Zum Inhalt springen

Rechtliches

Datenschutzerklärung

Stand: 09.11.2026 – Entwurf, vor Veröffentlichung anwaltlich prüfen lassen

1. Verantwortlicher

Kuhlware, Inh. Fabian König, Kronenstr. 41, 76709 Kronau, info@cartsentry.de (siehe Impressum).

2. Zwei Rollen – bitte unterscheiden

a) Diese Website und dein Kundenkonto: Hier sind wir Verantwortlicher (Art. 4 Nr. 7 DSGVO).
b) Daten der Besucher in den Shops unserer Kunden: Hier verarbeiten wir Daten im Auftrag des jeweiligen Shopbetreibers (Art. 28 DSGVO, siehe Auftragsverarbeitungsvertrag). Verantwortlich ist der Shopbetreiber; Auskunfts- und Löschanfragen richte bitte an ihn – wir unterstützen ihn dabei.

3. Website cartsentry.de

Beim Aufruf verarbeitet unser Hoster technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, angefragte Seite) in Server-Logfiles zur Sicherstellung des Betriebs (Art. 6 Abs. 1 lit. f DSGVO), Speicherdauer höchstens 30 Tage. Wir setzen auf cartsentry.de keine Tracking- oder Marketing-Cookies und binden keine Drittanbieter-Skripte ein. Das einzige Cookie ist das Sitzungs-Cookie nach dem Login (technisch notwendig, § 25 Abs. 2 Nr. 2 TDDDG).

4. Kundenkonto, Vertrag, Abrechnung

Für Registrierung und Vertrag verarbeiten wir E-Mail, Passwort (nur als Hash), Name, Firma, Anschrift, ggf. USt-IdNr. sowie Rechnungs- und Zahlungsstatus (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen bewahren wir 10 Jahre auf (§ 147 AO, § 257 HGB, Art. 6 Abs. 1 lit. c DSGVO). Zahlungen wickelt Stripe Payments Europe Ltd., Dublin, ab; Zahlungsdaten erreichen unsere Server nicht. Zum Schutz vor Missbrauch speichern wir IP-Adressen bei Registrierung, Login und Formularen für höchstens 24 Stunden (Rate-Limiting, Art. 6 Abs. 1 lit. f DSGVO).

5. Was CartSentry in Shops verarbeitet (Auftragsverarbeitung)

  • Nur nach Einwilligung des Shopbesuchers (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) über das Cookie-Banner des Shops, in dem CartSentry als eigener Dienst aufgeführt ist. Banner, die nur Kategorien kennen (z. B. Cookiebot, Shopify), müssen „Statistik“ und „Marketing“ erteilt haben. Eine Einwilligung in fremde Dienste (z. B. Google Consent Mode) zählt nicht.
  • Ohne Einwilligung lädt das Shop-Skript nur seine Konfiguration (welcher Banner zu beachten ist). Es setzt keine Cookies, nutzt keinen Browser-Speicher, zeigt nichts an und überträgt keine Ereignisse.
  • Pseudonyme IDs in First-Party-Cookies des Shops: cs_vid (zufällige Besucher-ID, 180 Tage), cs_sid (Sitzung, 30 Minuten). Im Browser-Speicher (localStorage/sessionStorage): zuletzt angesehene Produkt-IDs (cs_seen, max. 10), Warenkorbstand (cs_cart), ob bzw. wann ein Hinweis beim Verlassen gezeigt wurde (cs_ei, cs_ei_t – damit er nicht zu oft erscheint), erste Sitzung (cs_first_sid) und bei Shopify ein Merker, dass die IDs am Warenkorb hinterlegt sind (cs_attr). Bei Shopify werden Besucher- und Sitzungs-ID als versteckte Warenkorb-Attribute an die Bestellung gehängt, damit sie zugeordnet werden kann.
  • Kein Fingerprinting. IP-Adresse und User-Agent werden nicht in den Messdaten gespeichert. Technisch bedingt erhält der Server bei jedem Abruf die IP-Adresse; sie steht nur in den Server-Logfiles des Hosters (höchstens 30 Tage, Betriebssicherheit) und – bei der Anmeldung zur Warenkorb-Erinnerung – höchstens 24 Stunden zum Schutz vor Missbrauch.
  • Ereignisse: Einblendungen/Klicks der Widgets, angesehene Produkte (Produkt-ID), Warenkorbwert, Herkunfts-Domain (nur Host).
  • Bestellungen vom Shop-Server: Bestellnummer, Beträge, Status, Produkt-IDs, Besucher-/Sitzungs-ID und ein SHA-256-Hash der E-Mail-Adresse (nie die Adresse selbst).
  • Löschfristen: Rohdaten 90 Tage; danach nur Aggregate ohne Personenbezug. Bestellungen verlieren nach 90 Tagen die Verknüpfung zu Besucher und E-Mail-Hash.

6. Warenkorb-Erinnerung per E-Mail (nur wenn der Shop sie aktiviert)

Trägt ein Shopbesucher aktiv seine E-Mail-Adresse ein und willigt ein, senden wir im Auftrag des Shops eine Bestätigungsmail (Double-Opt-In) und nach Bestätigung genau eine Erinnerung. Die Adresse wird verschlüsselt gespeichert und nach 90 Tagen gelöscht. Den Einwilligungsnachweis (Zeitpunkt, Wortlaut, Quelle, E-Mail nur als Hash) bewahren wir 3 Jahre auf. Widerruf jederzeit über den Link in jeder Mail; danach steht die Adresse (als Hash) auf der Sperrliste des Shops.

7. Cross-Selling-Empfehlungen und KI

Empfehlungen werden aus Katalog- und Bestelldaten des jeweiligen Shops berechnet. Optional nutzen wir zum Kaltstart einen KI-Dienst (Anthropic PBC, USA) – übermittelt werden dabei nur Produktnamen und Kategorien, keine Besucher- oder Bestelldaten.

8. Empfänger / Unterauftragsverarbeiter

  • Mittwald CM Service GmbH & Co. KG, Espelkamp – Hosting (Deutschland)
  • IONOS SE, Montabaur – Versand von E-Mails (Deutschland)
  • Stripe Payments Europe Ltd., Irland – Zahlungsabwicklung (nur Kundenkonten)
  • Anthropic PBC, USA – nur wenn ein Shop den KI-Kaltstart ausdrücklich einschaltet (Standard: aus); dann nur Produktnamen/Kategorien, keine personenbezogenen Daten; EU-Standardvertragsklauseln / EU-U.S. Data Privacy Framework

9. Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf einer Einwilligung (Art. 7 Abs. 3) sowie Beschwerde bei einer Aufsichtsbehörde, z.B. dem Landesbeauftragten für den Datenschutz Baden-Württemberg.