Datenschutzerklärung

Die Girofood GmbH ist Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Für Datenschutzanfragen können Sie die vorstehenden Kontaktdaten mit dem Betreff „Datenschutz“ verwenden.

Je nach Nutzung verarbeiten wir insbesondere:

• Stamm- und Kontaktdaten: Name, geschäftliche E-Mail-Adresse, Telefonnummer, Funktion, Firmenname, Rechtsform, Inhaber sowie Rechnungs- und Lieferadressen.
• Registrierungs- und Nachweisdaten: Angaben aus dem Registrierungsformular, optionale Bemerkungen sowie freiwillig oder zur Prüfung eingereichte Gewerbe-, Unternehmens-, Bank- oder Identitätsnachweise. Solche Dokumente können weitere personenbezogene Daten enthalten, etwa Geburtsdaten, Ausweisangaben, Unterschriften oder Bankverbindungen.
• Konto- und Berechtigungsdaten: interne Kunden- und Nutzerkennungen, zentrale Girando-Kundennummer, Freigabestatus, Rollen, Sitzungsdaten sowie Zeitpunkte von Anmelde- und Registrierungsanfragen.
• Vertrags- und Bestelldaten: Waren, Mengen, Preise, Rabatte, Standorte, Lieferwünsche, Bestellnotizen, Dauerbestellungen, Favoriten, Bestellstatus, Ereignisprotokolle, Stornierungen und Reklamationsangaben.
• Abrechnungs- und Zahlungsdaten: Zahlungsart, Zahlungsziel, Kreditrahmen und kaufmännischer Prüfstatus, Rechnungs- und Belegdaten, Zahlungsstatus, Erstattungen und Kundenguthaben. Vollständige Zugangsdaten zu Ihrem Bankkonto erhalten wir bei einer Zahlung über Revolut nicht.
• Technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser- und Geräteinformationen, Betriebssystem, Sitzungskennungen sowie Sicherheits- und Fehlerprotokolle.
• Kommunikationsdaten: Inhalte und Metadaten geschäftlicher E-Mails, Serviceanfragen, transaktionaler Benachrichtigungen und WhatsApp-Gespräche, einschließlich mitgesendeter Medien, Kontaktangaben, Zustellinformationen und gegebenenfalls angeforderter KI-Zusammenfassungen, Antwortentwürfe und Transkripte, sowie Angaben zu geschäftlichen Telefonaten (Zeitpunkt, Dauer, Rufnummer), deren Aufzeichnungen und daraus erstellte Gesprächsnotizen.

Die Daten stammen überwiegend von Ihnen oder Ihrem Unternehmen. Zusätzlich können wir Daten erhalten:

• von einem von Ihnen oder Ihrem Unternehmen bevollmächtigten Besteller;
• von einem beteiligten Vertragspartner oder Rechnungsempfänger einer gemeinsamen Bestellung;
• aus unserem CRM-System HubSpot;
• von Mitarbeitenden und Handelsvertretern;
• von WhatsApp/Meta bei Kommunikation über angebundene Geschäftsnummern und bei freigegebener Übernahme vorhandener Business-App-Gespräche;
• von Zahlungs-, Abrechnungs-, Transport- und Zustelldienstleistern;
• aus rechtmäßig übernommenen historischen Kunden- und Bestellbeständen eines Vorgängersystems.

Werden Daten nicht direkt bei Ihnen erhoben, stellen wir die Informationen nach Art. 14 DSGVO grundsätzlich spätestens innerhalb eines Monats, bei der ersten Kommunikation mit Ihnen oder vor der ersten Offenlegung an einen weiteren Empfänger bereit – je nachdem, welcher Zeitpunkt zuerst eintritt. Dies gilt nicht, soweit eine gesetzliche Ausnahme besteht oder Sie bereits über die Informationen verfügen. Quelle, Informationszeitpunkt und bereitgestellte Fassung werden angemessen dokumentiert.

Wir verarbeiten personenbezogene Daten insbesondere für folgende Zwecke:

• Website und IT-Sicherheit: Bereitstellung, Stabilität, Fehleranalyse sowie Missbrauchs- und Betrugsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Plattform.
• Registrierung und Vertragsanbahnung: Prüfung der Gewerbeeigenschaft, Identität und Vertretungsberechtigung, Einrichtung und Freigabe des Kundenkontos sowie Bearbeitung von Anfragen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Durchführung einer verlässlichen Geschäftsbeziehung mit dem jeweiligen Unternehmen.
• Bestellung, Lieferung und Kundenkonto: Preisberechnung, Auftragsbearbeitung, Lieferung, Dauerbestellungen, Reklamationen und Kundenservice auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO bei Ansprechpartnern eines Unternehmens.
• Gemeinsame Bestellungen: Prüfung von Bevollmächtigungen, Zuordnung von Waren und Vertragspartnern, getrennte Bestätigungen, Belege und Zahlungen auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO. Unser berechtigtes Interesse liegt in der ordnungsgemäßen Durchführung und Nachweisbarkeit der von den beteiligten Unternehmen gewünschten Bestellgemeinschaft.
• Abrechnung und Zahlung: Rechnungsstellung, Zahlungsabwicklung, Erstattungen, Mahnwesen und Forderungsmanagement auf Grundlage von Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO. Das berechtigte Interesse umfasst eine geordnete Buchhaltung und die Durchsetzung oder Abwehr von Ansprüchen.
• Kaufmännische Prüfung: Verwaltung von Zahlungszielen, Kreditrahmen und internen Prüfvermerken sowie Entscheidung zwischen Rechnung und Vorkasse auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Vermeidung von Zahlungsausfällen.
• Gesetzliche Pflichten: Erfüllung handels-, steuer- und aufsichtsrechtlicher Aufbewahrungs-, Nachweis- und Auskunftspflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.
• Einwilligung: Soweit wir ausdrücklich um eine Einwilligung bitten, ist Art. 6 Abs. 1 lit. a DSGVO die Rechtsgrundlage. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Die Anwendung wird auf Infrastruktur von Vercel bereitgestellt. Vercel verarbeitet insbesondere technische Anfrage-, Verbindungs-, Sicherheits- und Fehlerdaten, soweit dies für Hosting und Auslieferung erforderlich ist. Weitere Hinweise finden Sie in der Datenschutzerklärung von Vercel.

Für Datenbank, passwortlose Anmeldung und geschützten Dateispeicher nutzen wir Supabase. Dort werden insbesondere Kundenkonten, Rollen, Bestellungen, Dokumente und Sitzungsdaten verarbeitet. Beim Login wird ein zeitlich begrenzter Magic Link erzeugt; nach erfolgreicher Bestätigung setzt Supabase technisch erforderliche Sitzungscookies. Weitere Hinweise finden Sie in der Datenschutzerklärung von Supabase.

Vercel verarbeitet im Rahmen des Anwendungsbetriebs auch die über Direct bearbeiteten Daten, einschließlich WhatsApp-Nachrichten. Bei Supabase werden die zugehörigen Gespräche, Kontaktdaten, Anhänge und gegebenenfalls Transkripte gespeichert. Für die aktuelle Anwendung ist bei Vercel Frankfurt als Funktionsregion und bei Supabase London als Projektregion eingerichtet. Diese Regionen schließen weitere Verarbeitung durch die Anbieter oder deren Unterauftragnehmer, etwa bei Support oder technischen Diensten, nicht aus. Für die KI-Unterstützung nach Ziffer 12 setzen wir zusätzlich Vercel AI Gateway mit Modellen von OpenAI und Anthropic ein.

Im Registrierungsverfahren verarbeiten wir Firmen-, Inhaber-, Kontakt-, Rechnungs- und Lieferdaten. Optional können eine Nachricht und bis zu drei Nachweisdateien übermittelt werden. Weitere Nachweise fordern wir nur an, soweit dies für die Gewerbe-, Identitäts-, Vertretungs- oder kaufmännische Prüfung erforderlich und verhältnismäßig ist.

Ausweiskopien sollen nur übermittelt werden, wenn wir sie ausdrücklich anfordern. Nicht erforderliche Angaben können nach unserer Vorgabe geschwärzt werden. Eine Ausweiskopie muss als Kopie erkennbar sein und wird nur mit der erforderlichen Zustimmung sowie für den mitgeteilten Prüfzweck verarbeitet.

Hochgeladene Nachweise werden im geschützten Dateispeicher abgelegt. Nach Freigabe eines Kunden oder bei späteren Dokumentenuploads kann eine Kopie mit einer CRM-Notiz in HubSpot gespeichert werden, damit berechtigte Vertriebs- und Servicemitarbeitende den Prüf- oder Servicevorgang bearbeiten können. Die hierfür geltenden Löschkriterien erfassen auch die Kopie im CRM-System.

Zur Verhinderung automatisierter oder übermäßiger Anfragen speichern wir Zeitpunkte von Registrierungs- und Anmeldelink-Anfragen zusammen mit der normalisierten E-Mail-Adresse und gegebenenfalls der IP-Adresse. Die Rückmeldung bei bereits vorhandenen Konten ist bewusst neutral, damit Dritte nicht erkennen können, ob eine E-Mail-Adresse registriert ist.

Zur Vertragsabwicklung speichern wir Bestellungen einschließlich Positionen, aktuellen Preisen, Rabatten, Lieferinformationen, Statusverlauf, Notizen, Dokumenten und Zahlungsinformationen. Favoriten werden bei freigegebenen Kunden zusätzlich dem Kundenkonto zugeordnet.

Dauerbestellungen speichern wir mit Rhythmus, nächstem Ausführungszeitpunkt, Artikeln, Mengen und Vergleichsbetrag. Vor der Ausführung verarbeiten wir aktuelle Preise für eine Vorabinformation. Preisgrenzen, Zustellstatus und eine erforderliche Bestätigung können protokolliert werden.

Bei einer gemeinsamen Bestellung verarbeiten wir Bevollmächtigungen oder Genehmigungen, Mengen- und Preiszuordnungen, Lieferstelle, Bestätigungen, Belege und Zahlungen je beteiligtem Unternehmen. Jeder Beteiligte erhält nur die Informationen, die für seinen eigenen Anteil und die gemeinsame Lieferung erforderlich sind. Der bestellende Kunde darf Daten anderer Beteiligter nur übermitteln, wenn er hierzu befugt ist.

