DATENSCHUTZERKLÄRUNG

Stand: Januar 2026

1. ALLGEMEINES

Diese Datenschutzerklärung gilt für die Website https://cakocards.de (im Folgenden "Website") und alle damit verbundenen Dienste. Verantwortlicher für die Datenverarbeitung ist:

Mert Ünalacak (Einzelunternehmer) Untere Königstraße 38 96052 Bamberg Deutschland

E-Mail: info@cakocards.de Telefon: +49 159 01618686

Diese Datenschutzerklärung erläutert, wie wir Ihre Daten erfassen, verarbeiten, nutzen und schützen.

2. RECHTLICHE GRUNDLAGEN

Unsere Datenverarbeitung basiert auf:

• Datenschutz-Grundverordnung (DSGVO) der Europäischen Union
• Telemediengesetz (TMG) der Bundesrepublik Deutschland
• Bundesdatenschutzgesetz (BDSG)
• Handelsgesetzbuch (HGB) — Aufbewahrungspflichten
• Sonstige geltende Datenschutzgesetze

Wenn Sie nicht zustimmen, können Sie die Website nicht nutzen oder müssen bestimmte Funktionen (z.B. Online-Bestellungen) nicht in Anspruch nehmen.

3. BETROFFENENRECHTE

Sie haben das Recht zu erfahren, welche Ihrer Daten wir verarbeiten. Sie können jederzeit folgende Rechte ausüben:

3.1 Recht auf Auskunft (Art. 15 DSGVO)

Sie können verlangen, dass wir bestätigen, ob und welche personenbezogenen Daten wir über Sie verarbeiten. Sie erhalten eine kostenlose Kopie innerhalb von 30 Tagen.

3.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie können die Berichtigung unrichtiger oder unvollständiger Daten verlangen.

3.3 Recht auf Löschung (Art. 17 DSGVO)

Sie können verlangen, dass wir Ihre Daten löschen ("Recht auf Vergessenwerden"), sofern keine gesetzlichen Aufbewahrungspflichten bestehen (z.B. Rechnungsaufbewahrung).

3.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können verlangen, dass wir die Verarbeitung Ihrer Daten einschränken, z.B. während einer Überprüfung von Löschanfragen.

3.5 Recht auf Datenportabilität (Art. 20 DSGVO)

Sie können verlangen, dass wir Ihnen Ihre Daten in strukturierter, gängiger und maschinenlesbarer Form (z.B. CSV, JSON) übermitteln.

3.6 Recht auf Widerspruch (Art. 21 DSGVO)

Sie können widersprechen:

• Der Verarbeitung zu Direktmarketingzwecken
• Der Verarbeitung auf Basis berechtigter Interessen
• Automatisierter Profiling-Maßnahmen

3.7 Recht auf Beschwerde (Art. 77 DSGVO)

Sie haben das Recht, sich bei der zuständigen Datenschutzbehörde zu beschweren:

Bayerisches Landesamt für Datenschutzaufsicht Postfach 606 91511 Ansbach Telefon: +49 981 53 1300 E-Mail: poststelle@lda.bayern.de Website: https://www.bayerisches-landesamt-fuer-datenschutzaufsicht.de/

4. DATENERFASSUNG UND VERARBEITUNG

4.1 Automatisch erfasste Daten (Server-Log-Daten)

Beim Besuch unserer Website erfasst der Server automatisch folgende Informationen:

• IP-Adresse des Zugriffs
• Datum und Uhrzeit des Zugriffs
• Referrer-URL (von welcher Seite Sie gekommen sind)
• Zugriffsstatus (HTTP-Statuscode: 200, 404, etc.)
• Browserdaten (Browsertyp, Version, Betriebssystem)
• Übertragene Datenmenge
• User-Agent-String

Rechtliche Grundlage: Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse: Systemsicherheit, Missbrauchschutz, Fehlerdiagnose)

Speicherdauer: 30 Tage (bei Shopify als Hosting-Provider gespeichert)

Empfänger: Shopify Inc., Hosting- und Plattformanbieter

Anonymisierung: Nach 30 Tagen wird die IP-Adresse automatisch gekürzt und anonymisiert.

