Privacy Policy

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Anas Shehadeh, Bemilk, Breite Str. 45, 66115 Saarbrücken · E-Mail: info@bemilk.de · Telefon: 01771561314

2. Ihre Rechte & allgemeine Hinweise

Sie haben jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Ihnen steht zudem ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO); für uns zuständig ist das Unabhängige Datenschutzzentrum Saarland. Wenden Sie sich hierzu an info@bemilk.de. Rechtsgrundlagen sind je nach Verarbeitung Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Vertragserfüllung bzw. vorvertragliche Maßnahmen (lit. b), rechtliche Pflichten (lit. c) oder unser berechtigtes Interesse (lit. f).

3. Hosting & Datenbank

Unsere Website wird bei der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern (EU) betrieben. Anwendungsdaten (Produkte, Bestellungen, Franchise-/Kontaktanfragen, Inhalte, Rechnungen) speichern wir in einer Datenbank des Anbieters Supabase; die Speicherung erfolgt nach unserer Projektkonfiguration innerhalb der Europäischen Union. Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO (sichere, effiziente Bereitstellung).

4. Server-Log-Dateien

Beim Aufruf der Website werden automatisch Informationen in Server-Log-Dateien erfasst, die Ihr Browser übermittelt: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname, Uhrzeit der Anfrage und IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die kurzzeitige Verarbeitung der IP-Adresse dient auch der Abwehr von Missbrauch (z. B. Begrenzung der Anfragehäufigkeit). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (technisch fehlerfreier, sicherer Betrieb).

5. Cookies, Speicherung & Einwilligung (TDDDG)

Technisch notwendige Speicherungen erfolgen auf Grundlage von § 25 Abs. 2 TDDDG bzw. Art. 6 Abs. 1 lit. f DSGVO. Dazu gehören: bemilk_cc (Cookie, speichert Ihre Cookie-Auswahl, 6 Monate), bemilk-cart (Warenkorb, localStorage), bemilk-last-order (Funktion „Nochmal bestellen“ – speichert nur Bestellnummer und Produktbezüge, keine Kontaktdaten, localStorage) sowie im Bezahlvorgang die Betrugspräventions-Cookies von Stripe (__stripe_mid, __stripe_sid).

Alle nicht notwendigen Dienste (Statistik, Marketing, externe Inhalte) werden erst nach Ihrer Einwilligung geladen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Wir setzen dafür ein selbst gehostetes Einwilligungs-Tool ein; ein externer Consent-Dienstleister wird nicht eingebunden, es findet keine Datenübermittlung an Dritte durch das Tool statt. Vor einer Einwilligung wird kein Analyse-, Werbe- oder Drittanbieter-Dienst geladen. Ihre Auswahl können Sie jederzeit über die Cookie-Einstellungen ändern oder widerrufen. Die Datenübertragung erfolgt SSL-/TLS-verschlüsselt.

6. Bestellungen & Vertragsabwicklung

Zur Abwicklung Ihrer Bestellung verarbeiten wir die von Ihnen angegebenen Daten: Name, Telefonnummer, optional E-Mail-Adresse, Bestellpositionen und Hinweise, gewünschte Abholzeit, Zahlungsart und Zahlungsstatus sowie die vergebene Bestellnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Personenbezogene Bestelldaten (Name, Telefon, E-Mail) werden 30 Tage nach der Bestellung automatisch anonymisiert. Rechnungs- und buchhaltungsrelevante Unterlagen bewahren wir aufgrund gesetzlicher Pflichten 10 Jahre in einem privaten Speicher auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

7. Kundendisplay im Ladenlokal

Im Ladenlokal zeigt ein Bildschirm den Bearbeitungsstand der Bestellungen an. Angezeigt wird ausschließlich die Bestellnummer – keine Namen, Telefonnummern, E-Mail-Adressen oder sonstigen personenbezogenen Daten.

8. Zahlungsdienstleister (Stripe)

Bei Kartenzahlung werden die Zahlungsdaten über den eingebetteten Bezahlvorgang direkt durch die Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) verarbeitet. Vollständige Kartendaten werden direkt an Stripe übermittelt; wir erhalten und speichern sie nicht. Bei uns gespeichert werden lediglich Zahlungsart, Zahlungsstatus und eine Stripe-Zahlungsreferenz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention). Weitere Informationen: stripe.com/de/privacy.

9. E-Mail-Versand (Resend)

Für den Versand von Bestellbestätigungen (inkl. Rechnung als PDF-Anhang) sowie Franchise-/Kontakt-Bestätigungen nutzen wir den Dienst der Resend, Inc. (USA). Übermittelt werden die zum Versand nötigen Daten (Name, E-Mail-Adresse, Bestell- bzw. Rechnungsdaten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO; es besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Da eine Verarbeitung in den USA erfolgt, wird die Übermittlung durch die EU-Standardvertragsklauseln (Art. 46 DSGVO) – und, soweit der Anbieter zertifiziert ist, durch das EU-US Data Privacy Framework – abgesichert (Art. 44 ff. DSGVO).