Für die Geschäftsabwicklung setzen wir folgende Dienste ein:

HubSpot: Wir synchronisieren CRM-Stammdaten, Ansprechpartner, Kundenstatus, kaufmännische Konditionen, Bestell- und Umsatzinformationen, Serviceverlauf sowie Rechnungs- und Zahlungsstatus. Rechnungs-PDFs und – soweit für Prüfung oder Service erforderlich – hochgeladene Nachweisdokumente können in HubSpot hinterlegt werden. Weitere Hinweise enthält die HubSpot-Datenschutzerklärung.

easybill: Für Kundenanlage, Rechnung, Vorkassenbeleg, Gutschrift, Storno, Zahlungsverbuchung und Beleg-PDF übermitteln wir erforderliche Stamm-, Adress-, Bestell-, Steuer- und Zahlungsdaten an die easybill GmbH. Weitere Hinweise enthält die easybill-Datenschutzerklärung.

Revolut: Bei einer angebotenen Online-Zahlung oder einer Erstattung über einen Revolut-Auszahlungslink übermitteln wir je nach Vorgang insbesondere Betrag, Währung, Bestell- oder Erstattungsreferenz, Beschreibung, Unternehmens- oder Kontaktnamen und geschäftliche E-Mail-Adresse an das zuständige Unternehmen der Revolut-Gruppe. Revolut verarbeitet Zahlungs-, Auszahlungs- und gegebenenfalls Kontodaten für eigene gesetzliche Zwecke in eigener Verantwortung. Wir erhalten insbesondere Transaktionskennung, Betrag und Status zurück. Weitere Hinweise enthalten die Datenschutzhinweise von Revolut Pay.

Bestell-, Registrierungs-, Login-, Rechnungs-, Zahlungs-, Storno- und Service-E-Mails versenden wir über Resend. Hierfür werden insbesondere Empfängeradresse, Betreff, Nachricht, technische Versanddaten und – falls für den Vorgang erforderlich – Bestellangaben oder Beleganhänge verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO. Weitere Hinweise finden Sie in der Datenschutzerklärung von Resend.

Werbung per E-Mail erfolgt nur, wenn sie gesetzlich erlaubt ist oder eine erforderliche Einwilligung vorliegt. Transaktionale Nachrichten, die für Registrierung, Sicherheit oder Vertragsdurchführung notwendig sind, können nicht als Werbung abbestellt werden.

Marketing-Tracker von Drittanbietern und Google-Skripte verwenden wir nicht; Statistik-Auswertungen und unsere eigene Werbemessung nur mit Ihrer Einwilligung (siehe unten „Statistik“, „Eigene Shop-Statistik“ und „Werbemessung (Google Ads)“). Für ausdrücklich gewünschte Funktionen setzen wir technisch erforderliche Cookies und Browserspeicher ein. Der Zugriff auf das Endgerät beruht auf § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung personenbezogener Daten auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

• Anmelde-Sitzung: Supabase-Cookies mit wechselnden Namen, regelmäßig „sb-…-auth-token“, halten die sichere Sitzung aufrecht und erneuern sie. Sie gelten für die Sitzung beziehungsweise die vom Authentifizierungsdienst vorgesehene Laufzeit und werden beim Abmelden ungültig gemacht.
• Weiterleitung nach Anmeldung: „girando-login-next“ speichert für bis zu 15 Minuten das gewünschte Ziel nach dem Login.
• Datenschutzauswahl: „girando-cookie-consent“ speichert Auswahl, Textversion und Zeitpunkt für bis zu 182 Tage.
• Warenkorb: „girando-cart-v1“ speichert Artikel und Mengen lokal im Browser, bis der Inhalt entfernt oder der Browserspeicher gelöscht wird. Bei angemeldeten und freigegebenen Kunden wird der Warenkorb zusätzlich im Kundenkonto gespeichert (Artikel, Mengen und Preise zum Zeitpunkt des Hinzufügens), damit er auf anderen Geräten verfügbar ist und unser Kundenservice bei nicht abgeschlossenen Bestellungen unterstützen kann. Der gespeicherte Warenkorb wird gelöscht, sobald die Bestellung abgeschickt oder der Warenkorb geleert wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Kundenbeziehung) sowie unser berechtigtes Interesse an einer reibungslosen Bestellabwicklung nach Art. 6 Abs. 1 lit. f DSGVO.
• Team-Gerät: „girando-access“ wird nur auf Geräten unserer Mitarbeitenden im Browser gespeichert (bis zu 180 Tage), damit die Shop-Auswertung deren Zugriffe von Kundenzugriffen trennen kann. Auf Geräten von Kunden wird dieser Eintrag nicht angelegt.
• Favoriten: „girando-favorites-v1“ hält die Merkliste lokal vor. Bei angemeldeten und freigegebenen Kunden wird die Auswahl zusätzlich im Kundenkonto gespeichert und zwischen Sitzungen synchronisiert.

