Datenschutzerklärung

1. Verantwortlicher

JS-IT
Sebastian Janitzek
Dreiländerstr. 52
85049 Ingolstadt
E-Mail: kontakt@kaufbio.de

2. Übersicht der Verarbeitungen

Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen und verweist auf die betroffenen Personen.

Verarbeitungsübersicht

3. Hosting

Diese Website wird bei Cloudflare Pages gehostet. Anbieter ist die Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA.

Beim Besuch unserer Website werden automatisch Informationen in sogenannten Server-Log-Dateien gespeichert, die dein Browser automatisch an uns übermittelt. Dies sind: Browsertyp und -version, verwendetes Betriebssystem, Referrer URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse.

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung seiner Website. Server-Logs werden nach 30 Tagen automatisch gelöscht.

3.1 Grobe Standortbestimmung (IP-Geolocation)

Auf der Seite /biomaerkte nutzen wir eine grobe, IP-basierte Standortbestimmung, um Bio-Märkte in der Nähe des Besuchers anzuzeigen, ohne dass der Browser-Standort (GPS-Geolocation) explizit freigegeben werden muss.

Die Verarbeitung erfolgt ausschließlich serverseitig innerhalb der Cloudflare-Workers-Umgebung. Der Request wird vom nächstgelegenen Knoten des Cloudflare-Edge-Netzwerks bearbeitet (typischerweise innerhalb der EU für Besucher aus dem DACH-Raum). Cloudflare stellt unserem Server-Code automatisch grobe Geo-Metadaten (Stadt-Level, ungefähre Breitengrad/Längengrad-Werte mit ~10–50 km Genauigkeit) bereit, die aus der IP-Adresse abgeleitet werden. Die IP-Adresse wird im Worker ausschließlich zur Geolocation-Ableitung verwendet, nicht protokolliert oder gespeichert; es findet kein Aufruf eines externen Geolocation-Dienstes statt. Es werden keine Cookies oder anderen Identifier auf dem Endgerät gespeichert.

Cloudflare ist nach Art. 28 DSGVO unser Auftragsverarbeiter. Soweit eine Übermittlung von Personendaten in ein Drittland (z. B. USA) im Rahmen des Edge-Routings stattfindet, erfolgt diese auf Grundlage der EU-Standardvertragsklauseln (SCCs) und des Cloudflare-Auftragsverarbeitungs-Addendums (DPA).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Personalisierung des angezeigten Inhalts, um die Nutzbarkeit der Marktsuche zu verbessern). Du kannst der Verarbeitung jederzeit widersprechen, indem du auf der Seite /biomaerkte die Schaltfläche „DACH-Überblick zeigen" wählst.

Optional kannst du den präzisen Standort deines Geräts (über die Browser-Geolocation-API) freigeben, um eine genauere Umkreissuche zu erhalten. Diese Freigabe erfolgt ausschließlich durch eine ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) im nativen Standort-Berechtigungsdialog deines Browsers. Die Koordinaten werden nur im Browser verwendet und nicht an unseren Server übertragen.

4. Schriftarten (Self-Hosting)

Diese Website verwendet die Schriftarten „DM Sans" und „DM Serif Display" von Google Fonts. Die Schriftarten sind lokal auf unserem Server eingebunden und werden beim Aufruf der Website direkt von unserer Domain ausgeliefert. Es findet dabei kein Datentransfer an Google oder andere Drittanbieter statt.

Die Einbindung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer einheitlichen Darstellung der Website.

5. Cookies

Unsere Website verwendet Cookies und ähnliche Technologien (localStorage). Dabei unterscheiden wir zwischen drei Kategorien:

5.1 Notwendige Cookies / localStorage

Diese sind für die Grundfunktionalität der Website erforderlich und werden ohne Einwilligung gesetzt (§ 25 Abs. 2 TTDSG, Art. 6 Abs. 1 lit. f DSGVO):

• kb-cookie-consent — Speichert deine Cookie-Einstellungen (localStorage)
• kb-dark-mode — Dark-Mode-Einstellung (localStorage)
• kb-bookmarks — Gespeicherte Lesezeichen (localStorage)
• kb-reading-history — Zuletzt gelesene Artikel (localStorage)
• kb-article-ratings — Deine Artikel-Bewertungen (localStorage)

5.2 Statistik-Cookies

Diese Cookies werden nur mit deiner ausdrücklichen Einwilligung gesetzt (Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Einwilligung jederzeit über den Cookie-Banner widerrufen — nutze dafür den Button „Cookie-Einstellungen" im Footer unserer Website.

5.3 Marketing-Cookies

Affiliate-Tracking-Cookies (z. B. Amazon PartnerNet) werden nur mit deiner Einwilligung aktiviert. Ohne Marketing-Consent werden keine Affiliate-Cookies von Drittanbietern gesetzt. Siehe Abschnitt „Affiliate-Links" für Details.

