Datenschutz.

01

Verantwortlich & Kontakt

Verantwortlich für die nachfolgend beschriebene Verarbeitung ist:

Bei Fragen zu deinen Daten oder zur Ausübung deiner Rechte erreichst du uns über diese Kontaktdaten. Weitere Anbieterangaben stehen im Impressum.

02

Zwecke & Rechtsgrundlagen

Wir verarbeiten je nach genutzter Funktion technische Zugriffsdaten, Kontakt- und Lieferdaten, Konto- und Bestelldaten, Nachrichten sowie – ausschließlich nach Einwilligung – pseudonyme Nutzungsereignisse.

• Vertrag und vorvertragliche Maßnahmen: Art. 6 Abs. 1 lit. b DSGVO für Bestellungen, Lieferprüfung, Kundenkonto und bestellbezogene Kommunikation.
• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO für die optionale Statistik. Zugriff auf nicht notwendige Endeinrichtungsdaten nur mit Zustimmung nach § 25 Abs. 1 TDDDG.
• Rechtliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO, insbesondere für handels- und steuerrechtlich relevante Unterlagen.
• Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO für sicheren, stabilen Betrieb, Missbrauchsschutz und die Bearbeitung nicht vertragsbezogener Anfragen. Diese Zwecke werden gegen deine Interessen abgewogen.

Notwendiger Browserspeicher dient der von dir angeforderten Funktion und fällt, soweit die Voraussetzungen vorliegen, unter § 25 Abs. 2 Nr. 2 TDDDG. Das ersetzt nicht die jeweils erforderliche Rechtsgrundlage für die anschließende Verarbeitung personenbezogener Daten.

Du kannst die Website ohne Kundenkonto besuchen und optionale Einwilligungen ablehnen. Für Bestellung, Lieferung oder eine Antwort benötigen wir die jeweils angefragten Pflichtangaben; ohne diese kann die betreffende Leistung nicht erbracht werden.

03

Hosting, Bereitstellung & Sicherheit

Website und PostgreSQL-Datenbank werden auf dem für Buddy’s betriebenen VPS bereitgestellt. Technischer Betrieb / Hosting: ICS (VPS-Betrieb). Serverstandort: Deutschland. Anbieter des E-Mail-Versands: IONOS.

Beim Aufruf fallen technisch notwendige Verbindungsdaten an, insbesondere IP-Adresse, Abrufzeit, angefragte URL, Statuscode sowie vom Browser übermittelte Browser-/System- und gegebenenfalls Referrer-Angaben. Der Webserver bzw. Hostingbetrieb kann diese in Zugriffs- und Fehlerprotokollen verarbeiten, um Inhalte auszuliefern und Störungen oder Angriffe zu untersuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Protokoll-Aufbewahrung: Der konkrete Rotations- und Löschzeitraum des Hostingbetriebs wird noch bestätigt; eine feste Frist ist derzeit nicht verifiziert.

Wir verwenden HTTPS, zugriffsbeschränkte Verwaltungsfunktionen und getrennte Kundensitzungen. Passwörter werden als gesalzene Hashwerte verarbeitet, nicht als Klartext gespeichert. Schriften, Bilder und die Standortgrafik werden lokal ausgeliefert; dafür werden keine Google-Fonts- oder externen Karten-Embeds nachgeladen. Vollständige Sicherheit jeder Internetübertragung kann nicht garantiert werden.

04

Bestellung, Zahlung & Kundenkonto

Für die Bearbeitung verarbeiten wir ausgewählte Produkte, Größen, Mengen, Anpassungen, Preise, Gutscheine, Liefer-/Abholart, gegebenenfalls Lieferadresse, Kontaktangaben, Wunschzeit, Bestellstatus und Zahlungskategorie/-status. Deine Angaben werden an die für Zubereitung, Übergabe oder Lieferung zuständigen Mitarbeiter weitergegeben, soweit dies erforderlich ist. Die Bestellnummer und der QR-Code ermöglichen die Zuordnung bei Abholung; Zugangslinks und Bestellreferenzen sollten nicht öffentlich geteilt werden.

Mit einem Kundenkonto speichern wir zusätzlich Name, E-Mail-Adresse, Passwort-Hash, hinterlegte Lieferdaten und die Zuordnung deiner Bestellungen. Das notwendige Cookie buddys_customer authentifiziert dich. Ein Zurücksetzlink wird nur auf Anfrage per E-Mail versendet; sein Token gilt 30 Minuten und ist einmalig verwendbar. Anmelde- und Wiederherstellungsversuche werden zur Missbrauchsbegrenzung technisch begrenzt.

Die Bargeldzahlung erfordert keine Übermittlung von Kartendaten an Buddy’s. PayPal und Stripe sind derzeit keine aktiven Online-Zahlungsintegrationen; hierfür werden im aktuellen Ablauf keine Zahlungs-SDKs geladen. Bei künftiger Aktivierung werden Anbieter, Rechtsgrundlage und Datenschutzhinweise ergänzt.

Warte- und Vorbereitungszeiten werden aus Betriebs- und Bestelldaten geschätzt. Dies ist keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO.

05

Kontaktformular, E-Mail & Chat

Das Kontaktformular übermittelt Name, E-Mail-Adresse, Thema und Nachricht an unseren Server. Anfragen und die Bearbeitung werden in der PostgreSQL-Datenbank gespeichert und berechtigten Mitarbeitern angezeigt. Für Rückmeldungen nutzen wir deine angegebene E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, ansonsten Art. 6 Abs. 1 lit. f DSGVO für die Beantwortung deiner Anfrage.

Der Menüassistent schlägt anhand deiner Angaben passende Produkte vor. Sein lokaler Gesprächsverlauf liegt im sessionStorage. Bestellbezogene Chats und Mitarbeiterantworten werden zusätzlich serverseitig deiner Bestellung zugeordnet. Die derzeitigen Antwort- und Empfehlungsfunktionen erfordern keine Übermittlung an einen externen generativen KI-Dienst; Audioaufnahmen werden nicht verarbeitet.

„Verlauf löschen“ im Bestellchat blendet Nachrichten für deine Kundenansicht aus. Dadurch werden die für Bearbeitung oder Nachweis gespeicherten serverseitigen Nachrichten nicht automatisch endgültig gelöscht. Für ein datenschutzrechtliches Löschersuchen kontaktiere uns bitte gesondert. Der lokale Einkaufschat kann unabhängig davon zurückgesetzt werden.

Bitte übermittle keine Passwörter, Zahlungsdaten oder Gesundheitsangaben im Freitext. Zutatenwünsche sind keine medizinische Beratung. Für die Bestellbearbeitung erforderliche Kommunikation wird nicht von deiner Statistik-Einwilligung abhängig gemacht.

06

Adressprüfung, Standortkarte & externe Routen

Wenn du die Lieferverfügbarkeit prüfst, wird die eingegebene Anschrift serverseitig an den Geocoding-Dienst Nominatim auf Basis von OpenStreetMap übermittelt. Der Dienst erhält die Suchadresse und technische Daten der Serveranfrage, nicht deinen Namen oder deine Browser-Cookies durch diese Anfrage. Es findet dabei keine automatische GPS-Abfrage deines Geräts statt. Die Verarbeitung dient der von dir angeforderten Lieferprüfung (Art. 6 Abs. 1 lit. b DSGVO).

Anbieter des öffentlichen Dienstes ist die OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Informationen zur Verarbeitung und zu Speicherorten: Datenschutzhinweise der OpenStreetMap Foundation. Der Dienst kann Suchanfragen und technische Protokolle nach eigenen Bedingungen verarbeiten.

Adresssuchergebnisse werden auf unserem Server bis zu einer Stunde zwischengespeichert. Eine bestätigte Lieferprüfung ist 30 Minuten gültig; abgelaufene Prüfreferenzen werden bei weiteren Adressprüfungen bereinigt. Bereits in einer Bestellung enthaltene Lieferdaten unterliegen deren Aufbewahrungsregeln.

Die Standortkarte selbst ist eine lokal gespeicherte Grafik. Erst wenn du „Route planen“ anklickst, öffnest du Google Maps und verlässt unsere Website. Google erhält dann die Daten des von dir ausgelösten Aufrufs nach seinen eigenen Datenschutzhinweisen.

07

Optionale Statistik & Klickkarten

Nur nach Zustimmung zur Kategorie „Statistik“ verwenden wir eine zufällige Sitzungskennung und speichern Nutzungsereignisse auf unserem eigenen Server. Dazu zählen Seitenaufrufe, Produktansichten, Warenkorb- und Checkout-Schritte, Scrolltiefe, grobe Geräteklasse, Herkunftskategorie sowie normalisierte Klickpositionen und Seitengrößen für Klickkarten. Bei einem Bestellabschluss kann die zugestimmte Sitzungskennung mit dem Vorgang verknüpft werden, um den Bestellweg auszuwerten.

Die Erfassung ist kein Video deiner Sitzung und zeichnet keine Tastatureingaben, Formularinhalte, Passwörter oder Zahlungsdaten auf. Wir nutzen hierfür kein Google Analytics, Meta Pixel oder vergleichbares externes Analyse-SDK. Die pseudonyme Kennung ist keine Anmeldeberechtigung und kein seitenübergreifendes Werbeprofil.

Der Analysebestand wird bei der Aufnahme neuer Ereignisse auf ein Zeitfenster von 90 Tagen begrenzt. Eine davon unabhängige, zeitgesteuerte Bereinigung ist derzeit nicht eingerichtet; deshalb ist dies keine Zusage, dass jeder ältere Datenbankeintrag exakt nach 90 Tagen physisch entfernt wird.

Du kannst die Zustimmung jederzeit für die Zukunft widerrufen. Dann wird das Statistik-Cookie entfernt, die laufende Erfassung beendet und die noch nicht versendete Ereigniswarteschlange verworfen. Bereits rechtmäßig gespeicherte Ereignisse werden dadurch nicht automatisch rückwirkend gelöscht. Für Auskunft oder Löschung kannst du uns kontaktieren.

09

Empfänger & internationale Verarbeitung

Zugriff erhalten nur die für die Aufgabe berechtigten Personen sowie erforderliche technische Dienstleister für Hosting, Wartung und E-Mail. Vertrags- oder gesetzlich erforderliche Daten können außerdem an Lieferpersonal, Steuerberatung oder zuständige Behörden gelangen. Es erfolgt kein Verkauf deiner personenbezogenen Daten.

Der VPS steht nach Betreiberangabe in Deutschland. Der E-Mail-Dienst ist IONOS. Eine bestätigte Serverregion ist keine Garantie, dass sämtliche Support-, E-Mail- oder externen Dienstprozesse ausschließlich in Deutschland stattfinden. Für externe Adresssuche und von dir geöffnete Drittseiten gelten die im jeweiligen Abschnitt genannten Empfänger und Bedingungen.

Soweit Auftragsverarbeiter eingesetzt werden, sind die erforderlichen Vereinbarungen und Schutzmaßnahmen nach Art. 28 DSGVO organisatorisch sicherzustellen. Für Verarbeitung außerhalb des EWR sind zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO zu prüfen, etwa ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien. Diese Erklärung behauptet nicht, dass eine noch ungeprüfte Dienstleistervereinbarung bereits vorliegt.

10

Aufbewahrung & Löschung

Die Dauer richtet sich nach dem Zweck, gesetzlichen Pflichten und gegebenenfalls der Durchsetzung oder Abwehr von Ansprüchen. Browser-Laufzeiten in der Tabelle sind keine Löschfristen für Daten in der Datenbank.

• Operative Anfragen und Nachrichten: Als derzeitige Prüf- und Löschfrist sind 365 Tage nach Abschluss des Vorgangs vorgesehen, sofern keine weitere Erforderlichkeit oder Aufbewahrungspflicht besteht. Die Frist ist im Verwaltungsbereich dokumentiert; sie löst derzeit keine automatische Datenbanklöschung aus. Die Umsetzung erfordert eine entsprechende Prüfung durch den Betreiber.
• Bestellungen und Belege: Ein Jahr gilt nicht pauschal für steuer- oder handelsrechtlich aufbewahrungspflichtige Unterlagen. Diese werden nach den jeweils einschlägigen gesetzlichen Fristen und einer Prüfung ihrer Dokumentart aufbewahrt; nicht mehr benötigte Zusatzdaten sind davon zu trennen.
• Kundenkonto: Für die Bereitstellung des Kontos und bis zur Bearbeitung eines berechtigten Löschersuchens; separat aufzubewahrende Bestell-/Belegdaten können davon ausgenommen sein.
• Statistik und technische Sitzungen: Die konkreten Laufzeiten und die derzeitige Bereinigungsweise stehen in den jeweiligen Abschnitten. Die Ungültigkeit eines Tokens bedeutet nicht zwingend die sofortige Löschung seines serverseitigen Protokolleintrags.
• Sicherungen: Daten können bis zum regulären Austausch auch in zugriffsbeschränkten Backups vorhanden sein. Ein verifizierter automatischer Rotationszeitraum ist derzeit nicht dokumentiert. Bei einer Wiederherstellung müssen bereits umgesetzte Löschungen berücksichtigt werden.

Das Löschen von Browserdaten meldet dich gegebenenfalls ab und entfernt lokale Entwürfe, löscht aber nicht automatisch abgeschlossene Bestellungen oder serverseitige Nachrichten.

11

Deine Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Der Widerruf berührt die Rechtmäßigkeit der bisherigen Verarbeitung nicht.

Widerspruch: Gegen eine Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation nach Art. 21 DSGVO Widerspruch einlegen. Gegen Direktwerbung kannst du jederzeit widersprechen. Die hierfür geeigneten Kontaktwege findest du oben; zur Zuordnung kann eine angemessene Identitätsprüfung erforderlich sein.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für Nordrhein-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Postfach 20 04 44, 40102 Düsseldorf.

12

Stand & weitere Informationen

Diese Erklärung beschreibt den technischen Stand vom 20. Oktober 2026. Die Social-Media-Vorschau verwendet lokal bereitgestellte Inhalte; es sind keine Instagram-/TikTok-Widgets eingebettet. Beim Öffnen externer Links gelten die dortigen Datenschutzhinweise. Neue Zahlungsanbieter, externe KI-/Audiodienste oder Marketingintegrationen sind vor Aktivierung gesondert zu bewerten und hier zu ergänzen.

Offizielle Rechtsquellen: DSGVO und § 25 TDDDG.