Statistik (Vercel Web Analytics). Nur wenn Sie in der Datenschutzauswahl „Statistik“ zustimmen, setzen wir Vercel Web Analytics der Vercel Inc. ein. Damit werten wir zusammengefasst aus, welche Seiten und Artikel des Shops aufgerufen werden, wie lange Seiten ungefähr angesehen werden (in Zeitklassen, z. B. „30–60 Sekunden“), nach welchen Begriffen im Shop gesucht wird und wie viele Treffer es gab, ob die Seiten angemeldet oder als Gast genutzt werden (nur „angemeldet“ oder „Gast“, ohne Bezug zum Kundenkonto), ob auf die Hinweise „Anmelden“ oder „Kundenkonto beantragen“ geklickt wird, von welcher Seite Besucher kommen, welche Gerätetypen, Betriebssysteme und Browser genutzt werden, aus welchem Land der Zugriff erfolgt und an welcher Stelle des Bestellvorgangs abgebrochen wird (z. B. „Artikel in den Warenkorb gelegt“ mit der Artikelnummer, „Kasse geöffnet“, „Bestellung abgeschickt“). Zweck ist die Verbesserung der Bedienbarkeit des Shops. Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert; Seitenadressen werden ohne Parameter übertragen – mit Ausnahme von Kampagnenkennzeichen (utm_…), die nur angeben, über welche Mail oder Anzeige ein Besuch kam, und es werden keine Kundennummern, Namen oder E-Mail-Adressen an Vercel übermittelt. Die Auswertung erfolgt nicht bezogen auf Ihr Kundenkonto. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; Sie können sie jederzeit mit Wirkung für die Zukunft über die Datenschutzauswahl widerrufen. Zur Übermittlung an Vercel und in Drittländer siehe Ziffern 13 und 14.

Eigene Shop-Statistik. Ebenfalls nur mit Ihrer Einwilligung „Statistik“ erfassen wir selbst, wie Besuche im Shop ablaufen, um Hürden zu erkennen und den Shop zu verbessern: welche Seitentypen nacheinander aufgerufen werden und wie ein Besuch begann (Kampagnenkennzeichen aus Links in unseren E-Mails, Verweis von einer anderen Website oder direkter Aufruf), nach welchen Begriffen gesucht wurde, wie viele Treffer es gab und ob danach ein Artikel geöffnet oder in den Warenkorb gelegt wurde, woher Artikel in den Warenkorb kommen (z. B. Katalog, Produktseite, Favoriten, Nachbestellen) und ob Mengen geändert oder Artikel entfernt werden, ob die Angaben zu Preis, Inhalt, Staffelpreisen, Verfügbarkeit und Lieferung sichtbar waren oder genutzt wurden, an welcher Stelle und aus welchem festen Grund das Abschicken einer Bestellung nicht gelang (z. B. „Mindestbestellwert nicht erreicht“) sowie das Ergebnis einer Anforderung und eines Klicks auf einen Anmeldelink (z. B. „Link verschickt“, „Link abgelaufen“). Dafür legen wir im Sitzungsspeicher Ihres Browsers („girando-visit“ und „girando-info-seen“ im sessionStorage) eine zufällige Besuchskennung ab, die nach 30 Minuten ohne Aktivität oder beim Schließen des Browser-Tabs verfällt. Diese Kennung und die Messdaten werden nicht mit Ihrem Kundenkonto, Ihrer E-Mail-Adresse, Kundennummer oder Ihren Bestellungen verknüpft; erfasst wird lediglich, ob die Seite angemeldet oder als Gast genutzt wird. Suchbegriffe, die wie E-Mail-Adressen oder Telefonnummern aussehen, werden nicht gespeichert. Die Daten werden in unserer Datenbank (Supabase, Hosting über Vercel, siehe Ziffer 5) gespeichert, nur von berechtigten Mitarbeitenden zusammengefasst ausgewertet und nach 30 Tagen auf Tagessummen ohne Besuchskennung reduziert. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Mit dem Widerruf über die Datenschutzauswahl endet die Erfassung mit Wirkung für die Zukunft; die Besuchskennung wird dabei aus Ihrem Browser gelöscht.

Werbemessung (Google Ads). Nur wenn Sie in der Datenschutzauswahl „Werbemessung“ zustimmen, messen wir selbst, welche unserer Anzeigen (insbesondere Google Ads) und Kampagnen zu Registrierungen, freigeschalteten Kundenkonten und Bestellungen führen. Zweck ist, den Erfolg unserer Werbung zu beurteilen und Werbebudgets sinnvoll einzusetzen.