4.2 Freiwillig mitgeteilte Daten

4.2.1 Bei der Registrierung und Bestellung (B2C und B2B)

Wenn Sie sich registrieren oder eine Bestellung aufgeben, erfassen wir:

Persönliche Angaben:

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer (optional)
• Passwort (verschlüsselt mit bcrypt oder ähnlich)

Adressdaten:

• Rechnungsadresse (Straße, Hausnummer, PLZ, Stadt, Land)
• Lieferadresse (falls abweichend)

B2B-Spezifische Daten (falls Großkundenstatus):

• Unternehmensname / Firmenname
• Umsatzsteuer-Identifikationsnummer (USt-IdNr.)
• Branche / Geschäftstyp
• Kontaktperson
• Rechnungsabteilung E-Mail

Zahlungs- und Transaktionsdaten:

• Bestellverlauf
• Zahlungsmethode (maskiert — keine vollständigen Kartendaten)
• Rechnungs- und Lieferdaten
• Bezahlte Beträge

Rechtliche Grundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung: Bestellung, Versand, Rechnungsstellung, Kundenservice)

Speicherdauer:

• Kundenkonto: Solange das Konto existiert (unbegrenzt, bis zur Löschung)
• Bestelldaten: 10 Jahre nach Kaufdatum (gesetzliche Aufbewahrungspflicht gem. HGB § 257 und AStG § 90 Abs. 3 — Finanzbehörden)
• Rechnungen: 10 Jahre nach Rechnungsdatum (Steuerkanzlei, Steuerprüfung)
• Nach Kontolöschung: Geschäftsunterlagen werden 10 Jahre archiviert (nicht mehr für Kundenservice abrufbar)

Empfänger:

• Shopify Inc. (Plattform-Betreiber)
• Versanddienstleister (DPD, DHL, Hermes, GLS) — nur Lieferadresse, Name
• Shopify Payments (Zahlungsabwicklung)
• Unser Team (Kundenservice, Auftragsabwicklung)

4.2.2 B2B-Kundenportal (Locksmith Access Control)

Wenn Sie Zugang zum eingeschränkten B2B-Kundenportal erhalten:

Erfasste Daten:

• B2B-Kundenkennung / Account-Nummer
• Login-Versuche (erfolgreich und fehlgeschlagen)
• IP-Adresse bei Login
• Zeitstempel der Zugriffe
• Heruntergeladene Dateien / angesehene Seiten
• Produktkatalog-Zugriffe

Rechtliche Grundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung, Geschäftsbeziehung) / Art. 6 Abs. 1 a) DSGVO (Einwilligung zur Portal-Nutzung)

Speicherdauer:

• Während Geschäftsbeziehung: unbegrenzt
• Nach Beendigung: 10 Jahre Archivierung (Geschäftsunterlagen)
• Login-Logs: 90 Tage (Sicherheitsgründe)

Sicherheit:

• Passwortschutz mit HTTPS-Verschlüsselung
• IP-Whitelist möglich (auf Anfrage)
• Zwei-Faktor-Authentifizierung optional
• Zugriffskontrolle durch Locksmith

Verantwortlicher für Portal: Mert Ünalacak + Team-Mitarbeiter Portal-Betreiber (technisch): Locksmith MCP Server / Shopify

4.2.3 Kontaktformulare, E-Mails und Anfragen

Wenn Sie uns per E-Mail, Telefon, Kontaktformular oder Chat-Widget kontaktieren, erfassen wir:

• Ihr Name
• E-Mail-Adresse
• Telefonnummer (falls mitgeteilt)
• Nachrichteninhalt (Anfrage, Beschwerde, Feedback)
• Zeitstempel der Kommunikation
• Attachment/Dateien (falls versendet)

Rechtliche Grundlage: Art. 6 Abs. 1 b) DSGVO (Beantwortung von Kundenanfragen) oder Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse: Geschäftskommunikation)

Speicherdauer:

• Zur Beantwortung: Solange notwendig (üblicherweise 1–2 Wochen)
• Zur Dokumentation: 1 Jahr nach letzte Kommunikation
• Beschwerde-E-Mails: Mindestens 3 Jahre (Nachweispflicht)

Empfänger: Nur intern (Mert Ünalacak, Team-Mitarbeiter)

4.3 Cookies und Tracking-Technologien

4.3.1 Technisch notwendige Cookies (erforderlich)

Diese Cookies sind essentiell für die Website-Funktionalität und können nicht deaktiviert werden:

Diese Cookies können nicht deaktiviert werden, ohne dass grundlegende Funktionen (Bestellungen, Anmeldung, Warenkorb) nicht funktionieren.