6. Analyse-Tools

6.1 Eigene Reichweitenmessung (Cookie-frei)

Wir setzen eine eigene, Cookie-freie Reichweitenmessung ein, um zu verstehen wie unsere Inhalte genutzt werden und sie weiterentwickeln zu können. Folgende Daten werden in unserer eigenen Datenbank (Cloudflare D1, EU-Region) gespeichert:

• URL der besuchten Seite, Verweildauer, Scroll-Tiefe, Klicks auf Schaltflächen mit data-track-Markierung
• Anonymisierte IP-Adresse als SHA-256-Hash mit täglich rotierendem Salt — eine Re-Identifizierung am nächsten Tag ist nicht möglich
• Anonymisierter User-Agent (gleicher Hash-Mechanismus)
• Gerät-Kategorie (mobile / tablet / desktop) und Land (aus Cloudflare-Geolocation)
• Referrer auf Domain-Ebene (z. B. „google.de", nicht voller URL-Pfad)
• Eine zufällige Session-ID, die nur in deinem Browser-Tab (sessionStorage) existiert — kein Cookie, kein Wiedererkennen über Sessions hinweg

Es werden keine Cookies gesetzt, keine Daten an externe Dienste übermittelt, kein Tracking über Sitzungen hinweg ist möglich. Bots und Crawler werden auf Basis des User-Agent gefiltert und nicht erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung und Optimierung des eigenen Angebots, kein Profiling, keine Identifizierung). Da keine personenbezogenen Daten i. S. d. Art. 4 DSGVO verarbeitet werden — IP- und User-Agent werden vor Speicherung gehasht und mit einem täglich rotierenden Salt versehen — ist eine zusätzliche Einwilligung nicht erforderlich.

Aufbewahrungsdauer: 12 Monate, danach automatische Löschung der aggregierten Tagesdaten.

6.2 Google Analytics 4

Diese Website nutzt Funktionen des Webanalysedienstes Google Analytics 4. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Google Analytics wird nur aktiviert, wenn du im Cookie-Banner der Kategorie „Statistik" ausdrücklich zustimmst. Wir nutzen die IP-Anonymisierung. Deine IP-Adresse wird von Google innerhalb der EU gekürzt. Die Datenverarbeitung erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Die Aufbewahrungsdauer der Analytics-Daten beträgt 14 Monate. Du kannst deine Einwilligung jederzeit über den Button „Cookie-Einstellungen" im Footer widerrufen.

7. Newsletter

Wenn du unseren Newsletter abonnierst, verwenden wir das Double-Opt-In-Verfahren: Nach Eingabe deiner E-Mail-Adresse erhältst du eine Bestätigungs-Mail. Erst nach Klick auf den Bestätigungslink wirst du in den Verteiler aufgenommen. So stellen wir sicher, dass nur du selbst dich anmelden kannst.

Die von dir angegebene E-Mail-Adresse wird ausschließlich für den Versand des Newsletters verwendet. Der Versand erfolgt über GoLiveHub (ein Dienst von JS-IT). Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Du kannst deine Einwilligung jederzeit widerrufen, z. B. über den Abmeldelink in jedem Newsletter. Deine E-Mail-Adresse wird nach Widerruf innerhalb von 30 Tagen aus dem Verteiler gelöscht.

8. Bio-Markt-Claim & Magic-Link-Authentifizierung

Bio-Markt-Betreiber können auf KaufBio ihren Markt-Eintrag beanspruchen (sog. „Claim"), um Öffnungszeiten, Beschreibung, Fotos und Kontakt pflegen zu können. Zur Identitätssicherung nutzen wir ein Magic-Link-Verfahren:

8.1 Welche Daten werden verarbeitet?

• E-Mail-Adresse (zwingend) — für Identitätsnachweis und Rückfragen
• Name, Telefonnummer, Position im Betrieb (optional) — für Premium-Funktionen und Support
• IP-Adresse des Claim-Zeitpunkts — für Missbrauchsprävention und Rate-Limiting
• Angeforderter Markt-ID/Slug — Zuordnung des Claims

8.2 Ablauf & Rechtsgrundlage

Nach Absenden des Claim-Formulars erhältst du eine E-Mail mit einem einmaligen, 24 Stunden gültigen Login-Link (JWT-signiert). Nur wer auf den Link klickt, erhält Zugang zum Owner-Dashboard. Das Verfahren ist Double-Opt-In im Sinne des § 7 UWG und der DSGVO-Rechtsprechung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung/Anbahnung eines Vertragsverhältnisses mit dem Markt-Inhaber) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Spam-/Missbrauchsprävention für Rate-Limiting und IP-Logging).