Verarbeitet werden: die Kampagnenangaben aus der Adresse, über die Sie auf unsere Website gekommen sind (UTM-Angaben wie Quelle, Medium, Kampagne, Anzeigengruppe und das gebuchte Keyword der Anzeige – nicht Ihr tatsächlicher Suchtext), die von Google an die Adresse angehängte Klickkennung (gclid, gbraid oder wbraid), Zeitpunkt sowie Seitentyp und gegebenenfalls Artikel der Einstiegsseite; außerdem einzelne Schritte danach mit Zeitpunkt (Artikel angesehen, Registrierung begonnen, Artikel in den Warenkorb gelegt, Kasse begonnen oder aus einem festen Grund blockiert, z. B. „Mindestbestellwert nicht erreicht“). Dafür setzen wir ein eigenes Cookie „girando-mkt“ mit einer zufälligen Kennung (nur vom Server lesbar, Laufzeit 90 Tage ab dem letzten Anzeigenklick); in unserer Datenbank speichern wir nur einen nicht umkehrbaren Prüfwert dieser Kennung. Damit ein Anzeigenklick nicht doppelt gezählt wird, legen wir im Sitzungsspeicher Ihres Browsers („girando-mkt-sent“) einen Prüfwert ohne Klickkennung ab, der mit dem Schließen des Tabs verfällt. Vor Ihrer Einwilligung werden diese Angaben nicht gespeichert und nicht übertragen.

Registrieren Sie sich oder melden Sie sich in demselben Browser an, verknüpfen wir diese Angaben mit Ihrem Kundenkonto (erster und letzter Anzeigenkontakt). Bestellungen ordnen wir dem letzten Anzeigenkontakt innerhalb von 90 Tagen zu; dabei vermerken wir auch, ob vor der Bestellung ein Kontakt mit unserem Vertrieb (z. B. Telefonat oder WhatsApp) stattfand und ob es eine Erst- oder Folgebestellung ist. Geräte- oder browserübergreifend wird nichts zusammengeführt; ein Fingerprinting findet nicht statt. Namen, E-Mail-Adressen und Telefonnummern sind nicht Teil der Messdaten.

Empfänger. Die Messdaten werden in unserer Datenbank (Supabase, Hosting über Vercel, siehe Ziffer 5) gespeichert und nur von berechtigten Mitarbeitenden ausgewertet. Erst wenn wir die Übertragung gesondert einschalten, übermitteln wir an die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, je Conversion ausschließlich die Klickkennung, den Zeitpunkt, die Art der Conversion (z. B. Registrierung, freigeschaltetes Kundenkonto, Bestellung) und gegebenenfalls ihren Wert (Netto-Warenwert) – keine Namen, E-Mail-Adressen, Telefonnummern oder sonstigen Kontaktdaten. Google kann diese Daten auch in den USA verarbeiten; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (siehe Ziffer 14).

Rechtsgrundlage und Widerruf. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen. Beim Widerruf oder bei der Auswahl „Nur notwendige“ löschen wir das Cookie, das zugehörige Besucherprofil, die gespeicherten Anzeigenkontakte und Schritte. Ist der Browser mit Ihrem Kundenkonto verbunden, löschen wir außerdem die Werbe-Zuordnung an Ihrem Kundenkonto und an Ihren Bestellungen (Kampagne, Anzeigengruppe, Keyword, Klickart und Zeitpunkt) sowie die Anzeigendaten weiterer mit Ihrem Kundenkonto verbundener Browser. Noch nicht übermittelte Conversions werden ohne Klickkennung endgültig gesperrt und nicht mehr an Google übermittelt.

Was nach einem Widerruf bleibt. Bereits vor dem Widerruf an Google übermittelte Conversions können wir bei Google nicht zurückholen. Bei uns bleibt dazu ein Nachweis ohne Klickkennung (Art der Conversion, Ereignis- bzw. Bestellkennung, Zeitpunkt, Wert und Zeitpunkt der Übermittlung), damit wir eine spätere Stornierung oder Wertänderung der Bestellung an Google korrigieren können. An der Bestellung bleibt nur vermerkt, ob es eine Erst- oder Folgebestellung war und ob vorher ein Kontakt mit unserem Vertrieb stattfand – ohne Werbedaten. Ihre Kunden- und Bestelldaten selbst sind davon nicht betroffen.

Speicherdauer. Klickkennungen werden nach 90 Tagen überall entfernt. Nicht mit einem Kundenkonto verknüpfte Besucherprofile löschen wir 90 Tage nach dem letzten Anzeigenkontakt, Anzeigenkontakte und Schritte nach 13 Monaten. Ohne Widerruf bleibt die Zuordnung zu Kundenkonto und Bestellungen (Kampagne, Anzeigengruppe, Zeitpunkt) bestehen, solange das Kundenkonto bzw. die Bestellung gespeichert ist; vorbereitete und übermittelte Conversions bewahren wir bis zu 25 Monate auf.

Die frühere Auswahlmöglichkeit „Marketing“ ist durch die „Werbemessung“ ersetzt; frühere Auswahlen gelten dafür nicht, wir fragen neu.

Ihre Auswahl können Sie jederzeit über den LinkCookie-Einstellungen öffnen im Fußbereich der Website ändern.