Ihre Einwilligung ist nicht erforderlich — diese fallen unter die "technische Notwendigkeit" (Art. 6 Abs. 1 f) DSGVO).

4.3.2 Andere Cookies / Tracking

Aktuelle Status bei CakoCards:

• ✗ Keine Google Analytics oder andere Analytics-Tools
• ✗ Keine Marketing-Pixel (Facebook, Google Ads, TikTok, Pinterest)
• ✗ Kein Newsletter-Tracking
• ✗ Keine Social-Media-Plugins (Share-Buttons mit Tracking)

Falls Sie diese in Zukunft aktivieren, wird ein separates Cookie-Consent-Banner hinzugefügt.

4.4 Zahlungsabwicklung (Shopify Payments)

Zahlungsdaten werden nicht auf unserem Server verarbeitet, sondern direkt an Shopify Payments übermittelt.

Erfasste Daten (bei Zahlungsversuch):

• Zahlungsart (Kreditkarte, PayPal, Klarna, etc. — je nach Angebot)
• Karte: Letzte 4 Ziffern (Rest maskiert / nicht gespeichert)
• Gültigkeitsdatum (nicht vollständig gespeichert)
• CVC / CVV (wird niemals gespeichert — PCI-DSS-Compliance)
• Rechnungsadresse
• Transaktions-ID
• IP-Adresse bei Transaktion
• Zahlungsstatus (erfolgreich / abgelehnt)

Rechtliche Grundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung / Bezahlung)

Datenverarbeiter:

• Shopify Payments (Stripe, Inc. im Hintergrund)
• Sitz: USA
• Datenschutzerklärung: https://www.shopify.com/legal/privacy
• Stripe Datenschutz: https://stripe.com/de/privacy

Sicherheitsstandards: PCI DSS Level 1 (höchstes Standard), TLS 1.2+ Verschlüsselung

Speicherdauer:

• Transaktionsdaten: 7 Jahre (Steuergründe, Betrugsprävention)
• Wiederholte Zahlungen: Tokenisiert, kein Neuzugriff auf Kartendaten

Wichtig: Sie können Zahlungsarten sperren oder verwalten unter Mein Konto → Zahlungsmethoden.

4.5 Versand und Logistik

Ihre Lieferdaten werden an folgende Versanddienstleister übermittelt:

Versanddienstleister:

Rechtliche Grundlage: Art. 6 Abs. 1 b) DSGVO (Erfüllung des Versandvertrags)

Speicherdauer: Bei Versanddienstleister üblich 30–90 Tage, dann gelöscht

Tracking: Sie erhalten eine Sendungsnummer zur Verfolgung. Tracking-Daten (Scan-Punkte, Lieferstatus) stammen vom Versanddienstleister.

4.6 Team-Datenverarbeitung (Mitarbeiter)

Unser Team verarbeitet Ihre Daten für:

• Auftragsbearbeitung (Kommissionierung, Versand)
• Kundenservice (Beantwortung von Anfragen)
• Betrugsprävention und Compliance
• Rechnungsstellung

Mitarbeiter unterliegen:

• Schweigepflicht (Arbeitsverträge mit Datenschutzklauseln)
• Zugriffsbeschränkung (Passwort-geschützter Zugang zu Kundendaten)
• Schulung zu DSGVO-Compliance

Datenempfänger:

• Mert Ünalacak (Eigentümer)
• Team-Mitarbeiter (Name + Funktion auf Anfrage verfügbar)

5. KEINE AUTOMATISIERTE ENTSCHEIDUNGSFINDUNG

Wir verwenden keine vollständig automatisierten Entscheidungen, die für Sie rechtliche Konsequenzen haben (Art. 22 DSGVO).

Ausnahme: Shopify nutzt automatisierte Betrugserkennungssysteme zur Betrugsprävention (Fraud Detection). Dies basiert auf Art. 6 Abs. 1 f) DSGVO. Sie können dieser Verarbeitung widersprechen, aber dies kann zu Zahlungsablehnung führen.

