adresse gesendet wurde (ohne den Nachrichteninhalt). Erfolgreich zugestellte Sendungen löschen wir aus diesem Protokoll nach 180 Tagen, fehlgeschlagene nach 2 Jahren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Versandprotokoll Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachweisbaren Zustellung).

13. Newsletter und personalisierte Angebote

13.1 Anmeldung

Du kannst unseren Newsletter auf zwei Wegen abonnieren: über das Anmeldeformular im Fußbereich der Website (nur E-Mail-Adresse) oder über das Kästchen „Newsletter und persönliche Angebote“ bei der Registrierung, im Bestellprozess oder im Kundenkonto. In jedem Fall senden wir dir zunächst eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Erst wenn du diesen Link anklickst, ist die Anmeldung wirksam. Bei einer Anmeldung aus einem bestätigten Kundenkonto entfällt der zusätzliche Bestätigungsschritt, weil die Adresse bereits verifiziert ist. Wir protokollieren den Zeitpunkt der Anmeldung und der Bestätigung, die verwendete IP-Adresse und den Wortlaut der Einwilligung, um die Einwilligung nachweisen zu können.

13.2 Personalisierte Angebote

Hast du das Kästchen „Newsletter und persönliche Angebote“ gewählt, nutzen wir zusätzlich deine Bestellhistorie, um dir passende Produktempfehlungen und Aktionen zu schicken, und senden dir einen Geburtstagsgutschein, falls du uns dein Geburtsdatum mitgeteilt hast. Eine automatisierte Entscheidung mit rechtlicher Wirkung findet dabei nicht statt. Hast du dich nur über das Fußzeilen-Formular angemeldet, erhältst du den allgemeinen Newsletter ohne Auswertung deiner Käufe.

13.3 Versandsystem

Für den Newsletter nutzen wir die Software Listmonk, die wir selbst auf unseren Servern bei OVHcloud in Frankfurt am Main betreiben (Abschnitt 4.2). Die E-Mails selbst werden über Amazon Simple Email Service aus Frankfurt versendet (Abschnitt 12). Es findet keine Übermittlung an einen externen Newsletter-Dienst statt.

13.4 Rechtsgrundlage, Widerruf und Speicherdauer

Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 2 UWG. Du kannst sie jederzeit widerrufen: über den Abmeldelink in jedem Newsletter, in deinem Kundenkonto oder per E-Mail an support@tarabao.bio. Nach dem Widerruf erhältst du keine Newsletter mehr. Deine E-Mail-Adresse bleibt danach in einer Sperrliste gespeichert, damit sie nicht versehentlich erneut angeschrieben wird; den Nachweis der Einwilligung bewahren wir für die Dauer der Verjährungsfrist von drei Jahren ab Widerruf auf (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Nachweisbarkeit nach Art. 7 Abs. 1 DSGVO).

14. Produktbewertungen

14.1 Bewertungseinladung

Im Bestellprozess kannst du ankreuzen, dass wir dich nach dem Versand einmalig per E-Mail um eine Bewertung der gekauften Produkte bitten dürfen. Das Kästchen ist nicht vorausgewählt. Die Einladung versenden wir etwa sieben Tage nach dem ersten Versand der Bestellung, eine Erinnerung gibt es nicht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); du kannst sie jederzeit widerrufen, indem du uns schreibst. Der Link in der Einladung ist an deine Bestellung gebunden, damit nur Käuferinnen und Käufer bewerten können.

14.2 Abgabe und Veröffentlichung

Bewertungen kannst du nur zu Produkten abgeben, die du bei uns gekauft und erhalten hast. Wir speichern Sternebewertung, Titel, Text, optional hochgeladene Fotos, deinen Namen, die Bestell- und Produktkennung und den Zeitpunkt. Veröffentlicht werden Sterne, Titel, Text, Fotos, das Datum und dein Vorname mit dem ersten Buchstaben deines Nachnamens – nie deine E-Mail-Adresse oder dein vollständiger Name. Weil wir Bewertungen an die Bestellung knüpfen, kennzeichnen wir sie als „verifizierter Kauf“; wie wir sicherstellen, dass Bewertungen von echten Kunden stammen, erläutern wir auf jeder Produktseite (§ 5b Abs. 3 UWG).