Wenn Cloudflare Turnstile für das Registrierungsformular aktiviert ist, lädt der Browser Sicherheitscode von Cloudflare. Turnstile verarbeitet nach den Angaben des Anbieters insbesondere IP-Adresse, TLS- und Browsermerkmale, User-Agent, Website-Key, Ursprung und Interaktionssignale, um menschliche Nutzer von automatisierten Anfragen zu unterscheiden. Wir übermitteln das erzeugte Prüftoken und gegebenenfalls die IP-Adresse zur serverseitigen Validierung an Cloudflare. Welche Signale Cloudflare im Einzelnen verarbeitet, richtet sich nach der aktuellen technischen Ausgestaltung des Dienstes.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz vor Missbrauch, Spam und automatisierten Registrierungen. Ein hierfür unbedingt erforderlicher Zugriff auf das Endgerät erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG. Cloudflare verarbeitet bestimmte Signale zur Verbesserung der Bot-Erkennung auch in eigener Verantwortung. Weitere Hinweise enthalten die Turnstile-Datenschutzhinweise.

Wir nutzen WhatsApp zur Bearbeitung von Anfragen, Bestellungen und Serviceanliegen. Dabei speichern wir Kontaktangaben, Nachrichten einschließlich mitgesendeter Medien sowie Zeitpunkte und Versand-, Zustell- und Lesestatus in unserem Kundenbetreuungssystem. Zugriff haben nur berechtigte Mitarbeitende. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst Vertragspartei sind oder einen Vertrag anbahnen, andernfalls Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die verlässliche Betreuung unserer Geschäftskunden. Erforderliche Einwilligungen holen wir gesondert ein. Alternativ erreichen Sie uns über die Kontaktwege unter Ziffer 1.

Benachrichtigungen per WhatsApp. Mit Ihrer Zustimmung – bei der Registrierung, im Kundenkonto oder gegenüber unseren Mitarbeitenden – schicken wir Ihnen von unserer zentralen Girando-Nummer Service-Nachrichten wie Lieferstatus, Rechnungshinweise, Zahlungserinnerungen und Antworten auf Ihre Anfragen. Angebote und Aktionen senden wir nur, wenn Sie dem gesondert zugestimmt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Wir speichern, wann und auf welchem Weg Sie zugestimmt oder sich abgemeldet haben. Sie können jede Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen – im Kundenkonto oder mit der Nachricht „STOPP“ im WhatsApp-Chat. Rechnungen und Mahnungen erhalten Sie unabhängig davon weiterhin per E-Mail oder Post.

Bisherige Gespräche. Bei der Anbindung einer WhatsApp-Geschäftsnummer können nach gesonderter Freigabe auch bisherige Einzelchats und Kontaktdaten der letzten bis zu 180 Tage übernommen werden. Für diese Daten gelten dieselben Zwecke und Rechtsgrundlagen. Die Importfreigabe ersetzt keine erforderliche Rechtsgrundlage für die Daten anderer Gesprächspartner.

KI-Unterstützung. Zur Kundenbetreuung können unsere Mitarbeitenden KI für Gesprächszusammenfassungen, Antwortentwürfe und die Umwandlung von Sprachnachrichten in Text nutzen. Zusätzlich steht unseren Mitarbeitenden ein interner KI-Arbeitsassistent zur Verfügung, der im Rahmen ihrer Berechtigungen Kundenakten, Bestellungen, Lager- und Einkaufsdaten liest, interne Entwürfe vorbereitet und Auswertungsdateien für die Mitarbeitenden erstellt. Hierfür werden ausgewählte Gesprächsinhalte, gegebenenfalls Audiodateien und zugehörige Kontakt-, Kunden- und Vorgangsdaten durch Vercel, OpenAI und Anthropic verarbeitet. Der Versand von Antworten an Kunden erfolgt durch Mitarbeitende.

Dienstleister und Speicherung. Wir setzen WhatsApp/Meta, Vercel und Supabase sowie bei KI-Nutzung OpenAI und Anthropic ein. Für WhatsApp/Meta gelten zusätzlich deren Datenschutzhinweise. Angaben zu Dienstleistern und Auslandsübermittlungen finden Sie unter Ziffern 5, 13 und 14. Nachrichten, Anhänge und KI-Ergebnisse speichern wir nach den Kriterien unter Ziffer 15; der oben genannte Importzeitraum ist keine Löschfrist. Ihre Datenschutzrechte und deren Ausübung sind unter Ziffer 18 beschrieben.

Telefonate. Für geschäftliche Telefonate nutzen wir Aircall (Aircall SAS, Frankreich). Ein- und ausgehende Gespräche werden nach einer Ansage zu Beginn des Gesprächs aufgezeichnet. Von verbundenen Gesprächen ab 20 Sekunden Dauer speichern wir die Aufnahme in unserem Kundenbetreuungssystem (Supabase) und lassen daraus per KI über Vercel AI Gateway (Umwandlung in Text durch OpenAI, Zusammenfassung durch Anthropic oder OpenAI) eine kurze Gesprächsnotiz mit den geschäftlichen Kernpunkten – etwa besprochene Artikel, Vereinbarungen und nächste Schritte – erstellen. Die vollständige Abschrift wird dabei nicht gespeichert. Zweck ist die Dokumentation von Absprachen, Bestellungen und Serviceanliegen sowie eine nachvollziehbare Kundenbetreuung. Aufnahmen und Gesprächsnotizen löschen wir zwölf Monate nach dem Gespräch. Wenn Sie mit der Aufzeichnung nicht einverstanden sind, teilen Sie uns dies bitte zu Beginn des Gesprächs oder über die Kontaktdaten unter Ziffer 1 mit.

WhatsApp-Links. An einzelnen Stellen kann ein Link zu WhatsApp angeboten werden. Beim Öffnen wird eine Verbindung zu WhatsApp hergestellt. Ein im Link vorausgefüllter Text – gegebenenfalls einschließlich der dort angezeigten Bestellangaben – wird dabei bereits an WhatsApp beziehungsweise Meta übermittelt, auch wenn die Nachricht anschließend nicht abgesendet wird. Inhalt und Empfänger können vor dem Absenden in WhatsApp geändert werden. Nutzen Sie diesen Kanal nur, wenn Sie mit dieser Übermittlung einverstanden sind. WhatsApp beziehungsweise Meta verarbeitet die übermittelten Daten in eigener Verantwortung nach den dort geltenden Datenschutzbestimmungen.

Innerhalb der Girofood GmbH erhalten nur Personen Zugriff, die ihn für ihre Aufgaben benötigen. Darüber hinaus können – zweckgebunden und soweit erforderlich – folgende Empfänger Daten erhalten:

• IT-, Hosting-, Datenbank-, Authentifizierungs-, Speicher- und E-Mail-Dienstleister, insbesondere Vercel, Supabase und Resend;
• CRM-, Abrechnungs- und Zahlungsdienstleister, insbesondere HubSpot, easybill und Revolut;
• Cloudflare bei Verwendung von Turnstile;
• WhatsApp/Meta für den Nachrichtenkanal, Aircall für Telefonie und Gesprächsaufzeichnung sowie Vercel AI Gateway, OpenAI und Anthropic für die unter Ziffer 12 beschriebenen KI-Funktionen;
• Transport-, Logistik- und Zustellpartner mit den für die Lieferung erforderlichen Kontakt-, Adress- und Lieferdaten;
• beteiligte und freigegebene Vertragspartner einer gemeinsamen Bestellung;
• Steuerberater, Wirtschaftsprüfer, Rechtsberater, Versicherer und sonstige beruflich zur Vertraulichkeit verpflichtete Berater;
• Google Ireland Limited für Conversions aus der Werbemessung (nur Klickkennung, Zeitpunkt, Art und Wert; erst nach gesonderter Freischaltung);
• Behörden, Gerichte und sonstige öffentliche Stellen, wenn eine gesetzliche Pflicht besteht oder dies zur Rechtsdurchsetzung erforderlich ist.

Soweit ein Dienstleister als Auftragsverarbeiter tätig wird, setzen wir ihn auf Grundlage eines Vertrags nach Art. 28 DSGVO ein. Zahlungsdienstleister und andere Empfänger können für eigene gesetzliche Zwecke selbst verantwortlich sein.

Einige Dienstleister oder deren Unterauftragnehmer haben ihren Sitz oder Verarbeitungsstandorte außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, im Vereinigten Königreich oder in Singapur. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Je nach konkretem Empfänger stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission, eine gültige Zertifizierung nach dem EU-US Data Privacy Framework oder die EU-Standardvertragsklauseln einschließlich erforderlicher ergänzender Schutzmaßnahmen. Die jeweils eingesetzte Garantie richtet sich nach dem konkreten Anbieter und dessen aktueller Rolle. Eine Kopie oder weitere Informationen zu den einschlägigen Garantien können über die Kontaktdaten unter Ziffer 1 angefordert werden.

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck, eine Rechtsgrundlage oder eine gesetzliche Pflicht besteht. Maßgebliche Kriterien sind insbesondere Vertragsdauer, Kontostatus, Abschluss eines Vorgangs, gesetzliche Aufbewahrungsfristen sowie Verjährungs- und Nachweisinteressen.

