Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Datenverarbeitung auf dieser Website ist:

Die vollständige Anbieterkennzeichnung findest du im Impressum.

Datenschutzbeauftragter: [TODO: prüfen, ob nach § 38 BDSG ein Datenschutzbeauftragter zu benennen ist — voraussichtlich nein; Satz dann streichen]

Über das Formular im Bereich „Unsere Bohnen“ kannst du Muster oder Rohkaffee unverbindlich anfragen. Die Anfrage ist kein Kaufvertrag und keine Bestellung: Wir prüfen nach Eingang die Verfügbarkeit und die aktuellen Exportkosten und senden dir in der Regel innerhalb von 24 Stunden ein schriftliches Angebot. Menge, Preis und Lieferung werden erst verbindlich, wenn du dieses Angebot annimmst.

Welche Daten wir erheben

Pflichtangaben

Name, E-Mail-Adresse, Straße und Hausnummer, PLZ, Ort, Land sowie die angefragten Kaffees mit Mengenangabe.

Freiwillige Angaben

Firma bzw. Rösterei, Telefonnummer und ein Freitextfeld für Anmerkungen. Bitte gib dort keine Angaben ein, die du nicht übermitteln möchtest.

Technische Metadaten

Zeitpunkt des Absendens und eine automatisch vergebene Anfrage-Nummer (Format BB-JJJJMMTT-XXXX).

Straße, PLZ, Ort und Land werden auf unserem Server zu einer einzigen Adresszeile zusammengefasst und in dieser Form gespeichert. Weitere Angaben erheben wir über das Formular nicht — insbesondere wird keine Unterschrift erhoben, übermittelt oder gespeichert.

Zweck und Rechtsgrundlage

Wir verarbeiten diese Daten, um deine Anfrage zu bearbeiten, dir ein Angebot zu unterbreiten, Muster zu versenden und die weitere Geschäftsanbahnung abzuwickeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen bzw. Erfüllung eines Vertrags). Soweit du für ein Unternehmen anfragst und damit nicht selbst Vertragspartner bist, stützen wir die Verarbeitung deiner Kontaktdaten auf Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an der Kommunikation mit den Ansprechpartnern unserer Geschäftspartner.

Die Anschrift wird erhoben, weil Muster und spätere Lieferungen physisch versendet werden müssen. Ohne die Pflichtangaben können wir eine Anfrage nicht bearbeiten; die Angabe ist nicht gesetzlich vorgeschrieben, aber für die Bearbeitung erforderlich.

Empfänger

Die Formulardaten werden von unserem Server an einen von uns betriebenen Google-Apps-Script-Dienst übermittelt und dort im Tabellenblatt „Anfragen“ einer Google-Sheets-Tabelle gespeichert; zusätzlich erhalten wir eine Benachrichtigung per E-Mail. Dienstleister ist damit Google — siehe Abschnitt 5.

Damit das Anfrageformular nicht von Bots oder durch automatisierte Massenzusendungen missbraucht wird, begrenzen wir, wie oft es abgesendet werden kann. Dazu ermitteln wir beim Absenden deine IP-Adresse aus den Verbindungsdaten (HTTP-Header x-forwarded-for, ersatzweise x-real-ip) und zählen damit die Absendevorgänge in zwei festen Zeitfenstern: höchstens 3 Absendungen je 5 Minuten und höchstens 6 Absendungen je Stunde. Wird ein Limit überschritten, weisen wir die Absendung mit einer Fehlermeldung ab.

Diese Zähler liegen ausschließlich im Arbeitsspeicher des jeweiligen Servers, der deine Anfrage bearbeitet. Sie werden nicht auf einer Festplatte und in keiner Datenbank gespeichert und gehen spätestens mit dem Ablauf des Zeitfensters oder mit dem Neustart des Servers verloren.

Nur wenn ein Limit überschritten wird, schreiben wir zusätzlich eine Protokollzeile mit der IP-Adresse und dem aufgerufenen Pfad in die Server-Protokolle unseres Hosters. Für deren Speicherdauer gilt, was in Abschnitt 7 zu den Server-Logs steht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, das Formular vor Spam und Missbrauch zu schützen und die Kontingente der dahinterliegenden Google-Dienste nicht durch automatisierte Zusendungen zu erschöpfen.

Deine IP-Adresse wird nicht in die Google-Tabelle geschrieben, nicht mit deinen Formularangaben zusammengeführt und nicht über den beschriebenen Zweck hinaus ausgewertet. Es findet insoweit weder eine Reichweitenmessung noch eine Profilbildung oder ein geräteübergreifendes Tracking statt.

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung deines Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient, ansonsten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Unsere geschäftliche E-Mail-Adresse wird derzeit bei Google (Gmail) geführt; die Hinweise zur Datenübermittlung in die USA in Abschnitt 5 gelten daher auch für E-Mail-Korrespondenz. [TODO: bestätigen, ob dauerhaft Gmail genutzt wird, oder auf eigene Domain-Mailadresse umstellen und Text anpassen]

Unser Instagram-Profil (Beanbridge.de) ist auf dieser Website lediglich verlinkt. Es werden keine Instagram-Inhalte eingebettet; ein Aufruf des Profils erfolgt erst, wenn du den Link aktiv anklickst. Ab diesem Zeitpunkt gilt die Datenschutzerklärung von Meta Platforms Ireland Ltd.

Wir nutzen Google Workspace als internes Werkzeug für die Verwaltung von Anfragen und des Produktkatalogs. Konkret:

Google Sheets

Deine Formulardaten werden als Zeile im Tabellenblatt „Anfragen“ gespeichert. Dieselbe Tabelle enthält auch unseren Produktkatalog, den unser Server abruft — dabei werden keine Besucherdaten an Google übertragen.

Google Drive

Dort liegen unsere Produktfotos. Personenbezogene Daten aus dem Anfrageformular werden in Google Drive nicht gespeichert.

Google Apps Script

Nimmt die Formulardaten von unserem Server entgegen, schreibt sie in die Tabelle und versendet eine interne Benachrichtigungs-E-Mail.

Gmail

Benachrichtigungen über neue Anfragen und die anschließende Korrespondenz.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, gegebenenfalls unter Einbindung der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Übermittlung in Drittländer

Bei der Nutzung dieser Dienste kann es zu einer Verarbeitung personenbezogener Daten in den Vereinigten Staaten von Amerika kommen.

Weitere Informationen: policies.google.com/privacy

Unsere Produktfotos liegen in Google Drive. Sie werden nicht direkt von deinem Browser bei Google abgerufen: Unser Server lädt die Bilder, optimiert sie und liefert sie von unserer eigenen Domain aus. Beim normalen Betrachten der Seiten baut dein Browser deshalb keine Verbindung zu Google-Servern auf, und deine IP-Adresse wird Google dabei nicht bekannt.

Bei einer Änderung der Bildauslieferung ist dieser Abschnitt zu überprüfen.

Diese Website wird bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, gehostet (in der EU vertreten durch Vercel Germany GmbH). Beim Aufruf der Website verarbeitet Vercel als unser Auftragsverarbeiter technisch notwendige Server-Logdaten wie IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer und Browserkennung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer stabilen, sicheren und performanten Bereitstellung der Website.

[TODO: Auftragsverarbeitungsvertrag (DPA) mit Vercel abschließen und ablegen] [TODO: Deployment-Region prüfen/auf EU-Region setzen und hier benennen] [TODO: tatsächliche Speicherdauer der Server-Logs eintragen]

Wir nutzen Vercel Web Analytics, um zu verstehen, welche Seiten aufgerufen werden. Der Dienst arbeitet ohne Cookies und legt keine dauerhaften Kennungen auf deinem Endgerät ab. Erfasst werden unter anderem die aufgerufene Seite, Referrer, ungefährer Standort auf Länderebene sowie Geräte- und Browsertyp. Aus diesen Angaben bildet Vercel eine kurzlebige, nicht rückführbare Kennung; einzelne Personen werden dabei nicht identifiziert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung). Da weder Informationen auf deinem Endgerät gespeichert noch aus ihm ausgelesen werden, ist nach unserer Einschätzung keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich — ein Cookie-Banner setzen wir daher bewusst nicht ein.

[TODO: Einschätzung „einwilligungsfrei, kein Cookie-Banner“ anwaltlich bestätigen lassen]

Die verwendeten Schriften (Satoshi, Bricolage Grotesque und Fraunces) werden ausschließlich von unserem eigenen Server ausgeliefert. Die beiden Google-Fonts-Schriften werden beim Erstellen der Website heruntergeladen und mit ausgeliefert. Beim Besuch dieser Website baut dein Browser deshalb keine Verbindung zu Servern von Google Fonts auf, und es wird keine IP-Adresse dorthin übertragen.

Diese Website setzt keine Cookies zu Analyse-, Marketing- oder Tracking-Zwecken und bindet keine Werbenetzwerke ein.

[TODO: auf der Live-Domain verifizieren, dass keine Cookies gesetzt werden (Vercel Bot-Schutz/Preview kann technische Cookies setzen)]

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

Anfragen ohne Vertragsschluss

[TODO: Frist festlegen — Vorschlag zur Prüfung: 6 Monate]

Anfragen mit Vertragsschluss

Aufbewahrung nach den handels- und steuerrechtlichen Fristen (§ 257 HGB, § 147 AO — 6 bzw. 10 Jahre). [TODO: durch Steuerberatung bestätigen lassen]

Missbrauchsschutz des Formulars (IP-Zähler)

Nur im Arbeitsspeicher, längstens bis zum Ablauf des jeweiligen Zeitfensters (5 Minuten bzw. 1 Stunde) und spätestens mit dem Neustart des Servers. Protokollzeilen bei überschrittenem Limit unterliegen der Frist für Server-Logs.

Server-Logs (Hosting)

[TODO: Speicherdauer bei Vercel ermitteln und eintragen]

Reichweitenmessung

Aggregierte, nicht personenbezogene Auswertungen ohne Personenbezug.

[TODO: festlegen, wer die Zeilen im Tabellenblatt „Anfragen“ nach Ablauf der Frist löscht (manuell oder automatisiert) und diesen Ablauf hier beschreiben]

Dir stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) darüber, ob und welche Daten wir über dich verarbeiten.
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten.
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) — Herausgabe deiner Daten in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die wir auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) stützen — aus Gründen, die sich aus deiner besonderen Situation ergeben.
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an beanbridge.co@gmail.com.

Die für uns zuständige Aufsichtsbehörde: [TODO: Landesdatenschutzbehörde des Bundeslandes des Verantwortlichen mit Anschrift und Website eintragen]

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

[TODO: bestätigen lassen, dass die automatisierte Abweisung beim Missbrauchsschutz (Abschnitt 3) keine Entscheidung nach Art. 22 DSGVO ist]

Die Website wird ausschließlich verschlüsselt über HTTPS ausgeliefert. Ergänzend setzen wir technische Schutzmaßnahmen wie eine Content-Security-Policy und HTTP-Sicherheitsheader ein, um Manipulationen und den ungewollten Abfluss von Daten zu erschweren.

Wir passen diese Datenschutzerklärung an, sobald sich die Datenverarbeitung auf dieser Website ändert.

Stand: [TODO: Datum der geprüften Fassung eintragen (z. B. 08/2026)]