Datenschutzerklärung

1. Verantwortlicher

Oberkersch GmbH
Zeißstraße 2, 37327 Leinefelde-Worbis, Deutschland
Telefon: +49 3605 5474874
E-Mail: info@oberkersch.com

Die Oberkersch GmbH betreibt den Oberkersch-Shop und ist für die Verarbeitung deiner Daten in diesem Shop verantwortlich.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt. Bei Fragen zum Datenschutz erreichst du uns über die Kontaktdaten in Abschnitt 1.

3. Aufruf der Website und Hosting

Wenn du eine Seite des Shops aufrufst, überträgt dein Browser technisch notwendige Angaben an den Server, vor allem deine IP-Adresse, die aufgerufene Adresse und Angaben zu Browser und Betriebssystem. Ohne diese Angaben kann der Server die Seite nicht ausliefern.

Die Shopanwendung selbst schreibt keine Besuchsprotokolle mit IP-Adresse. Schriften, Bilder und Skripte kommen von unserem eigenen Server. Von fremden Servern lädt der Shop nur etwas, wenn du Google Analytics zustimmst (Abschnitt 4). Werbedienste setzen wir nicht ein.

Hosting: Der Shop läuft auf einem eigenen virtuellen Server, den wir bei der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, gemietet haben. Der Server steht in einem Rechenzentrum in Nürnberg, Deutschland. Betrieb und Wartung des Servers übernehmen wir selbst, netcup stellt den Server bereit. Mit netcup haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Serverprotokolle: Der Webserver vor dem Shop schreibt keine Zugriffsprotokolle. Im Systemprotokoll des Servers stehen Betriebsmeldungen wie Start, Datensicherung und Fehler. Meldet der Shop einen Fehler, hält er dort Zeitpunkt, Art der Anfrage und die aufgerufene Adresse fest, ohne IP-Adresse. Fehlermeldungen des Webservers, etwa bei einer abgebrochenen verschlüsselten Verbindung, können die IP-Adresse der Anfrage enthalten. Das Systemprotokoll wird nach 14 Tagen automatisch gelöscht.

Rechtsgrundlage für die Auslieferung der Seiten ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicher und zuverlässig erreichbarer Shop.

Besuchszählung ohne Cookies: Wie viele Besucher der Shop hat und welche Seiten gefragt sind, zählt der Shop selbst auf unserem Server. Er setzt dafür kein Cookie und legt nichts in deinem Browser ab. Bei jedem Seitenaufruf zählt er für den Tag hoch: die Seitenaufrufe insgesamt, die aufgerufene Seite (Adresse ohne den Teil nach dem Fragezeichen), den Domainnamen der Website, von der du kommst (etwa www.google.de), ob du mit Handy oder Computer unterwegs bist und ob ein Programm wie eine Suchmaschine die Seite abruft. Handy, Computer und Programm erkennt der Shop an der Browserkennung, die Herkunft an der Angabe, die dein Browser mitschickt. Er wertet beides nur im Moment des Aufrufs aus und speichert weder IP-Adresse noch Browserkennung. Die Zähler liegen bis zu einer Minute im Arbeitsspeicher, dann schreibt der Shop die Summen je Tag in die Datenbank. Aus diesen Summen lässt sich kein einzelner Besuch und keine Person ablesen. Wir bewahren sie auf, um Zeiträume vergleichen zu können.

Rechtsgrundlage für die Auswertung beim Aufruf ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Reichweite des Shops zu kennen und ihn besser zu machen.

Links auf andere Websites, etwa auf den bisherigen Shop troas.shop, öffnen die fremde Seite erst, wenn du sie anklickst. Dort gilt die Datenschutzerklärung der jeweiligen Seite.

4. Cookie und Speicher im Browser

Ohne deine Einwilligung setzen wir genau ein Cookie und keine Analyse-, Werbe- oder Reichweitencookies. Die Cookies von Google Analytics kommen nur dazu, wenn du in der Einwilligungsleiste "Annehmen" wählst (Google Analytics, weiter unten in diesem Abschnitt). Vorher lädt der Shop nichts von Google.