6. DATENSICHERHEIT

6.1 Technische Maßnahmen

• SSL/TLS-Verschlüsselung (HTTPS): Alle Datenübertragungen sind verschlüsselt (mindestens TLS 1.2)
• Passwort-Hashing: Kundenkennwörter werden mit bcrypt / Argon2 gehashed, nicht im Klartext gespeichert
• Firewalls und DDoS-Schutz: Shopify-Infrastruktur mit aktiviertem Schutz
• Regelmäßige Sicherheitsupdates: Automatische Patches für Shopify und Plugins
• Backups: Tägliche Backups durch Shopify (redundante Speicherung)
• Zwei-Faktor-Authentifizierung (2FA): Optional für Kundenkonten aktivierbar
• PCI-DSS-Compliance: Level 1 Standard für Zahlungsabwicklung

6.2 Organisatorische Maßnahmen

• Datenschutz-Schulungen: Team-Mitarbeiter erhalten Grundschulung zu DSGVO
• Least Privilege Principle: Nur notwendige Mitarbeiter haben Zugang zu Kundendaten
• Vertraulichkeitsvereinbarungen: Alle Mitarbeiter unterzeichnen Datenschutzklauseln
• Incident Response Plan: Vorbereitet für Datenschutzverletzungen

7. DATENÜBERMITTLUNGEN IN DRITTLÄNDER

Einige Dienstleister sind in den USA oder anderen Ländern ansässig:

• Shopify Inc. (Kanada, aber auch USA-Operationen)
• Stripe / Shopify Payments (USA)

Sicherung: Diese Übermittlungen erfolgen unter EU-Standardvertragsklauseln (SCC) gem. GDPR Art. 44–49, um ein angemessenes Datenschutzniveau zu gewährleisten.

USA Datenschutz: Nach dem EuGH-Urteil (Schrems II) überprüfen wir die angemessenheit. Shopify nutzt Standardvertragsklauseln und zusätzliche technische Maßnahmen.

8. AUFBEWAHRUNG UND LÖSCHUNG

8.1 Speicherdauern nach Kategorie

8.2 Datenlöschung und Anfragen

Bei Kontolöschung:

1. Alle Konten-Daten werden sofort aus der aktiven Datenbank entfernt
2. Rechnungs-Unterlagen bleiben 10 Jahre archiviert (nicht mehr für Kundenservice sichtbar)
3. Marketing-Daten (falls Newsletter) werden sofort gelöscht

Löschanfrage stellen: Senden Sie eine E-Mail an: info@cakocards.de mit:

• Betreff: "Datenlöschungsantrag"
• Ihre E-Mail-Adresse / Kundennummer
• Wunsch: Vollständige Löschung oder Anonymisierung

Wir antworten innerhalb von 30 Tagen (DSGVO Art. 12).

9. DATENSCHUTZVERLETZUNGEN

Falls eine Datenschutzverletzung eintritt und Ihre Daten gefährdet sind:

1. Wir benachrichtigen die Aufsichtsbehörde (BayLDA) innerhalb von 72 Stunden
2. Sie werden benachrichtigt (per E-Mail), falls hohes Risiko besteht
3. Maßnahmen: Wir informieren Sie über:
   • Art der Verletzung
   • Betroffene Daten
   • Empfohlene Maßnahmen (Passwortänderung, Überwachung)

10. BESONDERE KATEGORIEN PERSONENBEZOGENER DATEN

Wir erfassen keine besonderen Kategorien personenbezogener Daten wie:

• Rasse / Ethnizität
• Religiöse Überzeugungen
• Gewerkschaftszugehörigkeit
• Genetische Daten
• Biometrische Daten
• Gesundheitsdaten
• Sexuelle Orientierung

Sollten Sie solche Daten freiwillig mitteilen (z.B. in einer E-Mail), werden diese nicht gespeichert, außer für unmittelbare Beantwortung.

11. KINDER UND JUGENDLICHE

Unsere Website richtet sich nicht an Personen unter 16 Jahren.

Falls wir feststellen, dass ein Kind unter 16 Jahren personenbezogene Daten übermittelt hat (z.B. bei Kontogründung), werden diese sofort gelöscht. Eltern können uns kontaktieren.

12. DATENSCHUTZ-FOLGENABSCHÄTZUNG

Wir haben keine Datenschutz-Folgenabschätzung (DPIA) durchgeführt, da:

• Keine großflächige Überwachung stattfindet
• Keine automatisierte Entscheidungsfindung mit Rechtsfolgen
• Keine hochriskanten Verarbeitungen vorhanden

Falls sich dies ändert (z.B. neue Tracking-Tools), wird eine DPIA durchgeführt.