• Konto- und Stammdaten, Favoriten und Dauerbestellungen: grundsätzlich für die Dauer der aktiven Geschäftsbeziehung; anschließend Löschung oder Sperrung, soweit keine Aufbewahrungs- oder Nachweisgründe entgegenstehen.
• Registrierungs- und Nachweisdokumente: Nicht mehr benötigte Dateien werden nach Abschluss der Prüfung grundsätzlich innerhalb von 90 Tagen gelöscht. Bei einer abgelehnten Registrierung gilt die Frist ab Mitteilung der Entscheidung. Soweit ein Dokument ausnahmsweise für die laufende Geschäftsbeziehung oder die Abwehr konkreter Ansprüche erforderlich ist, wird die Notwendigkeit regelmäßig überprüft. Für HubSpot-Kopien gelten dieselben Löschkriterien.
• Drosselungsdaten für Registrierung und Login: normalisierte E-Mail-Adressen, IP-Schlüssel und Anfragezeitpunkte werden grundsätzlich spätestens 30 Tage nach der letzten Anfrage gelöscht, sofern sie nicht wegen eines konkreten Missbrauchs- oder Sicherheitsvorfalls länger benötigt werden.
• Vertrags- und Abrechnungsunterlagen: Bücher und bestimmte Organisationsunterlagen werden regelmäßig zehn Jahre, Buchungsbelege einschließlich Rechnungen regelmäßig acht Jahre und Handels- oder Geschäftsbriefe regelmäßig sechs Jahre ab dem gesetzlichen Fristbeginn aufbewahrt. Längere Fristen können im Einzelfall gelten.
• Rechtsverteidigung: Daten können bis zum Ablauf einschlägiger Verjährungsfristen gespeichert werden, soweit dies zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche erforderlich ist. Die regelmäßige zivilrechtliche Verjährungsfrist beträgt drei Jahre und beginnt grundsätzlich mit dem Schluss des Entstehungsjahres.
• Login-Protokoll: Anforderungen und Ergebnisse von Anmeldelinks (Art des Ereignisses, E-Mail-Adresse, Kundenkonto, technischer Grund) werden nach 90 Tagen gelöscht.
• Technische Protokolle: Sicherheits-, Anfrage- und Fehlerdaten werden grundsätzlich bis zu 30 Tage gespeichert. Bei einem Sicherheitsvorfall können betroffene Protokolle bis zur vollständigen Klärung und anschließenden gesetzlichen Verjährung gesichert werden.
• Lokale Browserdaten: Warenkorb und lokale Favoriten bleiben bis zur Löschung durch den Nutzer oder Browser bestehen. Die Datenschutzauswahl gilt bis zu 182 Tage.
• Eigene Shop-Statistik: Einzelereignisse mit Besuchskennung 30 Tage, danach nur Tagessummen ohne Besuchskennung; die Besuchskennung im Browser verfällt nach 30 Minuten ohne Aktivität oder mit dem Schließen des Tabs.
• Werbemessung (nur mit Einwilligung): Klickkennungen 90 Tage; unverknüpfte Besucherprofile 90 Tage nach dem letzten Anzeigenkontakt; Anzeigenkontakte und Schritte 13 Monate; Zuordnung zu Kundenkonto und Bestellungen, solange diese bestehen (bei Widerruf sofort gelöscht); vorbereitete Conversions 25 Monate; Cookie „girando-mkt“ 90 Tage ab dem letzten Anzeigenklick.
• Sicherungskopien: Bereits gelöschte Daten können bis zur turnusmäßigen Überschreibung in Sicherungskopien enthalten sein. Sie werden in dieser Zeit nur zur Wiederherstellung und Absicherung verwendet und nicht in den laufenden Betrieb zurückgeführt, sofern dies nicht für eine Wiederherstellung erforderlich ist.

Pflichtfelder bei Registrierung und Bestellung sind für Prüfung, Kontoanlage oder Vertragsschluss erforderlich. Ohne diese Angaben können wir das Konto nicht freigeben oder die Bestellung nicht bearbeiten. Als optional gekennzeichnete Angaben und Dokumente sind freiwillig. Im Einzelfall können wir weitere Nachweise anfordern, wenn sie für Gewerbe-, Identitäts- oder Vertretungsprüfung oder für die Vertragsdurchführung erforderlich und verhältnismäßig sind.

Der Shop wendet gespeicherte Preise, Rollen, Freigaben, Zahlungsziele, Kreditrahmen und Vorkasseregeln automatisiert an. Diese Regeln werden durch entscheidungsbefugte Personen festgelegt und überwacht.

Soweit eine regelbasierte Entscheidung eine natürliche Person unmittelbar rechtlich oder in ähnlicher Weise erheblich beeinträchtigen könnte, kann die betroffene Person über die Kontaktdaten unter Ziffer 1 eine menschliche Überprüfung verlangen, ihren Standpunkt darlegen und die Entscheidung anfechten. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht als Grundlage solcher Entscheidungen verwendet. Werbliches Profiling findet nicht statt.

Unter den gesetzlichen Voraussetzungen haben Sie insbesondere folgende Rechte:

• Auskunft über Ihre personenbezogenen Daten und eine Kopie (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung Ihrer Daten (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Unterrichtung der Empfänger über Berichtigung, Löschung oder Einschränkung (Art. 19 DSGVO);
• Datenübertragbarkeit bei Vorliegen der gesetzlichen Voraussetzungen (Art. 20 DSGVO);
• Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO);
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine Nachricht an die unter Ziffer 1 genannten Kontaktdaten. Zum Schutz Ihrer Daten können wir einen angemessenen Identitätsnachweis verlangen. Gesetzliche Aufbewahrungspflichten und Rechte Dritter können einzelne Ansprüche begrenzen.

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Einer Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Für unseren Sitz ist zuständig:

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, serverseitige Berechtigungsprüfungen, getrennte Dienstzugänge, Protokollierung sicherheitsrelevanter Vorgänge und regelmäßige Aktualisierung der eingesetzten Software. Kein Übertragungs- oder Speichersystem kann absolute Sicherheit gewährleisten.

Wir aktualisieren diese Datenschutzerklärung, wenn sich Verarbeitungen, Dienstleister oder Rechtslage wesentlich ändern. Die aktuelle Fassung ist stets auf dieser Seite abrufbar. Bei wesentlichen Änderungen, die laufende Verarbeitungen betreffen, informieren wir betroffene Nutzer in geeigneter Weise.