8.3 Empfänger / Auftragsverarbeiter

• E-Mail-Versand (Magic-Link): Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg — Versand über Amazon SES, Region eu-central-1 (Frankfurt). Es besteht ein Auftragsverarbeitungsvertrag nach AWS GDPR Data Processing Addendum.
• Eingehende E-Mail-Weiterleitung: Cloudflare, Inc. (vertreten durch Cloudflare Germany GmbH für EU). Cloudflare Email Routing leitet eingehende Mails an *@kaufbio.de an unsere Haupt-Mailbox weiter. Mail-Inhalte werden nicht gespeichert, nur geroutet.
• Datenspeicherung: Cloudflare D1 SQL-Datenbank (innerhalb der EU gehostet) — Claims, Token, Magic-Link-Logs, Ratings, Kommentare. Cloudflare ist nach Art. 28 DSGVO unser Auftragsverarbeiter; Drittland-Übermittlungen sind durch EU-Standardvertragsklauseln (SCCs) und das Cloudflare-DPA abgesichert.

8.4 Speicherdauer

Magic-Link-Tokens sind 24 Stunden gültig und werden danach ungültig, bleiben aber im Audit-Log (für Missbrauchsprävention) bis zu 90 Tagen gespeichert. Claim-Datensätze (zu welchem Markt du wann einen Anspruch gestellt hast) bleiben bis zum Widerruf gespeichert, damit wir den Owner-Status belegen können. Ein Widerruf ist jederzeit per Kontakt-Formular oder per E-Mail möglich:

8.5 Foto-Upload durch Markt-Inhaber (Owner-Dashboard)

Im Owner-Dashboard können verifizierte Markt-Inhaber Fotos ihres Ladens hochladen. Vor dem ersten Upload muss der Owner durch eine Checkbox ausdrücklich bestätigen: „Ich habe die Erlaubnis aller im Foto erkennbaren Personen, dieses Foto auf KaufBio.de zu veröffentlichen (Art. 7 DSGVO + KUG §22)."

Diese Bestätigung ist erforderlich, weil das Recht am eigenen Bild nach §§ 22, 23 KunstUrhG (KUG) sowie die DSGVO eine Einwilligung der abgebildeten Personen verlangt, sofern diese identifizierbar sind und kein gesetzlicher Ausnahmetatbestand greift. Der Owner ist als Verantwortlicher i. S. v. Art. 4 Nr. 7 DSGVO für die Einholung dieser Einwilligungen zuständig; KaufBio dient als technische Plattform und Auftragsverarbeiter für die Veröffentlichung.

Zur Beweissicherung der Einwilligung speichern wir zu jedem Upload:

• Den genauen Wortlaut der Bestätigungs-Checkbox (Versionierung)
• Den Zeitstempel der Bestätigung
• Einen SHA-256-Hash aus IP-Adresse + Markt-Kennung des Owners (nicht die Klartext-IP) — als pseudonymisierter Beweis, dass der Klick aus dem Owner-Account heraus erfolgte
• Die E-Mail-Adresse des Owners (für die Account-Zuordnung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Owner — wir stellen ihm die Upload-Funktion bereit) i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung der abgebildeten Personen muss erbringbar sein). Der Hash der IP-Adresse stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchs- und Beweissicherung).

Speicherdauer: Das Foto bleibt gespeichert, bis der Owner es löscht. Der Consent-Beweis (Hash + Wortlaut + Zeitstempel) wird darüber hinaus für die regelmäßige Verjährungsfrist von 3 Jahren nach Löschung des Fotos aufbewahrt, um etwaigen Ansprüchen abgebildeter Personen mit einem Nachweis der eingeholten Einwilligung begegnen zu können (§ 195 BGB i. V. m. Art. 17 Abs. 3 lit. e DSGVO).

Hinweis an abgebildete Personen: Solltest du auf einem Foto eines Bio-Markts erkennbar sein und der Veröffentlichung widersprechen wollen, wende dich bitte über das untenstehende Formular an uns. Wir prüfen dein Anliegen unverzüglich und entfernen das Foto in begründeten Fällen umgehend.

8.6 Wochenangebote (Premium-Funktion)

Premium-Markt-Inhaber können auf KaufBio Wochenangebote (z. B. Aktions- Sortiment, Rabatte) veröffentlichen. Verarbeitete Daten: Titel, Beschreibung, Gültigkeitszeitraum, optionales Bild. Es werden keine personenbezogenen Daten der Endkunden verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Owner-Account). Speicherdauer: Bis der Owner das Angebot löscht; danach erfolgt die Löschung unverzüglich (Soft-Delete < 24 h, Hard-Delete < 30 Tage).