13. LINKS ZU EXTERNEN WEBSITES

Unsere Website enthält möglicherweise Links zu externen Websites Dritter. Diese Datenschutzerklärung gilt nur für cakocards.de.

Für externe Websites sind die jeweiligen Betreiber verantwortlich. Wir überprüfen externe Links auf Legalität, sind aber nicht haftbar für deren Inhalte oder Datenschutzpraktiken.

14. SHOPIFY-SPEZIFISCHE INFORMATION

CakoCards wird auf der Shopify-Plattform gehostet. Dies bedeutet:

Shopify als Auftragsverarbeiter:

• Datenverarbeitung erfolgt nach Datenverarbeitungsvertrag (DPA)
• Shopify speichert Daten auf seinen Servern (USA, Kanada, Europa)
• Shopify kann technische Änderungen vornehmen

Ihre Daten bei Shopify:

• Shopify speichert auch Ihre E-Mail, IP-Adresse, Bestellhistorie
• Shopify hat eigene Datenschutzerklärung: https://www.shopify.com/legal/privacy
• Shopify Sales Channels (z.B. Facebook Shop) können Daten weitergeben

Ihr Recht:

• Sie können jederzeit Ihr Konto bei Shopify löschen
• Löschen Sie Ihr Konto bei CakoCards, werden Sie auch bei Shopify gelöscht

15. EINWILLIGUNG UND WIDERSPRUCH

Einwilligung

Bestimmte Verarbeitungen erfordern Ihre ausdrückliche Einwilligung (z.B. B2B-Portal, Kontakt-Newsletter). Sie erteilen diese durch:

• Aktivierung von Checkboxen
• Absenden von Formularen
• Anmeldung zu Diensten

Widerspruch

Sie können jederzeit widersprechen:

• Direktmarketings: Abmeldung aus allen Listen
• B2B-Portal: Zugang kann widerrufen werden
• Berechtigte Interessen: E-Mail an info@cakocards.de

Der Widerspruch gilt sofort. Laufende Verträge bleiben davon unberührt.

16. ÄNDERUNGEN DIESER DATENSCHUTZERKLÄRUNG

Wir behalten uns das Recht vor, diese Datenschutzerklärung zu ändern, wenn sich:

• Gesetze ändern
• Geschäftspraktiken ändern
• Neue Dienste / Tools aktiviert werden

Mitteilung: Größere Änderungen werden per E-Mail oder Website-Banner mitgeteilt.

Stand dieser Erklärung: Januar 2026

17. KONTAKT UND DATENSCHUTZ-ANFRAGEN

Bei Fragen zur Datenverarbeitung, zum Auskunftsrecht oder um Ihre Rechte auszuüben:

E-Mail: info@cakocards.de Betreff: "Datenschutzanfrage" oder "Recht auf Auskunft"

Postadresse: Mert Ünalacak Untere Königstraße 38 96052 Bamberg Deutschland

Telefon: +49 159 01618686

Antwortfrist: 30 Tage (gesetzliche Vorgabe)

18. AUFSICHTSBEHÖRDE

Falls Sie sich beschweren möchten oder unsere Antwort unbefriedigend ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Postfach 606 91511 Ansbach

Telefon: +49 981 53-1300 E-Mail: poststelle@lda.bayern.de Website: https://www.bayerisches-landesamt-fuer-datenschutzaufsicht.de/

Beschwerde ist kostenlos und anonym möglich.

19. ZUSAMMENFASSUNG DER VERARBEITUNGEN

Ende der Datenschutzerklärung

ANHANG: COOKIE-RICHTLINIE (KURZ)

Diese Website nutzt folgende Cookies:

Erforderliche Cookies

Sind notwendig für Funktionalität (Warenkorb, Kasse). Können nicht deaktiviert werden.

Analytik-Cookies

Nicht aktiviert bei CakoCards.

Marketing-Cookies

Nicht aktiviert bei CakoCards.

Sie können Cookies in Ihrem Browser jederzeit deaktivieren:

• Chrome: Einstellungen → Datenschutz und Sicherheit → Cookies
• Firefox: Einstellungen → Datenschutz → Cookies
• Safari: Einstellungen → Datenschutz

Warnung: Deaktivieren technischer Cookies kann zu fehlerhafter Website-Funktion führen.

Letzte Aktualisierung: Januar 2026 Gültigkeit: Bis zur nächsten Änderung