Sitzungscookie

• Name: __Host-troas_session
• Inhalt: eine zufällige Kennung, kein Name und keine Adresse
• Laufzeit: 7 Tage
• Eigenschaften: HttpOnly (für Skripte auf der Seite nicht lesbar), Secure (wird nur über verschlüsselte Verbindungen übertragen) und SameSite=Lax (schützt vor Anfragen, die fremde Seiten in deinem Namen an den Shop stellen)
• Zweck: Warenkorb, Anmeldung im Kundenkonto und Schutz vor untergeschobenen Anfragen (CSRF-Schutz)

Das Cookie entsteht, sobald du etwas in den Warenkorb legst, Warenkorb, Kasse, Kundenkonto oder den Online-Widerruf öffnest, eine Anfrage sendest oder eine Seite für Glas nach Maß öffnest. Die Seiten für Glas nach Maß fragen beim Laden passendes Zubehör für deinen Warenkorb ab und legen dabei die Sitzung an. Startseite, Sortiment, Artikelseiten und Rechtstexte setzen kein Cookie. Auf unserem Server gehören zur Sitzung ein Prüfwert der Kennung, ein Schutzschlüssel gegen untergeschobene Anfragen, die Zuordnung zu deinem Kundenkonto, wenn du angemeldet bist, Beginn und Ablauf der Sitzung sowie dein Warenkorb. Meldest du dich an oder ab, bekommst du eine neue Kennung.

Rechtsgrundlage für das Setzen und Auslesen des Cookies ist § 25 Abs. 2 Nr. 2 TDDDG, weil es für den von dir gewünschten Dienst unbedingt erforderlich ist. Die Verarbeitung für Warenkorb und Kundenkonto stützt sich auf Art. 6 Abs. 1 lit. b DSGVO, der Schutz vor untergeschobenen Anfragen auf Art. 6 Abs. 1 lit. f DSGVO.

Speicher im Browser beim Konfigurator

Der Konfigurator ("Dein Glas konfigurieren") merkt sich deine Eingaben im Speicher deines Browsers (localStorage), damit du später weitermachen kannst. Er verwendet folgende Einträge:

• troas.visualisierung.v1: deine Konfiguration je Produkt, also Maße, Glas, Kante und Beschläge
• troas.familie.v1: das zuletzt gewählte Produkt
• troas.wiederaufruf.v1: Stände, die du dir mit einer Kennung zum Wiederaufrufen gemerkt hast
• troas.vorgaenge.v1: Stände, die du mit "Diesen Stand ablegen" abgelegt hast
• troas.modus.v1: die gewählte Ansicht, einfach oder für Fachleute
• troas.einzelglas.<Artikelnummer>.v1: deine Eingaben auf den Glas-nach-Maß-Produktseiten, einschließlich Bearbeitungen, Stückzahl und Freitext
• troas.einzelglas.<Artikelnummer>.tischplatte.v1: deine Eingaben, wenn du das Glas als Tischplatte konfigurierst, einschließlich Bearbeitungen, LED-Beleuchtung, Stückzahl und Freitext; getrennt von den übrigen Eingaben desselben Artikels
• troas.einzelglas.<Artikelnummer>.kuechenrueckwand.v1: deine Eingaben, wenn du das Glas als Küchenrückwand konfigurierst, einschließlich Bearbeitungen, LED-Beleuchtung, Stückzahl und Freitext; getrennt von den übrigen Eingaben desselben Artikels
• troas.isolierglas.v1.<Artikelnummer>: deine Eingaben im Isolierglas-Konfigurator, einschließlich Maße, Aufbau, Gas, Abstandhalter, Einbausituation, Sprossen, Extras und Stückzahl; löschbar über die Einstellungen deines Browsers
• troas.einzelglas.hilfe.v1 und troas.projekt.bedienhilfe.v1: ob die einmalige Bedienhilfe bereits eingeblendet wurde
• troas.vordach.pilot.v1: im Glasvordach-Planer dein Entwurf mit Umfang, System, Breite, Ausladung, Glasart und Glasstärke, erst wenn du "Entwurf speichern" wählst
• troas.dusche.pilot.v1: im Duschen-Planer dein Entwurf mit Duschform, Typ, Breite und Höhe je Scheibe, Glasfarbe und Beschlagset, erst wenn du "Entwurf speichern" wählst
• troas.skizze.v1.<SHA-256>: in der technischen Vorschau die von dir ausgewählte Skizze einer freien Form, damit sie im selben Browser erneut geöffnet werden kann

Bei einer freien Form bleibt die Skizze in der technischen Vorschau ausschließlich im Speicher dieses Browsers. An den Server und in den Merkzettel-Link gehen nur Dateiname, Dateityp, Dateigröße und ein SHA-256-Prüfwert, nicht der Dateiinhalt. Die Verwaltung kann die Datei nur im selben Browser öffnen. Auf anderen Geräten wird darauf hingewiesen, dass die Skizze nur im Browser des Kunden liegt. Du entfernst die Datei mit "Gespeicherte Angaben in diesem Browser löschen" oder über die Einstellungen deines Browsers. Im Echtbetrieb wird die ausgewählte Skizze zusammen mit der Konfiguration an den Server übertragen, sobald du die Konfiguration speicherst, in den Warenkorb legst oder anfragst.

Deine Konfiguration wird erst gespeichert, wenn du etwas eingibst oder änderst. Die beiden Kennzeichnungen für die Bedienhilfe werden beim ersten Einblenden gesetzt und enthalten keine Konfiguration. Die Einträge bleiben in deinem Browser, bis du sie löschst: im Konfigurator mit "Gespeicherte Angaben in diesem Browser löschen" oder über die Einstellungen deines Browsers. Der Konfigurator schickt sie nicht an uns. Erst wenn du "Konfiguration im Shop speichern", "In den Warenkorb" oder "Als Anfrage vormerken" oder "Unverbindliche Anfrage senden" wählst, geht die Konfiguration an unseren Server (Abschnitt 8).

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil der Speicher für die von dir gewünschte Funktion erforderlich ist.

Sitzungsspeicher bei der Küchenrückwand

Die Küchenvorschau merkt sich die von dir verschobene Position des Wasserhahns im Sitzungsspeicher deines Browsers (sessionStorage):

• troas.kr-hahn.<Artikelnummer>: die waagerechte Position des Wasserhahns in Millimetern, getrennt je Artikel

Der Wasserhahn dient nur zur Orientierung in der Vorschau und ist kein Teil der Bestellung. Der Eintrag entsteht, wenn du seine Position änderst. Er bleibt in diesem Tab und wird beim Schließen des Tabs vom Browser gelöscht.

Sitzungsspeicher beim Konfigurator

Damit ein neuer Aufruf des Konfigurators immer mit der Grundausführung beginnt, merkt sich der Konfigurator im Sitzungsspeicher deines Browsers (sessionStorage), ob du in diesem Tab schon etwas geändert hast:

• troas.konfigurator.sitzung.<Artikelnummer>: der Wert 1, sobald du in diesem Tab eine Angabe änderst

Nur dann holt der Konfigurator beim Neuladen der Seite deine gespeicherten Eingaben zurück. Der Eintrag enthält keine Angaben zu dir und wird beim Schließen des Tabs vom Browser gelöscht.

Speicher im Browser bei der Kasse

Die Kasse merkt sich deine Angaben im Sitzungsspeicher deines Browsers (sessionStorage), damit sie noch da sind, wenn du zwischendurch eine andere Seite des Shops öffnest oder die Seite neu lädst. Sie verwendet folgenden Eintrag:

• troas.kasse.v1: deine Kontaktdaten (E-Mail-Adresse, Vor- und Nachname, Telefonnummer und Firma), deine Rechnungsanschrift, eine abweichende Lieferanschrift, wenn du eine angibst, die Versandart (Lieferung oder Abholung) und den Schritt der Kasse, in dem du gerade bist

Zahlungsangaben stehen nicht darin, auch nicht die gewählte Zahlungsart. Die Kasse legt den Eintrag an, wenn du sie öffnest, und schreibt ihn neu, wenn du deine Angaben eingibst, die Versandart wählst oder den Schritt wechselst. Der Eintrag gilt nur für diesen Tab und verlässt dein Gerät nicht. Deine Angaben schickt die Kasse erst an uns, wenn du "Bestellung prüfen" wählst (Abschnitt 6). Die Kasse löscht den Eintrag nach der Bestellung und sobald dein Warenkorb leer ist. Spätestens wenn du den Tab schließt, löscht ihn dein Browser.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil der Speicher für die von dir gewünschte Funktion erforderlich ist.

Google Analytics (nur mit deiner Einwilligung)

Wenn du zustimmst, nutzen wir Google Analytics 4. Damit sehen wir, welche Seiten gelesen werden, wie Besucher zu uns finden, wie lange sie bleiben und wo sie nicht weiterkommen, und können Inhalte und Bedienung verbessern. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Beim ersten Besuch fragt dich eine Leiste am unteren Bildrand. "Ablehnen" und "Annehmen" stehen gleichwertig nebeneinander, vorausgewählt ist nichts. Erst nach "Annehmen" lädt dein Browser das Skript von Google (www.googletagmanager.com) und schickt Nutzungsdaten an Google: welche Seiten du aufrufst und von welcher Website du kommst, Zeitpunkt und Dauer des Besuchs, was du auf den Seiten tust, etwa Scrollen oder Klicks auf Links, Angaben zu Browser, Betriebssystem, Gerät, Bildschirm und Sprache sowie deinen ungefähren Standort. Den Standort leitet Google aus deiner IP-Adresse ab. Nach Angaben von Google speichert Google Analytics die IP-Adresse nicht.

Google Analytics setzt zwei Cookies mit einer zufälligen Kennung, an der Google deine Besuche wiedererkennt:

• _ga: Laufzeit 2 Jahre
• _ga_B3HPFVH9MJ: Laufzeit 2 Jahre

Werbefunktionen haben wir ausgeschaltet. Google Signals und personalisierte Werbung nutzen wir nicht, die Einwilligung für Werbezwecke (ad_storage, ad_user_data, ad_personalization) bleibt auch nach "Annehmen" abgelehnt. Wir führen die Daten aus Google Analytics nicht mit anderen Daten über dich zusammen.

Google Analytics löscht die Ereignisdaten spätestens nach 14 Monaten.

Rechtsgrundlage ist deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, für das Setzen und Auslesen der Cookies § 25 Abs. 1 TDDDG. Du kannst sie jederzeit widerrufen: Unter "Cookie-Einstellungen" im Seitenfuß öffnest du die Leiste wieder und wählst "Ablehnen". Dann misst der Shop nicht mehr und löscht die Cookies von Google Analytics in deinem Browser. Der Widerruf wirkt für die Zukunft; was bis dahin verarbeitet wurde, bleibt rechtmäßig.

Google kann Daten an die Google LLC in den USA übermitteln. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; dafür gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mehr dazu in der Datenschutzerklärung von Google: https://policies.google.com/privacy.

Speicher im Browser für deine Cookie-Einstellung

Damit die Leiste nicht auf jeder Seite neu erscheint, merkt sich der Shop deine Wahl im Speicher deines Browsers (localStorage):

• troas.einwilligung.v1: ob du Google Analytics angenommen oder abgelehnt hast, und das Datum deiner Wahl

Der Eintrag entsteht, wenn du "Annehmen" oder "Ablehnen" wählst, und verlässt dein Gerät nicht. Löschst du ihn über die Einstellungen deines Browsers, fragt der Shop beim nächsten Besuch wieder.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil der Speicher für die von dir gewünschte Funktion erforderlich ist.

5. Kundenkonto

Ein Kundenkonto ist freiwillig; du kannst auch als Gast bestellen. Legst du ein Konto an, speichern wir deinen Namen, deine E-Mail-Adresse, dein Passwort nur als Prüfwert (nicht im Klartext) und den Zeitpunkt, zu dem du das Konto angelegt hast. Freiwillig kannst du Firma und Telefonnummer ergänzen. Bei Gewerbekunden speichern wir außerdem die Konditionen, die wir für das Konto freigeben, etwa einen Rabatt.

Im Konto speichern wir außerdem, was du dort selbst anlegst:

• Adressen: bis zu 20 Anschriften mit Name, Firma, Zusatz, Straße, Postleitzahl, Ort, Land und Telefonnummer, dazu deine Standardadresse für Lieferung und Rechnung
• Merkliste: bis zu 100 Einträge, also gemerkte Artikel mit Menge und deiner Notiz sowie gemerkte Konfigurationen für Glas nach Maß und Isolierglas mit ihrem Merkzettel-Link
• Anfragen zu deinen Bestellungen: Thema, deine Nachricht, die betroffene Bestellung, Referenznummer, Zeitpunkt und Bearbeitungsstand. Zu jeder neuen Anfrage geht ein Hinweis an unser Postfach.

Meldest du dich an, ordnen wir Bestellungen und Konfigurationen, die du vorher in derselben Sitzung als Gast angelegt hast, deinem Konto zu.

Passwort zurücksetzen: Forderst du ein neues Passwort an, schicken wir dir einen Link an deine E-Mail-Adresse, der 30 Minuten gilt. Wir speichern dazu nur einen Prüfwert des Links, die Zuordnung zu deinem Konto und den Ablaufzeitpunkt. Nach der Verwendung oder dem Ablauf löschen wir ihn. Setzt du ein neues Passwort, melden wir alle Sitzungen deines Kontos ab.

Passwort und E-Mail-Adresse ändern: Änderst du dein Passwort im Konto, melden wir dich auf allen anderen Geräten ab und schicken dir einen Hinweis per E-Mail. Änderst du deine E-Mail-Adresse, schicken wir an die neue Adresse einen Bestätigungslink, der 24 Stunden gilt, und an die bisherige Adresse einen Hinweis. Bis zur Bestätigung speichern wir die neue Adresse, die Zuordnung zu deinem Konto und den Ablaufzeitpunkt. Erst mit der Bestätigung gilt die neue Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

6. Bestellung

Für eine Bestellung verarbeiten wir: E-Mail-Adresse, Vor- und Nachname, Rechnungsanschrift, bei Bedarf eine abweichende Lieferanschrift, freiwillig Telefonnummer und Firma, die bestellten Artikel mit Maßen und Ausführung, Versandart, bei Lieferung deine Abstellgenehmigung, wenn du sie erteilst, Zahlungsart, Preise, den Zeitpunkt der Bestellung und deiner Zustimmung zu den AGB, die zu diesem Zeitpunkt gültigen Rechtstexte, den Stand der Bestellung und beim Versand Versanddienst, Sendungsnummer, einen Link zur Sendungsverfolgung und den Versandzeitpunkt. Erstatten wir ganz oder teilweise, speichern wir die erstatteten Positionen, den Betrag und den Grund. Für die Bearbeitung können wir interne Notizen zur Bestellung anlegen; sie sind nur in unserer Verwaltung sichtbar.

Wenn du in der Kasse "Bestellung prüfen" wählst, legen wir mit deinen Angaben eine Preisübersicht an. Sie gilt 15 Minuten.

Nach der Bestellung erhältst du eine Eingangsbestätigung per E-Mail, mit den Vertragsinformationen und einer Maßübersicht als Anhang. Nehmen wir deine Bestellung an, schicken wir dir eine Auftragsbestätigung. Wenn die Ware unterwegs ist, schicken wir dir eine Versandmail mit Versanddienst, Sendungsnummer und Link zur Sendungsverfolgung. Stornieren oder erstatten wir, bekommst du auch dazu eine E-Mail.

Karten- oder Kontodaten gibst du nicht in unserem Shop ein, und der Shop speichert sie nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne die Pflichtangaben können wir die Bestellung nicht ausführen. Rechnungen und Buchungsbelege bewahren wir auf, weil Handels- und Steuerrecht es verlangen, Art. 6 Abs. 1 lit. c DSGVO.

7. Zahlung

Vorkasse per Überweisung: Du überweist den Betrag selbst an unsere Bank. Bankverbindung und Verwendungszweck stehen auf der Bestellseite und in der Eingangsbestätigung. Der Shop übermittelt dafür keine Daten an einen Zahlungsdienst. Den Zahlungseingang vermerken wir an der Bestellung.

PayPal: Zahlst du mit PayPal, leiten wir dich nach der Bestellung auf die Seite von PayPal weiter. Anbieter ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Wir übermitteln PayPal eine Kennung der Bestellung, die Bestellnummer, den Gesamtbetrag mit Warenwert, Versandkosten und Rabatt und bei Lieferung deinen Namen und deine Lieferanschrift, damit PayPal und Bestellung dieselbe Anschrift tragen. Bei Abholung übermitteln wir keine Anschrift. Anmeldung und Zahlungsdaten gibst du nur bei PayPal ein. PayPal teilt uns den Stand der Zahlung, eine Transaktionskennung und gegebenenfalls Erstattungen mit; Zahlungsdaten und Angaben zu deinem PayPal-Konto speichern wir nicht.

Für die Abwicklung der Zahlung ist PayPal selbst verantwortlich und verarbeitet deine Daten nach seinen eigenen Datenschutzhinweisen: https://www.paypal.com/de/legalhub/paypal/privacy-full. PayPal kann Daten auch in Länder außerhalb der Europäischen Union übermitteln, etwa in die USA. Innerhalb der PayPal-Gruppe stützt sich PayPal dafür auf genehmigte bindende Unternehmensregeln (Art. 47 DSGVO), bei anderen Empfängern auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Unverbindliche Anfrage und gespeicherte Konfigurationen

Anfrage aus dem Warenkorb: Im Warenkorb kannst du eine unverbindliche Anfrage senden, etwa für Artikel, die noch nicht bestellbar sind. Wir speichern deinen Namen, deine E-Mail-Adresse, deine Nachricht, falls du eine schreibst, den Inhalt deines Warenkorbs, den Zeitpunkt, den Bearbeitungsstand und interne Notizen zur Bearbeitung. Damit prüfen wir Preis, Fertigung und Lieferbedingungen und antworten dir. Du erhältst eine Eingangsbestätigung per E-Mail. Zugleich geht ein Hinweis mit deinen Angaben an unser eigenes Postfach, damit wir dir direkt antworten können.

Konfiguration im Shop speichern: Wählst du im Konfigurator "Konfiguration im Shop speichern", schickt dein Browser die Konfiguration an unseren Server, also Maße, Glas, Kante, Beschläge und die übrige Auswahl. Sie liegt dann in deinem Warenkorb. Im Shop gespeicherte Konfigurationen sind deiner Sitzung und, wenn du angemeldet bist, deinem Kundenkonto zugeordnet.

Merkzettel auf den Glasseiten: Ein Merkzettel-Link enthält deine Konfiguration und Stückzahl. Das Erstellen und Öffnen speichert den Merkzettel nicht auf unserem Server. Wer den Link hat, kann die Konfiguration sehen. Wenn du eine Anfrage sendest, speichern wir die Konfiguration und ihren Merkzettel-Link zusammen mit deinen Kontaktangaben zur Bearbeitung der Anfrage. Merkst du ihn dir im Kundenkonto, speichern wir ihn auf deiner Merkliste (Abschnitt 5).

Originalzeichnungen: Im Warenkorb kannst du freiwillig eigene Zeichnungen als PDF- oder DXF-Datei hinzufügen, höchstens zehn Dateien mit zusammen 100 MB; die Höchstgröße je Datei steht am Upload. Wir speichern die Datei mit Dateiname, Größe, Prüfsumme und Zeitpunkt auf unserem Server, zugeordnet deiner Sitzung und, wenn du angemeldet bist, deinem Kundenkonto. Abrufen können sie nur du und wir. Schickst du eine Anfrage oder Bestellung ab, ordnen wir die Dateien ihr zu und nutzen sie zur Prüfung und Fertigung. Dateien, die du nicht mit einer Anfrage oder Bestellung abschickst, kannst du selbst entfernen; sonst löschen wir sie, sobald sie älter als 24 Stunden sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du uns um ein Angebot bittest.

9. Online-Widerruf

Über "Vertrag widerrufen" im Fußbereich jeder Seite kannst du ohne Anmeldung widerrufen. Wir speichern deinen Namen, deine E-Mail-Adresse, die Bestellnummer, die betroffenen Positionen und deine Nachricht, falls du sie angibst, den Zeitpunkt des Eingangs und eine Referenznummer, für die Bearbeitung außerdem den Stand und interne Notizen. An deine E-Mail-Adresse senden wir eine Eingangsbestätigung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Rückabwicklung des Vertrags und Art. 6 Abs. 1 lit. c DSGVO für die gesetzlich vorgeschriebene Eingangsbestätigung.

10. Kontakt per E-Mail oder Telefon

Wenn du uns schreibst oder anrufst, verarbeiten wir deine Angaben, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag oder Angebot, sonst Art. 6 Abs. 1 lit. f DSGVO.

11. E-Mail-Versand und unser Postfach

Der Shop verschickt Eingangs- und Auftragsbestätigungen, Versandmails, Mails zu Stornierung und Erstattung, Eingangsbestätigungen für Widerrufe und für unverbindliche Anfragen, Links zum Zurücksetzen des Passworts und zum Bestätigen einer neuen E-Mail-Adresse und Hinweise zu Änderungen an deinem Konto. An unser eigenes Postfach geht ein Hinweis auf jede neue Bestellung und Anfrage. Jede Nachricht legen wir vor dem Versand in einem Postausgang auf unserem Server ab, mit Empfängeradresse, Inhalt und Anhängen.

Unser Postfach info@oberkersch.com liegt bei Google Workspace. Vertragspartner für Google Workspace im Europäischen Wirtschaftsraum ist die Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Dort kommen deine E-Mails an uns und die Hinweise des Shops an. Mit Google haben wir den Zusatz zur Verarbeitung von Cloud-Daten abgeschlossen, einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Versand der Shopmails: Der Shop verschickt seine Mails, etwa die Eingangsbestätigung deiner Bestellung, über unser Postfach info@oberkersch.com bei Google Workspace, also ebenfalls über die Google Cloud EMEA Limited mit demselben Vertrag zur Auftragsverarbeitung. Google verarbeitet die Mails in seinen Rechenzentren, auch außerhalb der Europäischen Union (siehe Übermittlung außerhalb der EU).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. Übergabe an die Warenwirtschaft

Bestellungen übernehmen wir mit Name, Anschriften, E-Mail-Adresse und Bestellinhalt in unsere Warenwirtschaft Odoo und bearbeiten dort Fertigung, Versand und Rechnung. Eine automatische Übermittlung vom Shop an Odoo ist zum Start nicht eingerichtet.

Odoo betreiben wir selbst auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Mit Hetzner haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13. Schutz vor Missbrauch

Damit niemand den Shop mit massenhaften Anfragen stört oder Passwörter durchprobiert, zählen wir, wie viele Aufrufe in kurzer Zeit kommen. Lesende Aufrufe wie Warenkorb und Kundenkonto zählen wir je Sitzung, also an der zufälligen Kennung aus dem Cookie. Anmeldung, Registrierung, Passwort, Bestellung, Anfrage und Widerruf zählen wir je IP-Adresse.

Sperre bei Angriffen: Ruft eine IP-Adresse wiederholt Adressen auf, die es in unserem Shop nicht gibt und die nur Angriffswerkzeuge abfragen, etwa die Anmeldeseite eines anderen Shopsystems oder Passwortdateien, oder weist die Anfragebremse sie in kurzer Zeit sehr oft ab, sperren wir diese IP-Adresse für eine Stunde, bei Wiederholung innerhalb von 24 Stunden für einen Tag. Bei IPv6-Adressen gilt die Sperre für den Adressbereich eines Anschlusses (/64).

Schutz des Kundenkontos: Wird für eine E-Mail-Adresse achtmal innerhalb von 15 Minuten ein falsches Passwort eingegeben, sperren wir die Anmeldung mit dieser Adresse für 15 Minuten, bei jeder weiteren Sperre innerhalb von 24 Stunden doppelt so lange, höchstens einen Tag. Dafür halten wir einen Prüfwert der E-Mail-Adresse, die Fehlversuche und den Zeitpunkt der Sperre fest. Mit "Passwort vergessen" hebst du die Sperre sofort auf. Sperren wir ein bestehendes Kundenkonto, halten wir das mit der Kennung des Kontos im Protokoll fest (Abschnitt 14).

IP-Adressen und Prüfwerte halten wir dafür nur im Arbeitsspeicher des Servers, zusammen mit dem Zweck, dem Zählerstand und dem Ablaufzeitpunkt. Sie kommen nicht in die Datenbank, nicht ins Protokoll und in keine Logdatei des Shops. Ein Zählerstand gilt je nach Funktion eine Minute bis eine Stunde; abgelaufene Zählerstände löscht der stündliche Löschlauf, spätestens also eine Stunde nach Ablauf. Nach einer Sperre behalten wir IP-Adresse oder Prüfwert 24 Stunden ab Beginn der Sperre, damit eine Wiederholung länger gesperrt wird; danach löscht sie der nächste stündliche Löschlauf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer Shop.

14. Protokoll und Datensicherung

Wir protokollieren wichtige Vorgänge im Shop, zum Beispiel den Eingang von Bestellungen, Anfragen und Widerrufen und Änderungen durch unsere Mitarbeiter. Das Protokoll enthält den Zeitpunkt, die Art des Vorgangs, die betroffene Bestellung oder Anfrage und bei angemeldeten Kunden die Kennung des Kundenkontos, aber keine IP-Adresse. Es dient dazu, Abläufe nachzuvollziehen und Fehler zu finden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Datensicherung: Kurz nach jedem Start und danach alle 24 Stunden sichert der Shop seine Datenbank auf demselben Server, in einem Ordner, auf den nur das Dienstkonto des Shops und die Serververwaltung zugreifen können. Die letzten 14 Sicherungen bleiben erhalten, ältere löscht der Shop bei der nächsten Sicherung. Eine Sicherung enthält alle Daten aus den Abschnitten 5 bis 14. Zusätzlich holt unser IT-Dienstleister UNZWEIDEUTIG Webdesign die Sicherungen alle 6 Stunden ab. Sie werden schon auf dem Server verschlüsselt (Verfahren age), unverschlüsselt verlassen sie den Server nie. Der Dienstleister bewahrt die letzten 30 Sicherungen auf einem eigenen Rechner auf, der außerhalb der Europäischen Union steht (Thailand). Mit dem Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

15. Empfänger und Übermittlung außerhalb der EU

Deine Daten erhalten nur Stellen, die wir für den Betrieb des Shops und die Abwicklung deiner Bestellung brauchen:

• Hosting: netcup GmbH, siehe Abschnitt 3
• Zahlungsdienst: siehe Abschnitt 7
• E-Mail und Postfach: siehe Abschnitt 11
• Reichweitenmessung, nur mit deiner Einwilligung: Google Ireland Limited (Google Analytics), siehe Abschnitt 4
• Warenwirtschaft: Hetzner Online GmbH als Dienstleister für den Server unserer selbst betriebenen Warenwirtschaft Odoo, siehe Abschnitt 12
• Versand: Für die Zustellung geben wir Name, Lieferanschrift, E-Mail-Adresse und, wenn du sie angegeben hast, Telefonnummer an den Paketdienst (DHL oder DPD) oder an die Spedition, die deine Sendung ausliefert. E-Mail-Adresse und Telefonnummer nutzen sie, um dir die Zustellung anzukündigen und einen Termin mit dir abzustimmen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Angaben für die Zustellung nötig sind, sonst unser berechtigtes Interesse an einer planbaren Zustellung, Art. 6 Abs. 1 lit. f DSGVO.
• Finanzamt: Unsere Buchführung läuft in Odoo; die steuerlichen Meldungen übermitteln wir monatlich über ELSTER an das Finanzamt. Rechnungsdaten erhält das Finanzamt, soweit steuerrechtliche Pflichten es verlangen, Art. 6 Abs. 1 lit. c DSGVO.

Für die Warenwirtschaft Odoo erfolgt keine Übermittlung außerhalb der Europäischen Union. Dasselbe gilt für das Hosting bei netcup.

Google kann Daten aus Google Workspace an die Google LLC in den USA übermitteln. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; dafür gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), ergänzend die Standardvertragsklauseln im Vertrag zur Auftragsverarbeitung. Zur Übermittlung durch PayPal siehe Abschnitt Zahlung. Zur Übermittlung durch Google Analytics siehe Abschnitt 4.

16. Wie lange wir Daten speichern

Automatisch gelöscht werden, in einem stündlichen Löschlauf:

• Sitzungen samt Warenkorb nach Ablauf der 7 Tage
• Preisübersichten aus der Kasse einen Tag nach Ablauf ihrer 15 Minuten, wenn daraus keine Bestellung geworden ist
• Links zum Zurücksetzen des Passworts nach Ablauf der 30 Minuten
• Originalzeichnungen, die nicht mit einer Anfrage oder Bestellung abgeschickt wurden, 24 Stunden nach dem Hochladen

Für die übrigen Daten gelten diese Fristen. Eine automatische Löschung ist dafür noch nicht eingerichtet, wir löschen nach Ablauf der Frist:

• Bestellungen samt zugeordneter Originalzeichnungen: bis zum Ende der gesetzlichen Aufbewahrungsfristen nach Handels- und Steuerrecht (§ 257 HGB, § 147 AO)
• Kundenkonten mit Adressen und Merkliste: bis du dein Konto löschen lässt, spätestens nach 3 Jahren ohne Anmeldung; vorher bekommst du einen Hinweis per E-Mail
• Anfragen ohne Bestellung, auch Anfragen aus dem Kundenkonto, samt zugeordneter Originalzeichnungen: 2 Jahre nach der letzten Nachricht
• Im Shop gespeicherte Konfigurationen: 2 Jahre nach der letzten Änderung
• Widerrufe: 3 Jahre
• Datenschutzanfragen: 3 Jahre
• Postausgang: 6 Monate nach dem Versand
• Protokoll: 1 Jahr

Google Analytics löscht die Ereignisdaten spätestens nach 14 Monaten, seine Cookies laufen nach 2 Jahren ab (Abschnitt 4). Die Tageszähler der Besuchszählung enthalten keine Angaben zu Personen und bleiben gespeichert (Abschnitt 3).

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO).

Mit Kundenkonto kannst du Auskunft, Berichtigung oder Löschung direkt unter "Deine Datenschutzrechte" in deinem Konto anfordern. Ohne Konto schreibst du uns an die Kontaktdaten in Abschnitt 1. Wir speichern die Art deiner Anfrage, den Zeitpunkt, das betroffene Konto, den Bearbeitungsstand und interne Notizen zur Bearbeitung, Art. 6 Abs. 1 lit. c DSGVO. Gesetzliche Aufbewahrungspflichten können einer vollständigen Löschung entgegenstehen.

Unabhängig davon kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, Art. 77 DSGVO. Zuständig für uns ist:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit
Häßlerstraße 8, 99096 Erfurt
www.tlfdi.de

18. Änderungen

Wir passen diese Erklärung an, wenn sich der Shop ändert. Maßgeblich ist immer die hier veröffentlichte Fassung.

Stand: 25.10.2026