10. Kontakt- & Franchise-Formular, Anfragen per E-Mail/Telefon

Wenn Sie uns über das Franchise-/Kontaktformular oder per E-Mail bzw. Telefon kontaktieren, verarbeiten wir die angegebenen Daten (u. a. Name, E-Mail, Telefon, Ort, Kapitalrahmen, Nachricht) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (effektive Bearbeitung) bzw. Ihre Einwilligung (lit. a). Die Daten verbleiben bei uns, bis der Zweck entfällt oder Sie die Löschung verlangen; gesetzliche Aufbewahrungsfristen bleiben unberührt.

11. Statistik & Werbung (nur nach Einwilligung)

Die folgenden Dienste werden ausschließlich nach Ihrer Einwilligung über den Google Tag Manager (Google Ireland Ltd.) geladen; vor der Einwilligung besteht durch Google Consent Mode v2 keine Verbindung zu diesen Anbietern. Google Analytics 4 analysiert die Nutzung (u. a. gekürzte IP-Adresse, Geräte-/Interaktionsdaten); wir übertragen dabei ausschließlich pseudonyme Ereignisse (u. a. „begin_checkout“ und „purchase“ mit Bestellwert und Bestellnummer) – keine Namen, Telefonnummern oder E-Mail-Adressen. Speicherdauer bis zu 14 Monate. Sofern in unserem Tag-Manager-Container aktiviert, kommen Google Ads (Conversion-Tracking), Meta Pixel (Meta Platforms Ireland Ltd.) und das TikTok Pixel (TikTok Technology Ltd.) hinzu. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Eine Übermittlung in die USA ist möglich; Google und Meta sind nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln (für TikTok die Standardvertragsklauseln, Art. 44 ff. DSGVO).

12. Externe Inhalte (nur nach Einwilligung)

Google Maps (Google Ireland Ltd.) binden wir zur Darstellung unserer Standorte ein, und unseren TikTok-Feed (TikTok Technology Ltd.) als eingebetteten Inhalt. Vor Ihrer Einwilligung wird jeweils nur ein Platzhalter mit einer Schaltfläche zum Laden angezeigt – es findet keine Verbindung statt. Erst nach dem Laden wird eine Verbindung zum Anbieter hergestellt und Ihre IP-Adresse übertragen (USA möglich, Standardvertragsklauseln bzw. DPF). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Auf der Website eingebundene Videos/Bilder in Showcase-Bereichen werden von uns selbst gehostet.

13. Google-Bewertungen

Wir zeigen ausgewählte Google-Bewertungen an. Diese werden server-seitig über die offizielle Google-Places-API abgerufen; es werden keine Profilbilder client-seitig von Google geladen, sodass beim Seitenaufruf keine Verbindung Ihres Geräts zu Google entsteht. Angezeigt werden Bewertungstext, Sterne, Autorname und ein Rücklink zum Google-Profil (Pflicht-Attribution). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (ansprechende Darstellung, Vertrauensbildung).

14. Schriftarten (Google Fonts, lokal)

Zur einheitlichen Darstellung nutzen wir Google Fonts, die lokal installiert sind. Beim Aufruf der Seite findet keine Verbindung zu Google-Servern statt; es werden keine Daten an Google übertragen.

15. Kommunikation via WhatsApp

Für die Kontaktaufnahme bieten wir einen WhatsApp-Link an (WhatsApp Ireland Limited / Meta Platforms Ireland Ltd., Dublin, Irland). Eine Verbindung zu WhatsApp wird erst hergestellt, wenn Sie den Link aktiv anklicken und uns schreiben; beim normalen Seitenaufruf entsteht keine Verbindung. Schreiben Sie uns über WhatsApp, verarbeiten wir Ihre Telefonnummer und Nachricht zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Es gelten zusätzlich die Datenschutzbestimmungen von WhatsApp; dabei ist eine Datenübermittlung in die USA möglich.

16. Speicher- und Löschfristen

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist: personenbezogene Bestelldaten bis zur Anonymisierung nach 30 Tagen; rechnungs-/steuerrelevante Unterlagen 10 Jahre (§ 147 AO, § 257 HGB); Kontakt- und Franchise-Anfragen bis zur abgeschlossenen Bearbeitung; Server-Logs nur kurzzeitig; Ihre Cookie-Einwilligung 6 Monate; Analyse-/Marketingdaten gemäß den Angaben der jeweiligen Anbieter bzw. bis zum Widerruf Ihrer Einwilligung.