Rechtsgrundlage für Speicherung und Veröffentlichung ist Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch das Absenden der Bewertung). Du kannst die Löschung deiner Bewertung jederzeit unter support@tarabao.bio verlangen. Bewertungen, die gegen unsere Richtlinien verstoßen, blenden wir aus.

14.3 Übermittlung an Google (Produktbewertungen in Google Shopping)

Damit unsere Produkte bei Google Shopping mit Bewertungen angezeigt werden, übermitteln wir veröffentlichte Produktbewertungen an Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Sterne, Titel, Text, Datum, Produktkennung und den gekürzten Namen (Vorname und Initial). Deine E-Mail-Adresse oder Bestelldaten übermitteln wir nicht. Google zeigt diese Bewertungen in seinen Diensten an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; auf diese Weitergabe weisen wir vor dem Absenden der Bewertung hin. Mehr dazu: Datenschutzerklärung von Google.

14.4 Google Kundenrezensionen (Händlerbewertung)

Nach Abschluss einer Bestellung bieten wir dir auf der Bestätigungsseite an, an einer Umfrage von Google zu deiner Zufriedenheit mit unserem Shop teilzunehmen. Dieses Angebot erscheint nur, wenn du im Cookie-Banner der Kategorie „Werbe-Erfolg“ zugestimmt hast, und nur wenn du dort ausdrücklich „Ja“ wählst, übermitteln wir deine E-Mail-Adresse, die Bestellnummer, das Lieferland, das voraussichtliche Lieferdatum und die Artikelnummern (GTIN) der bestellten Produkte an Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Google schickt dir dann nach der Lieferung eine E-Mail mit der Umfrage. Für die Umfrage ist Google eigenständig Verantwortlicher. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; das Laden des Google-Skripts auf der Bestätigungsseite erfolgt nach § 25 Abs. 1 TDDDG ebenfalls nur mit Einwilligung. Mehr dazu: Datenschutzerklärung von Google.

15. Widerruf und Rücksendungen

Über unser Online-Widerrufsformular kannst du Bestellungen ganz oder teilweise widerrufen. Dafür verarbeiten wir Bestellnummer, E-Mail-Adresse, die gewählten Artikel und deine optionale Mitteilung. Wir bestätigen den Eingang per E-Mail und wickeln die Erstattung über die ursprüngliche Zahlungsart ab (Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO (gesetzliche Pflichten aus dem Widerrufsrecht). Die Vorgänge bewahren wir als Teil der Geschäftsunterlagen auf (Abschnitt 20).

16. Reichweitenmessung (Statistik)

Nur wenn du im Cookie-Banner der Kategorie „Statistik“ zugestimmt hast, erfassen wir Seitenaufrufe und Bestellungen statistisch. Dafür nutzen wir PostHog (PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA) in der Variante PostHog Cloud EU: Die Daten werden ausschließlich auf Servern in Frankfurt am Main (Amazon Web Services, eu-central-1) gespeichert und nicht in die USA übermittelt. Mit PostHog besteht ein Auftragsverarbeitungsvertrag.

Die Erfassung geschieht serverseitig; es wird kein Analyse-Skript in deinen Browser geladen, keine Sitzung aufgezeichnet und keine Eingabe mitgeschnitten. Erfasst werden pro Seitenaufruf: aufgerufene Seite, Referrer, Browser und Betriebssystem, das Land (aus der gewählten Shop-Version), Kampagnen-Parameter aus der Adresse, die pseudonyme Kennung aus dem Cookie „trb-aid“ und die Warenkorb-Kennung. Bei einer Bestellung: Bestellnummer, Warenwert, Währung und die bestellten Produkte. Deine IP-Adresse wird nicht gespeichert, Name und E-Mail-Adresse werden nicht übermittelt.

Zusätzlich kann mit deiner Statistik-Einwilligung ein Skript von Grafana Labs (Grafana Faro, siehe Abschnitt 4.4) Ladezeiten und Fehler in deinem Browser messen, damit wir die Geschwindigkeit des Shops verbessern können. Es erfasst technische Daten (Seite, Ladezeiten, Fehlermeldungen, Browser), keine Eingaben.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Statistikdaten bewahren wir in pseudonymer Form bis zu 24 Monate auf. Du kannst die Einwilligung jederzeit über „Cookie-Einstellungen“ widerrufen; das Cookie wird dann gelöscht.

17. Werbe-Erfolgsmessung (Microsoft Advertising)

Wir schalten Anzeigen in der Microsoft-Suche (Bing). Nur wenn du im Cookie-Banner der Kategorie „Werbe-Erfolg“ zugestimmt hast, merken wir uns die Klick-Kennung aus der Anzeige (Cookie „trb-attribution“, Abschnitt 5.3) und melden eine spätere Bestellung an Microsoft, damit wir wissen, welche Anzeigen zu Käufen führen. Die Meldung erfolgt von unserem Server aus (kein Microsoft-Skript in deinem Browser) und enthält: die Klick-Kennung, Bestellnummer, Warenwert und Währung, deine IP-Adresse, deinen Browser-Typ sowie deine E-Mail-Adresse und Telefonnummer in gehashter Form (ein nicht umkehrbarer Prüfwert, mit dem Microsoft nur erkennen kann, ob die Adresse zu einem bei Microsoft angemeldeten Nutzer gehört).

Empfänger ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; eine Übermittlung an Microsoft Corporation in den USA ist möglich. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert. Für die Erfolgsmessung sind wir und Microsoft gemeinsam Verantwortliche; Microsoft verwendet die Daten auch zu eigenen Zwecken. Mehr dazu: Datenschutzerklärung von Microsoft.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Das Cookie läuft nach 30 Tagen ab; widerrufst du die Einwilligung, löschen wir es sofort und entfernen die Kampagnen-Daten aus deinem Warenkorb.

18. Kontaktaufnahme und Kundenservice

Wenn du uns über das Kontaktformular, per E-Mail oder telefonisch kontaktierst, verarbeiten wir deine Angaben (Name, E-Mail-Adresse, Inhalt der Anfrage, bei Bestellfragen die Bestelldaten), um deine Anfrage zu beantworten. Anfragen über das Kontaktformular werden in unserem Content-Management-System (Abschnitt 4.2) gespeichert; E-Mails bearbeiten wir in unserem E-Mail-System (Microsoft 365, Microsoft Ireland Operations Limited, Datenverarbeitung innerhalb der EU) und in unserem Ticketsystem auf unseren Servern in Frankfurt am Main.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung deiner Anfrage). Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine Aufbewahrungspflicht besteht; Geschäftsbriefe bewahren wir nach § 257 HGB sechs Jahre auf.

19. Weitergabe an Dritte und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, wenn

  • dies zur Abwicklung des Vertrags nötig ist (Zahlungsdienstleister, Versanddienstleister),
  • du eingewilligt hast,
  • wir rechtlich dazu verpflichtet sind (zum Beispiel gegenüber Finanzbehörden, Strafverfolgungsbehörden) oder
  • es zur Durchsetzung unserer Rechte erforderlich ist (zum Beispiel Inkasso, Rechtsberatung).

Darüber hinaus setzen wir Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO), insbesondere für Hosting, Datenbanken, E-Mail-Versand, Suche, Monitoring und Statistik. Diese Dienstleister nennen wir in den jeweiligen Abschnitten. Unser Steuerberater erhält die für die Buchhaltung nötigen Belege.

19.1 Übermittlung in Drittländer

Einige der genannten Anbieter haben ihren Sitz in den USA oder verarbeiten Daten dort (Vercel, Stripe, Google, Microsoft, Cloudflare, DigitalOcean, Typesense). Für die USA besteht mit dem EU-US Data Privacy Framework ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); wir setzen diese Anbieter nur ein, soweit sie darunter zertifiziert sind, und vereinbaren zusätzlich die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für das Vereinigte Königreich (Grafana Labs) besteht ebenfalls ein Angemessenheitsbeschluss. Für Frappe Technologies (Indien) gelten EU-Standardvertragsklauseln; die Daten selbst werden in Deutschland gespeichert. Eine Kopie der jeweiligen Garantien stellen wir dir auf Anfrage zur Verfügung.

20. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Pflichten es verlangen. Insbesondere gilt:

  • Bestell- und Rechnungsdaten: Rechnungen und Buchungsbelege bewahren wir acht Jahre, Handelsbücher und Jahresabschlüsse zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre auf (§ 147 AO, § 257 HGB). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist. In dieser Zeit sind die Daten für andere Zwecke gesperrt.
  • Kundenkonto: bis zur Löschung durch dich; danach wie Bestelldaten.
  • Gewährleistung: Daten zu Bestellungen bewahren wir mindestens bis zum Ablauf der gesetzlichen Gewährleistungs- und Verjährungsfristen (in der Regel zwei bis drei Jahre) auf.
  • Newsletter: bis zum Widerruf; Einwilligungsnachweis drei Jahre nach Widerruf.
  • Bewertungen: bis du die Löschung verlangst.
  • Server-Logfiles und Monitoring-Daten: in der Regel 30 Tage.
  • Statistikdaten (pseudonym): bis zu 24 Monate.
  • E-Mail-Versandprotokoll: 180 Tage, fehlgeschlagene Sendungen zwei Jahre.
  • Kontaktanfragen: nach Erledigung, Geschäftsbriefe sechs Jahre.
  • Cookies: siehe Abschnitt 5.

21. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

  • Auskunft (Art. 15 DSGVO): Du kannst Auskunft darüber verlangen, welche Daten wir über dich verarbeiten, und eine Kopie erhalten.
  • Berichtigung (Art. 16 DSGVO): Unrichtige Daten korrigieren wir, unvollständige ergänzen wir. Adressen und Kontaktdaten kannst du im Kundenkonto selbst ändern.
  • Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, soweit keine Aufbewahrungspflicht besteht.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO): Unter bestimmten Voraussetzungen kannst du verlangen, dass wir deine Daten nur noch eingeschränkt verarbeiten.
  • Datenübertragbarkeit (Art. 20 DSGVO): Daten, die du uns bereitgestellt hast, erhältst du auf Wunsch in einem gängigen, maschinenlesbaren Format.
  • Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Jede Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen – Cookies über „Cookie-Einstellungen“, Newsletter über den Abmeldelink, alles andere per E-Mail.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir deine Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen eine Verarbeitung zum Zweck der Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an support@tarabao.bio oder an unsere Postanschrift. Bitte hab Verständnis, dass wir bei Zweifeln an deiner Identität einen Nachweis verlangen, bevor wir Auskunft erteilen oder Daten löschen.

Beschwerderecht (Art. 77 DSGVO): Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Telefon 0981 180093-0, www.lda.bayern.de. Du kannst dich auch an die Aufsichtsbehörde deines Wohnorts wenden.

22. Keine automatisierten Entscheidungen, keine Pflicht zur Bereitstellung

Wir treffen keine automatisierten Entscheidungen im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO. Die Produktempfehlungen im Rahmen personalisierter Angebote (Abschnitt 13.2) haben keine rechtliche Wirkung für dich und erfolgen nur mit deiner Einwilligung. Bonitätsprüfungen führen wir selbst nicht durch; Zahlungsanbieter wie Klarna informieren dich gesondert, falls sie eine Prüfung vornehmen.

Du bist weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die in den Abschnitten 8 und 9 genannten Daten können wir aber keine Bestellung ausführen und kein Kundenkonto anlegen. Alle übrigen Angaben (Telefonnummer, Einwilligungen, Bewertungen) sind freiwillig.

23. Datensicherheit

Alle Verbindungen zu unserem Shop sind mit TLS verschlüsselt (erkennbar am Schloss-Symbol in der Adresszeile). Passwörter speichern wir nur als kryptografischen Hash. Zugriffe auf Kundendaten sind auf Mitarbeitende beschränkt, die sie für ihre Aufgaben benötigen, und werden protokolliert. Wir überprüfen unsere technischen und organisatorischen Maßnahmen regelmäßig und passen sie an den Stand der Technik an.

24. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt immer die hier veröffentlichte, aktuelle Fassung; das Datum findest du oben unter „Stand“.