8.7 Profilaufruf-Statistik für claimende Owner

Verifizierte Owner sehen in ihrem Dashboard eine Statistik über die Aufrufe ihres Markt-Profils. Die Daten werden ausschließlich auf PLZ-Level (5-stellig) aggregiert; einzelne Besucher sind nicht identifizierbar. Es werden keine Cookies oder anderen Identifier auf Endgeräten der Besucher gesetzt; die Aggregation erfolgt serverseitig auf Basis der bereits zur technischen Auslieferung notwendigen Request-Metadaten (siehe Abschnitt 3) und wird unmittelbar nach Bildung der PLZ-Bucket-Werte verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die Information des Owners über die Reichweite seines Eintrags, um die Plattform-Leistung gegenüber dem Owner-Vertragsverhältnis nachzuweisen. Speicherdauer: Aggregierte PLZ-Bucket-Werte werden für 12 Monate vorgehalten und danach gelöscht. Es werden zu keinem Zeitpunkt personenbezogene Einzelaufrufe gespeichert.

8.8 iFrame-Einbettung („Embed") auf Drittseiten

KaufBio bietet Drittseiten die Möglichkeit, einzelne Inhalte (z. B. Markt-Karte oder Markt-Profil) per iFrame in ihre eigene Website einzubetten. Wenn ein Besucher eine solche Drittseite aufruft, lädt sein Browser direkt von KaufBio.de Inhalte nach. Dabei übermittelt der Browser des Besuchers an unseren Server technisch zwingend:

• Die IP-Adresse des Besuchers
• User-Agent (Browser-Kennung)
• Den HTTP-Referer (URL der einbettenden Drittseite)
• Zeitstempel des Aufrufs

Diese Verarbeitung erfolgt analog zu YouTube-/Vimeo-Embeds. Wir speichern diese Daten in den allgemeinen Server-Logs (siehe Abschnitt 3) für 30 Tage und nutzen sie ausschließlich zum technischen Betrieb, zur Sicherheit (z. B. Abuse-Detection bei massenhaften Embed-Aufrufen) und zur aggregierten Reichweitenmessung. Es werden keine Cookies im Embed gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auslieferung eingebetteter Inhalte sowie an der technischen Sicherheit). Drittseiten, die KaufBio einbetten, sind als eigene Verantwortliche i. S. v. Art. 4 Nr. 7 DSGVO verpflichtet, ihre Besucher über die Einbindung in der eigenen Datenschutzerklärung zu informieren und ggf. eine Einwilligung einzuholen, falls sie eine solche für ihre eigene Verarbeitung benötigen.

9. Affiliate-Links

Diese Website enthält Affiliate-Links, insbesondere zu Amazon (Amazon PartnerNet, Tracking-ID: kaufbio28-21). Affiliate-Links sind mit einem * gekennzeichnet.

9.1 Wie funktioniert Affiliate-Tracking?

Wenn du auf einen Affiliate-Link klickst und der Kategorie „Marketing" im Cookie-Banner zugestimmt hast, setzt Amazon ein Cookie auf deinem Gerät. Dieses Cookie hat eine Laufzeit von 24 Stunden und dient der Zuordnung der Provision zu unserer Website. Kaufst du innerhalb dieser 24 Stunden ein Produkt bei Amazon, erhalten wir eine kleine Provision.

9.2 Rechtsgrundlage

Die Datenverarbeitung durch Affiliate-Cookies erfolgt auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Ohne deine Einwilligung in der Kategorie „Marketing" werden keine Affiliate-Tracking-Cookies gesetzt.

9.3 Datenempfänger

Amazon Europe Core S.à r.l., 38 Avenue John F. Kennedy, L-1855 Luxemburg. Weitere Informationen findest du in der Datenschutzerklärung von Amazon .

10. Lokale Speicherung (localStorage)

Wir nutzen die localStorage-Funktion deines Browsers, um folgende Daten ausschließlich lokal auf deinem Gerät zu speichern:

• Cookie-Einstellungen (Consent-Status und Zeitstempel)
• Lesezeichen (gespeicherte Artikel)
• Lese-Verlauf (zuletzt gelesene Artikel)
• Artikel-Bewertungen
• Dark-Mode-Einstellung

Diese Daten werden nicht an unsere Server übertragen. Du kannst sie jederzeit über die Browser-Einstellungen löschen.

11. Cookie-Einstellungen ändern

Du kannst deine Cookie-Einstellungen jederzeit über den Button „Cookie-Einstellungen" im Footer unserer Website ändern. Dort kannst du einzelne Kategorien (Statistik, Marketing) aktivieren oder deaktivieren. Notwendige Cookies/localStorage sind davon nicht betroffen, da sie für den Betrieb der Website erforderlich sind.

12. Deine Rechte

Du hast jederzeit das Recht:

• Auskunft über deine bei uns gespeicherten Daten zu erhalten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung deiner Daten zu verlangen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• Datenübertragbarkeit zu verlangen (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung einzulegen (Art. 21 DSGVO)
• Eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO)
• Dich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

13. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand April 2026. Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht.