Datenschutzerklärung

1. Verantwortliche Stelle

Diese Datenschutzerklärung gilt für unsere Website radhaus-lauingen.de, für unsere Kundenseiten mein.radhaus-lauingen.de (Reparaturannahme, Erfassung von Kontaktdaten und Reparaturverfolgung) und für unser internes Werkstattsystem unter os.radhaus-lauingen.de. Sie informiert außerdem darüber, wie wir die Daten verarbeiten, die bei einem Reparaturauftrag oder einem sonstigen Anliegen in unserem Laden anfallen – gleich, ob Sie Ihre Angaben am Tresen machen oder selbst über einen der QR-Codes im Laden eintragen (Art. 13 DSGVO).

Verantwortlich für die Datenverarbeitung ist:

Radhaus Lauingen
Inhaber: Imam Cetingül
Herzog-Georg-Str. 84
89415 Lauingen

Telefon: 09072 991808
E-Mail: info@radhaus-lauingen.de

Die verantwortliche Stelle entscheidet allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten.

2. Allgemeine Hinweise

Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Vorschriften. Bei der Übertragung im Internet (z. B. per E-Mail) kann es Sicherheitslücken geben; ein lückenloser Schutz vor Zugriff durch Dritte ist nicht möglich.

Alle unsere Seiten nutzen zum Schutz der Übertragung eine SSL-/TLS-Verschlüsselung (erkennbar an „https://" und dem Schloss-Symbol im Browser).

Rechtsgrundlagen: Wir verarbeiten Ihre Daten je nach Fall auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, ggf. i. V. m. § 25 Abs. 1 TDDDG), zur Vertragserfüllung oder vorvertraglichen Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) oder aufgrund unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO). Die jeweils einschlägige Grundlage ist bei den einzelnen Diensten genannt.

Speicherdauer: Soweit nicht ausdrücklich anders angegeben, speichern wir Ihre Daten, bis der Verarbeitungszweck entfällt oder Sie ein berechtigtes Löschersuchen stellen bzw. eine Einwilligung widerrufen – sofern keine gesetzlichen Aufbewahrungsfristen (z. B. nach HGB/AO) entgegenstehen.

Empfänger: Wir geben Daten an externe Stellen nur weiter, wenn dies zur Vertragserfüllung erforderlich ist, eine gesetzliche Pflicht besteht, ein berechtigtes Interesse vorliegt oder Sie eingewilligt haben. Mit Auftragsverarbeitern besteht jeweils ein Vertrag nach Art. 28 DSGVO.

3. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten, deren Herkunft, Empfänger und den Verarbeitungszweck (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes – die für uns zuständige Behörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

Widerspruchsrecht (Art. 21 DSGVO): Erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Wir verarbeiten Ihre Daten dann nicht mehr, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder die Verarbeitung der Geltendmachung von Rechtsansprüchen dient. Gegen Verarbeitung zum Zweck der Direktwerbung können Sie jederzeit ohne Begründung widersprechen.

Für die Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die oben genannten Kontaktdaten.

Automatisierte Entscheidungsfindung: Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

4. Hosting

Wir hosten unsere Website sowie die Seiten unter mein.radhaus-lauingen.de und os.radhaus-lauingen.de bei der Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Dabei werden auf den Servern u. a. IP-Adressen, Meta- und Kommunikationsdaten sowie Websitezugriffe verarbeitet; bei den Kundenseiten und dem Werkstattsystem laufen zudem die Formulareingaben (z. B. Ihre Kontaktdaten bei der Reparaturannahme) auf dem Weg zur Datenbank durch diese Server.

Ort der Verarbeitung: Die serverseitige Verarbeitung – also das Erzeugen der Seiten, der Abruf der Produktdaten, die Bildaufbereitung und die Verarbeitung der Formulare auf mein.radhaus-lauingen.de und os.radhaus-lauingen.de – findet in der von uns gewählten Region Frankfurt am Main, Deutschland (fra1) und damit innerhalb der EU statt. Unveränderliche Inhalte (z. B. Bild- und Skriptdateien) werden zusätzlich über das weltweite Auslieferungsnetz (CDN) von Vercel bereitgestellt; hier beantwortet jeweils der Ihnen nächstgelegene Standort die Anfrage, was bei einem Zugriff von außerhalb Europas auch ein Standort außerhalb der EU sein kann. Da Vercel als Auftragsverarbeiter ein US-Unternehmen ist, ist ein Zugriff aus den USA im Rahmen von Betrieb und Support zudem nicht ausgeschlossen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere, schnelle und effiziente Bereitstellung unseres Online-Angebots). Mit Vercel besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Vercel ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend sind die EU-Standardvertragsklauseln Bestandteil des Auftragsverarbeitungsvertrags, sodass für Übermittlungen in die USA auch unabhängig vom Fortbestand des DPF ein Übermittlungsinstrument vorliegt.

5. Datenerfassung auf dieser Website

Server-Logfiles und technische Daten

Beim Besuch der Website werden automatisch technische Daten erfasst, soweit dies für eine fehlerfreie Bereitstellung und die Abwehr von Missbrauch erforderlich ist: Browsertyp und -version, Betriebssystem, Uhrzeit des Aufrufs, aufgerufene Adresse, die zuvor besuchte Seite (Referrer-URL) und die IP-Adresse. Diese Daten fallen bei unserem Hoster als Betriebs- und Fehlerprotokolle an; wir werten sie nicht personenbezogen aus, führen sie nicht mit anderen Datenquellen zusammen und archivieren sie nicht über die plattformseitige Protokoll-Aufbewahrung hinaus. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Dasselbe gilt für mein.radhaus-lauingen.de und os.radhaus-lauingen.de.

Im Browser gespeicherte Informationen (Local/Session Storage)

Wir setzen keine Cookies zu Werbe- oder Tracking-Zwecken ein; für die Website selbst und für die Kundenseiten unter mein.radhaus-lauingen.de setzen wir überhaupt keine Cookies. Cookies verwenden wir allein für die Anmeldung unserer Mitarbeitenden im internen Werkstattsystem (siehe Abschnitt 7, „Internes Werkstattsystem"). Auf der Website speichern wir bestimmte funktionale Einstellungen lokal in Ihrem Browser:

Diese Einträge werden nicht an unsere Server übermittelt. Zwei Ausnahmen, jeweils unten näher beschrieben: Beim Aufruf der Merkliste werden die gespeicherten Produkt-IDs übermittelt, und beim Speichern Ihrer Einwilligung wird ein Prüfwert (Hash) übermittelt.

Rechtsgrundlage für diese technisch notwendigen Einträge ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO. Sie können diese Daten jederzeit über Ihre Browser-Einstellungen löschen.

Hinweis zur Merkliste: Die Merkliste wird ausschließlich in Ihrem Browser geführt; ein Nutzerkonto wird dafür nicht angelegt und wir speichern die Liste nicht dauerhaft auf unseren Servern. Beim Aufruf der Seite „Merkliste" werden die IDs der gemerkten Artikel jedoch an unseren Server übermittelt, um die aktuellen Produktdaten (z. B. Preis, Verfügbarkeit, Reservierungsstatus) abzurufen und anzuzeigen. Neben der Produkt-ID speichern wir zusätzlich die Produktbezeichnung lokal in Ihrem Browser, damit gemerkte Artikel auch dann noch mit ihrem Namen angezeigt werden können, wenn sie zwischenzeitlich verkauft oder aus dem Sortiment genommen wurden; die Bezeichnung wird dabei nicht an uns übermittelt. Aus technischen Gründen (Rückfallebene bei einem Versionswechsel) kann zusätzlich noch ein Eintrag der früheren Fassung rl:wishlist:v1 in Ihrem Browser vorhanden sein. Über die Schaltfläche „Alle löschen" auf der Seite „Merkliste" werden beide Einträge – die aktuelle Fassung und die frühere – vollständig aus Ihrem Browser entfernt; alternativ können Sie sie über die Einstellungen Ihres Browsers löschen.

Einwilligungsverwaltung (Consent-Manager)

Wir setzen einen selbst entwickelten Consent-Manager ein (kein externer Dienst wie Cookiebot oder Usercentrics). Beim ersten Besuch können Sie über ein Banner für die einwilligungspflichtigen Dienste (Google Maps, JobRad, easyCredit, Bosch eBike) gesondert entscheiden; standardmäßig sind alle deaktiviert. Ihre Entscheidung wird lokal gespeichert (rl_consent_v1, user_consent_log).

Zur Integritätssicherung dieses Nachweises berechnet Ihr Browser aus dem Einwilligungsdatensatz einen kryptografischen Prüfwert (SHA-256-Hash) und übermittelt ausschließlich diesen Hash zusammen mit dem Zeitstempel an unseren Server, wo er protokolliert wird. Der Einwilligungsdatensatz selbst – also die pseudonyme UUID und die Liste der freigegebenen Dienste – verlässt Ihren Browser nicht; aus dem Hash lässt er sich nicht zurückrechnen. Der Prüfwert enthält weder Ihre IP-Adresse noch Ihren User-Agent.

Sie können Ihre Einwilligung jederzeit widerrufen oder anpassen, indem Sie den Consent-Banner über den Link „Einwilligungen verwalten" am Seitenboden unserer Website erneut öffnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG; die Speicherung der Einwilligung selbst ist nach § 25 Abs. 2 Nr. 2 TDDDG technisch erforderlich, die Protokollierung des Prüfwerts stützt sich auf Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO (Nachweispflicht).

Reichweitenmessung mit Vercel Web Analytics

Zur statistischen Auswertung der Nutzung setzen wir Vercel Web Analytics ein (Anbieter: Vercel Inc., Adresse s. o.). Erfasst werden Seitenaufrufe einschließlich der aufgerufenen Adresse (ggf. mit Abfrageparametern), die zuvor besuchte Seite (Referrer, ggf. mit Kampagnenparametern), technische Endgeräteinformationen (u. a. Gerätetyp, Betriebssystem, Browser) und die Herkunftsregion. Die Auswertung erfolgt ausschließlich in aggregierter Form; Rückschlüsse auf einzelne Personen ziehen wir daraus nicht. Auf mein.radhaus-lauingen.de und os.radhaus-lauingen.de findet keine Reichweiten- oder Leistungsmessung statt.

Der Dienst setzt keine Cookies und keine geräteübergreifenden Wiedererkennungstechnologien ein und speichert keine Informationen auf Ihrem Endgerät bzw. liest keine solchen aus. Zur Unterscheidung von Besuchern während eines Aufenthalts wird serverseitig ein temporärer, pseudonymer Hash-Wert erzeugt, der nach spätestens 24 Stunden verfällt. Ihre IP-Adresse wird nicht dauerhaft gespeichert, sondern unmittelbar nach der Erhebung verworfen bzw. gekürzt. Das Mess-Skript wird von unserer eigenen Domain ausgeliefert.

Da weder Informationen in Ihrer Endeinrichtung gespeichert noch aus dieser ausgelesen werden, ist eine Einwilligung nach § 25 Abs. 1 TDDDG nicht erforderlich. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen, cookielosen Reichweitenmessung zur Optimierung unseres Angebots). Eine etwaige Übermittlung von Metadaten in die USA ist durch die Zertifizierung von Vercel nach dem EU-US Data Privacy Framework sowie ergänzend durch die EU-Standardvertragsklauseln abgesichert.

Messung der Ladegeschwindigkeit mit Vercel Speed Insights

Zur Überwachung und Verbesserung der technischen Leistung unserer Website setzen wir Vercel Speed Insights ein (Anbieter: Vercel Inc., Adresse s. o.). Erfasst werden ausschließlich technische Messwerte zur Darstellungsgeschwindigkeit der aufgerufenen Seite – die sogenannten Core Web Vitals (u. a. Ladezeit des größten Inhaltselements, visuelle Stabilität des Seitenaufbaus, Reaktionszeit auf Eingaben und Antwortzeit des Servers) – sowie die aufgerufene Adresse, grobe Angaben zu Gerätetyp, Browser und Betriebssystem, die Herkunftsregion und die Art der Netzwerkverbindung.

Diese Messwerte entstehen erst während des Seitenaufbaus in Ihrem Browser und beschreiben allein dessen zeitlichen Ablauf. Inhalte, die Sie eingeben oder ansehen, werden nicht erfasst; es findet keine seitenübergreifende Nachverfolgung und keine Profilbildung statt. Die Auswertung erfolgt ausschließlich in aggregierter Form.

Der Dienst setzt keine Cookies und keine Wiedererkennungstechnologien ein und speichert weder Informationen auf Ihrem Endgerät noch liest er dort gespeicherte Informationen aus. Ihre IP-Adresse wird technisch bedingt übertragen, aber nicht dauerhaft gespeichert. Das Mess-Skript wird von unserer eigenen Domain ausgeliefert; Ihr Browser baut dabei keine Verbindung zu einem fremden Server auf.

Da weder Informationen in Ihrer Endeinrichtung gespeichert noch aus dieser ausgelesen werden, ist eine Einwilligung nach § 25 Abs. 1 TDDDG nicht erforderlich. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen, stabilen und fehlerfreien Bereitstellung unseres Online-Angebots). Eine etwaige Übermittlung von Metadaten in die USA ist durch die Zertifizierung von Vercel nach dem EU-US Data Privacy Framework sowie ergänzend durch die EU-Standardvertragsklauseln abgesichert.

Anfrage per E-Mail, Telefon oder Telefax

Wenn Sie uns kontaktieren, speichern und verarbeiten wir Ihre Anfrage samt der darin enthaltenen personenbezogenen Daten zur Bearbeitung Ihres Anliegens. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (bei vertragsbezogenen Anfragen), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen). Allgemeine Anfragen löschen wir in der Regel spätestens 12 Monate nach abschließender Bearbeitung. Anfragen mit Bezug zu einem Kauf, einer Reparatur oder einer Reklamation bewahren wir wegen der gesetzlichen Gewährleistungsfristen bis zu 24 Monate nach abschließender Bearbeitung auf; gesetzliche Aufbewahrungsfristen (z. B. nach HGB/AO bis zu 10 Jahre) bleiben unberührt.

Kontaktformular und Versand über Resend

Über unser Kontaktformular erheben wir: Name (Ihr vollständiger Name), E-Mail-Adresse, Ihre Nachricht, Betreff, ggf. Bezeichnung des Fahrrads/Artikels, Telefonnummer, ggf. Produktlink sowie technische Felder zum Spam-Schutz (Honeypot, ALTCHA). Pflichtfelder sind Name, E-Mail-Adresse, Ihre Nachricht sowie das Bestehen der Sicherheitsprüfung (ALTCHA); ohne diese Angaben ist eine Kontaktaufnahme über das Formular nicht möglich. Alle weiteren Angaben (z. B. Betreff, Telefonnummer) sind freiwillig. Es besteht keine gesetzliche oder vertragliche Pflicht zur Bereitstellung Ihrer Daten; statt des Formulars können Sie uns jederzeit auch per E-Mail oder Telefon kontaktieren. Auf die Verarbeitung Ihrer Angaben und diese Datenschutzerklärung weisen wir vor dem Absenden des Formulars hin.

Die Übermittlung an unser Postfach erfolgt über den Versanddienstleister Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Resend verarbeitet Ihre Angaben zur Zustellung der E-Mail und protokolliert dabei die Zustellung (Versand- und Zustellstatus, technische Metadaten). Zur Bestätigung des Eingangs senden wir Ihnen automatisch eine Eingangsbestätigung per E-Mail; diese enthält keine Werbung und aus Sicherheitsgründen keine Kopie Ihres Nachrichtentextes. Die Daten werden nicht in unserer Produktdatenbank gespeichert, sondern als E-Mail in unserem Postfach abgelegt.

Ort der Verarbeitung: Resend speichert die über das Formular übermittelten Daten — einschließlich des Nachrichtentextes, der Zustellprotokolle und technischer Metadaten — auf Servern in den USA. Eine Speicherung ausschließlich in der EU bietet Resend derzeit nicht an; die Wahl einer Versandregion ändert am Speicherort nichts. Nach Angaben von Resend werden E-Mail- und Protokolldaten dort 30 Tage aufbewahrt, Sicherungskopien weitere 7 Tage; nach Beendigung unseres Vertragsverhältnisses werden die Daten binnen 90 Tagen gelöscht. Unabhängig davon verbleibt Ihre Anfrage in unserem E-Mail-Postfach (siehe Abschnitt „E-Mail-Postfach (Microsoft 365)“); zu den Löschfristen siehe Abschnitt „Anfrage per E-Mail, Telefon oder Telefax“.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertragsbezogene Anfragen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der effektiven Bearbeitung allgemeiner Anfragen). Mit Resend besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO); dieser ist Bestandteil der Nutzungsbedingungen und mit der Registrierung geschlossen. Für die Übermittlung in die USA sind die EU-Standardvertragsklauseln (SCC, Modul 2) Bestandteil dieses Vertrags; ergänzend ist Plus Five Five, Inc. nach dem EU-US Data Privacy Framework (DPF) zertifiziert (Registereintrag: https://www.dataprivacyframework.gov/participant/8907), sodass auch unabhängig vom Fortbestand des DPF ein Übermittlungsinstrument vorliegt. Resend setzt Unterauftragsverarbeiter ein, die Daten ebenfalls außerhalb der EU verarbeiten können; diese Übermittlungen sind über die Standardvertragsklauseln (Modul 3) abgesichert. Die eingesetzten Unterauftragsverarbeiter sind unter https://resend.com/legal/subprocessors aufgeführt. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage unter info@radhaus-lauingen.de zur Verfügung. Weitere Informationen: https://resend.com/legal/privacy-policy

E-Mail-Postfach (Microsoft 365)

Für unsere E-Mail-Kommunikation – einschließlich der über das Kontaktformular und per E-Mail eingehenden Anfragen – nutzen wir Microsoft 365 Business (Microsoft Outlook). Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. In unserem Postfach werden Ihre E-Mail-Adresse, der Nachrichteninhalt und die damit verbundenen Metadaten gespeichert, soweit dies zur Bearbeitung Ihres Anliegens erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vertragsbezogene Anfragen) bzw. Art. 6 Abs. 1 lit. f DSGVO (effiziente und sichere E-Mail-Kommunikation). Mit Microsoft besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Microsoft Data Protection Addendum). Soweit dabei Daten in Drittländer (insbesondere die USA) übermittelt werden, ist dies durch die EU-Standardvertragsklauseln im Microsoft-Vertrag sowie die Zertifizierung der Microsoft Corporation nach dem EU-US Data Privacy Framework abgesichert. Weitere Informationen: https://privacy.microsoft.com/de-de/privacystatement

ALTCHA (Spam-Schutz) und Missbrauchsabwehr

Zur Absicherung unserer Formulare setzen wir ALTCHA ein – ein datenschutzfreundliches, clientseitiges Proof-of-Work-Verfahren. ALTCHA setzt keine Cookies, erstellt keine Nutzerprofile und überträgt keine personenbezogenen Daten an Dritte; die Verarbeitung erfolgt auf unserer eigenen Infrastruktur (Vercel). Weitere Informationen: https://altcha.org

Ergänzend begrenzen wir die Zahl der Anfragen pro Absender an unser Kontaktformular, an die Schnittstelle für die Sicherheitsprüfung und an die Schnittstelle für den Einwilligungs-Prüfwert („Rate Limiting"). Dazu wird Ihre IP-Adresse als Zählmerkmal verwendet und für maximal 60 Sekunden im Arbeitsspeicher gehalten; danach wird der Zähler verworfen. Lässt sich keine IP-Adresse ermitteln, verwenden wir ersatzweise Browserkennung (User-Agent) und Spracheinstellung. Diese Angaben werden ausschließlich zur Abwehr automatisierter Massenanfragen genutzt, nicht gespeichert, nicht protokolliert und nicht mit anderen Daten zusammengeführt.

Rechtsgrundlage für ALTCHA und das Rate Limiting: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Verfügbarkeit unserer Formulare und an der Abwehr von Spam).

6. Datenbank, Inhalte und Medien

Supabase (Datenbank und Medien-Speicher)

Zur Speicherung unserer Produktdaten (Fahrräder, Zubehör, Marken, Leasing-Partner) sowie der Produkt- und Markenbilder setzen wir Supabase ein. Vertragspartner und Auftragsverarbeiter ist die Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Unser Projekt wird in der Region West-EU (Irland) betrieben; die Speicherung und primäre Verarbeitung erfolgt damit innerhalb der EU. Für die Website selbst werden dort ausschließlich produktbezogene Daten ohne Personenbezug gespeichert (z. B. Bezeichnungen, Preise, Bestände, EAN, Bilddateien). Besucher-Accounts gibt es auf der Website nicht; Supabase setzt keine Cookies im Browser unserer Besucher.

Im selben Supabase-Projekt, aber in einem davon getrennten Datenbereich, liegen die Daten unseres Werkstattsystems: Reparaturaufträge samt Kontaktdaten unserer Kundschaft, Fahrradangaben und Fotos, sonstige Kundenanliegen, über die QR-Codes im Laden eingetragene Kontaktdaten sowie die Benutzerkonten unserer Mitarbeitenden. Einzelheiten dazu in Abschnitt 7.

Produktdaten und Produktbilder ruft unser Server bei Supabase ab und liefert sie über unsere eigene Domain an Ihren Browser aus – Ihre IP-Adresse wird dabei nicht an Supabase übermittelt. Eine Ausnahme bilden Marken- und Leasing-Partner-Logos, die als SVG-Datei vorliegen: Diese lädt Ihr Browser unmittelbar aus dem Supabase-Speicher, wodurch Ihre IP-Adresse technisch bedingt an die Server von Supabase übermittelt wird, damit die Datei ausgeliefert werden kann. Weitere Daten werden dabei nicht übertragen.

Rechtsgrundlage für die Produktdaten: Art. 6 Abs. 1 lit. f DSGVO; für die Daten des Werkstattsystems gelten die in Abschnitt 7 genannten Rechtsgrundlagen. Mit Supabase besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Da Supabase Pte. Ltd ihren Sitz in einem Drittland (Singapur) hat und Unterauftragsverarbeiter auch außerhalb der EU einsetzen kann, sind für etwaige Drittlandübermittlungen die EU-Standardvertragsklauseln (SCC, Modul 2) Bestandteil dieses Vertrags. Weitere Informationen: https://supabase.com/privacy

Sanity (Headless CMS)

Die redaktionellen Inhalte unserer Website werden über das CMS Sanity verwaltet (Sanity AS, Trondheimsveien 2K, 0560 Oslo, Norwegen).

Diese Inhalte ruft unser Server bei Sanity ab; auch die Bilder werden über unsere eigene Domain ausgeliefert. Beim normalen Besuch unserer Website baut Ihr Browser deshalb keine Verbindung zu Sanity oder zum Sanity-CDN auf, und es wird keine IP-Adresse an Sanity übermittelt. Sanity setzt bei Besuchern unserer Website keine Cookies und führt kein Tracking durch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mit Sanity besteht ein AV-Vertrag (Art. 28 DSGVO). Sanity hat ihren Sitz in Norwegen, einem Mitgliedstaat des Europäischen Wirtschaftsraums (EWR), in dem die DSGVO unmittelbar gilt; eine Drittlandübermittlung liegt insoweit nicht vor. Soweit Sanity Unterauftragsverarbeiter außerhalb des EWR (insbesondere CDN-Infrastruktur in den USA) einsetzt, ist dies durch die EU-Standardvertragsklauseln abgesichert. Weitere Informationen: https://www.sanity.io/legal/privacy

Darstellung von Mitarbeiterdaten auf der Team-Seite

Auf unserer Team-Seite zeigen wir Vorname, Nachname, Rolle/Funktion und ein Foto unserer Mitarbeitenden. Die Veröffentlichung erfolgt auf Grundlage der ausdrücklichen Einwilligung der jeweiligen Mitarbeitenden (Art. 6 Abs. 1 lit. a DSGVO, ggf. i. V. m. § 26 Abs. 2 BDSG). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Daten werden dann unverzüglich entfernt.

Schriftarten

Zur einheitlichen Darstellung unserer Inhalte verwenden wir die Schriftarten „Geist" und „Instrument Sans". Diese werden ausschließlich von unserem eigenen Server ausgeliefert: Die Schriftdateien sind bereits bei der Erstellung unserer Website fest eingebunden worden und werden gemeinsam mit den übrigen Seiteninhalten übertragen. Ein Verbindungsaufbau Ihres Browsers zu Servern Dritter – insbesondere zu fonts.googleapis.com oder fonts.gstatic.com – findet dabei zu keinem Zeitpunkt statt; es wird auch keine IP-Adresse an Dritte übermittelt. Ebenso laden wir die Barrierefreiheits-Schrift „Open Dyslexic" lokal von unserem eigenen Server (kein Drittanbieter). Externe Schrift-CDNs binden wir nicht ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen und barrierearmen Darstellung unseres Internetauftritts). Da die Schriftarten lokal ausgeliefert werden, ist hierfür keine Einwilligung erforderlich.

7. Reparaturannahme, Kundenanliegen, Reparaturverfolgung und Werkstattsystem

Für die Abwicklung von Reparaturen und sonstigen Kundenanliegen nutzen wir ein eigenes Werkstattsystem. Es besteht aus einem internen Bereich für unsere Mitarbeitenden (os.radhaus-lauingen.de) und aus drei Kundenseiten ohne Anmeldung (mein.radhaus-lauingen.de): der Selbst-Anmeldung für eine Reparatur per QR-Code im Laden, der Erfassung von Kontaktdaten für sonstige Anliegen per QR-Code im Laden und der Reparaturverfolgung.

Reparaturauftrag

Nehmen wir Ihr Fahrrad zur Reparatur an, erfassen wir:

• Kontaktdaten: Vor- und Nachname, ggf. Firma, Anschrift, Telefonnummer und E-Mail-Adresse
• Angaben zum Fahrrad: z. B. Marke, Modell und Rahmennummer
• Angaben zum Auftrag: z. B. Beschreibung des Anliegens, Termine, Kostenvoranschlag und Preis, verbaute Teile, Garantie- oder Leasingbezug, Bearbeitungsstand mit Verlauf, interne Notizen sowie Nachrichten, die Sie uns über die Reparaturverfolgung senden
• Fotos des Fahrrads zur Dokumentation seines Zustands und festgestellter Schäden
• Auftragsnummer und Auftragscode: Der Auftragscode steht auf Ihrem Kundenbeleg und dient als Abholnachweis und als Schlüssel zur Reparaturverfolgung.

Zwecke: Annahme, Durchführung und Abrechnung der Reparatur, Rückfragen während der Reparatur, Benachrichtigungen zu Ihrem Auftrag und die Übergabe.

Pflichtangaben: Für die Annahme benötigen wir Ihren Namen und Ihre Anschrift. Die Anschrift brauchen wir für die Rechnung und um Sie auch dann erreichen zu können, wenn ein Fahrrad nicht abgeholt wird. Ohne Telefonnummer oder E-Mail-Adresse können wir Sie bei Rückfragen und bei Fertigstellung nicht erreichen. Weitere Angaben sind freiwillig, soweit sie nicht für die konkrete Reparatur erforderlich sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Reparaturvertrags bzw. vorvertragliche Maßnahmen), für Angaben auf Rechnungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 14 UStG. Fotos und interne Notizen stützen wir zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, den Zustand des Fahrrads und den Ablauf der Reparatur nachweisen zu können).

Empfänger: Unsere Auftragsverarbeiter Vercel (Abschnitt 4), Supabase (Abschnitt 6), Resend und Microsoft (Abschnitt 5). Darüber hinaus übermitteln wir Auftragsdaten nur, soweit das für Ihren Auftrag erforderlich ist, nach Art. 6 Abs. 1 lit. b DSGVO:

• bei Leasing-Rädern an den Leasing-Anbieter oder dessen Versicherung, wenn wir die Reparatur mit ihm abrechnen;
• bei Garantie- oder Gewährleistungsfällen an den Hersteller oder Lieferanten.

Statistik: Aus Reparaturaufträgen und Selbst-Anmeldungen erstellen wir intern anonyme, zusammengefasste Auswertungen, um unsere Werkstattabläufe zu verbessern. Nach der Löschung eines Auftrags bleiben davon nur anonyme Zählwerte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unserer Werkstattabläufe).

Selbst-Anmeldung per QR-Code (mein.radhaus-lauingen.de/annahme)

Im Laden können Sie Ihre Kontaktdaten über einen QR-Code selbst auf Ihrem Smartphone eintragen. Abgefragt werden Vor- und Nachname, Anschrift sowie Telefonnummer und/oder E-Mail-Adresse. Pflichtangaben sind Name, Anschrift und mindestens eine Kontaktmöglichkeit. Die Nutzung ist freiwillig; Sie können Ihre Angaben ebenso am Tresen machen.

Übernehmen wir Ihre Angaben in einen Reparaturauftrag, gilt der Abschnitt „Reparaturauftrag". Die Anmeldung selbst wird 48 Stunden nach dem Absenden automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Sonstige Anliegen

Für Anliegen, die keine Reparatur sind (z. B. ein Rückruf oder eine Bestellung), erfassen wir Ihre Kontaktdaten (Nachname oder Firma, ggf. Vorname, Telefonnummer und/oder E-Mail-Adresse, ggf. Anschrift) sowie Angaben zu Ihrem Anliegen, um es zu bearbeiten und uns dazu bei Ihnen zu melden.

Pflichtangaben: Ihr Name oder der Ihrer Firma. Ohne Telefonnummer oder E-Mail-Adresse können wir uns nicht bei Ihnen melden. Weitere Angaben sind freiwillig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen auf Ihre Anfrage). Treten Sie für ein Unternehmen an uns heran, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwicklung des Anliegens mit dem Unternehmen).

Empfänger: Unsere Auftragsverarbeiter Vercel (Abschnitt 4) und Supabase (Abschnitt 6).

Kontaktdaten per QR-Code (mein.radhaus-lauingen.de/kontaktdaten)

Für sonstige Anliegen können Sie Ihre Kontaktdaten im Laden über einen QR-Code selbst eintragen. Abgefragt werden Vorname, Nachname oder Firma, Telefonnummer, E-Mail-Adresse und Anschrift. Pflichtangaben sind Nachname oder Firma sowie eine Telefonnummer oder E-Mail-Adresse. Die Nutzung ist freiwillig; Sie können Ihre Angaben ebenso am Tresen machen.

Übernehmen wir Ihre Angaben, gilt der Abschnitt „Sonstige Anliegen". Der Eintrag selbst wird 48 Stunden nach dem Absenden automatisch gelöscht.

Rechtsgrundlage: wie im Abschnitt „Sonstige Anliegen".

Reparaturverfolgung (mein.radhaus-lauingen.de)

Mit dem Auftragscode von Ihrem Kundenbeleg können Sie den Stand Ihrer Reparatur abrufen. Angezeigt werden der Auftragscode, die Bezeichnung des Fahrrads, der aktuelle Bearbeitungsstand, das Annahmedatum und der voraussichtliche Fertigtermin. Wer den Code kennt, kann diese Angaben abrufen; geben Sie ihn deshalb nur weiter, wenn Sie das möchten.

Solange Ihr Fahrrad bei uns ist, können Sie uns dort außerdem eine Nachricht schreiben. Wir speichern sie im Verlauf Ihres Auftrags und leiten sie zusammen mit Ihrem Namen, Ihren Kontaktdaten und den Auftragsangaben per E-Mail an unser Postfach weiter (Versand über Resend, Postfach bei Microsoft, siehe Abschnitt 5). Die Nachricht ist freiwillig.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Schutz der Kundenseiten vor Missbrauch

Damit niemand Auftragscodes durch massenhaftes Ausprobieren erraten oder unsere Formulare mit automatisierten Eingaben überfluten kann, begrenzen wir die Zahl der Anfragen je Internetanschluss und sperren ihn bei Überschreitung vorübergehend. Dazu speichern wir nicht Ihre IP-Adresse, sondern nur eine pseudonymisierte Form davon (Hash). Diese Einträge werden ausschließlich zur Missbrauchsabwehr verwendet und in der Regel nach spätestens einer Stunde gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Kundenseiten).

E-Mails zu Ihrem Auftrag

Haben Sie uns eine E-Mail-Adresse genannt, senden wir Ihnen nach der Annahme eine Bestätigung und, sobald Ihr Fahrrad fertig ist, eine weitere Nachricht. Sie enthalten Ihren Namen, die Bezeichnung des Fahrrads, den Auftragscode, ggf. den voraussichtlichen Fertigtermin und einen Link zur Reparaturverfolgung. Der Versand erfolgt über Resend; die Angaben im Abschnitt „Kontaktformular und Versand über Resend" gelten entsprechend.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Internes Werkstattsystem (os.radhaus-lauingen.de)

Der interne Bereich ist nur unseren Mitarbeitenden nach Anmeldung zugänglich. Mit der Anmeldung setzt er Cookies, die die Sitzung halten (bis zur Abmeldung, höchstens 400 Tage); sie sind für den Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Speicherdauer im Werkstattsystem

Die folgenden Löschungen laufen automatisch:

Weitergeleitete Nachrichten in unserem E-Mail-Postfach löschen wir nach den Fristen im Abschnitt „Anfrage per E-Mail, Telefon oder Telefax“.

Gesetzliche Aufbewahrung: Rechnungen und Kassenbelege führen wir nicht im Werkstattsystem, sondern in unserem Kassen- bzw. Warenwirtschaftssystem, und bewahren sie dort nach § 147 AO und § 257 HGB auf (Buchungsbelege derzeit acht Jahre). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

8. Einwilligungspflichtige Drittanbieter-Inhalte

Die folgenden Dienste werden erst nach Ihrer ausdrücklichen Einwilligung über unseren Consent-Manager geladen. Bis dahin werden weder Skripte noch iFrames ausgeführt und es findet keine Datenübertragung statt. Rechtsgrundlage in allen Fällen: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG; die Einwilligung ist jederzeit widerrufbar.

Nach Ihrer Einwilligung können die jeweiligen Anbieter Informationen auf Ihrem Endgerät speichern oder aus diesem auslesen (z. B. Cookies oder Einträge im Browser-Speicher). Art, Zweck und Speicherdauer bestimmt dabei der jeweilige Anbieter; die uns bekannten Angaben finden Sie unten sowie in den Detailhinweisen unseres Consent-Banners. Da die Inhalte in unsere Seiten eingebettet werden, erhalten die Anbieter außerdem die Adresse der aufrufenden Seite (Referrer-URL).

Google Maps

Kartendienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Konzernmutter: Google LLC, USA). Übertragen werden Ihre IP-Adresse, Browser- und Geräteinformationen sowie die Referrer-URL; bei Interaktion mit der Karte ggf. weitere Eingabe- und Standortdaten. Die Daten werden i. d. R. an einen Google-Server in den USA übertragen; die Übermittlung wird auf die EU-Standardvertragsklauseln gestützt, Google LLC ist zudem DPF-zertifiziert.

Technik und Speicherdauer: Einbindung per iFrame (google.com/maps/embed). Google kann dabei eigene Cookies setzen, z. B. „NID" mit einer Speicherdauer von üblicherweise etwa 6 Monaten.

Weitere Informationen: https://policies.google.com/privacy?hl=de

JobRad-Preisrechner

Leasing-Rechner der JobRad GmbH, Heinrich-von-Stephan-Straße 13, 79100 Freiburg im Breisgau. Nach Ihrer Einwilligung wird das Widget von jobrad-price-widget.svc.jobrad.org geladen; dabei werden Ihre IP-Adresse, Browser- und Geräteinformationen, die Referrer-URL und – bei Nutzung des Rechners – Ihre Eingaben (z. B. Bruttogehalt, gewählte Laufzeit) an JobRad übermittelt.

Technik und Speicherdauer: Das Widget speichert Ihre Eingabe zum Gehalt im Session Storage Ihres Browsers; dieser Eintrag wird mit dem Ende der Browser-Sitzung gelöscht.

Weitere Informationen: https://www.jobrad.org/datenschutz

easyCredit-Ratenkauf

Ratenkauf-Rechner der TeamBank AG Nürnberg, Beuthener Str. 25, 90471 Nürnberg. Nach Ihrer Einwilligung wird das Widget von ratenkauf.easycredit.de geladen; dabei werden Ihre IP-Adresse, Browser- und Geräteinformationen, die Referrer-URL und – bei Nutzung des Rechners – Ihre Eingaben übermittelt.

Der Rechner zeigt unverbindliche Beispielraten; eine Bonitätsprüfung findet dabei nicht statt. Zu einer solchen kommt es erst bei einem tatsächlichen Ratenkauf im Bestellprozess – auf eigener Rechtsgrundlage und mit gesondertem Datenschutzhinweis der TeamBank AG.

Weitere Informationen: https://www.easycredit.de/datenschutz

Bosch eBike Reichweiten-Assistent

iFrame der Robert Bosch GmbH, Robert-Bosch-Platz 1, 70839 Gerlingen-Schillerhöhe, eingebunden von bosch-ebike.com/range-cockpit. Beim Aufruf werden Ihre IP-Adresse, Browser- und Geräteinformationen, die Referrer-URL und Ihre Eingaben (z. B. Fahrradmodell, Akku, Streckenparameter) an Bosch übermittelt.

Weitere Informationen: https://www.bosch-ebike.com/de/privacy-full

9. Einbindungen ohne Einwilligung

Google Places API (serverseitig)

Zur Anzeige unserer Öffnungszeiten und Google-Bewertungen nutzen wir die Google Places API (Google Ireland Limited). Der Abruf erfolgt ausschließlich serverseitig: Unser Server fragt die Daten ab und liefert sie aus; Ihre IP-Adresse wird dabei nicht an Google übertragen. Bei den angezeigten Rezensionen werden auch Anzeigenamen und Bewertungstexte dargestellt. Quelle dieser Daten (Art. 14 Abs. 2 lit. f DSGVO) ist der öffentlich einsehbare Google-Unternehmenseintrag; die Rezensenten haben ihre Bewertungen dort selbst öffentlich gemacht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Information unserer Besucher über Öffnungszeiten und Kundenmeinungen). Datenschutzerklärung von Google: https://policies.google.com/privacy?hl=de

Link zu unserem Google-Unternehmensprofil

Im Footer verlinken wir unseren Standort in Google Maps (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Es handelt sich um einen reinen Outbound-Link auf maps.app.goo.gl; an dieser Stelle wird keine Karte eingebettet und es werden keine Skripte oder iFrames von Google geladen. Eine Datenübertragung an Google findet erst statt, wenn Sie den Link aktiv anklicken und unsere Website verlassen. Für die an anderer Stelle eingebettete Karte gilt Abschnitt 8 („Google Maps"). Datenschutzerklärung von Google: https://policies.google.com/privacy?hl=de

Produktbilder unserer Lieferanten (serverseitiger Abruf)

Ein Teil unserer Produktbilder und Hersteller-Logos stammt von Servern unserer Lieferanten, u. a. stevensbikes.de, media.hartje.de, hartje.catshop.net, veloconnect.eosweb.de, abus.com und pictures.sks-germany.com. Diese Bilder ruft unser Server ab und liefert sie über unsere eigene Domain an Ihren Browser aus. Ihre IP-Adresse wird dabei nicht an die Lieferanten übermittelt, und Ihr Browser baut zu diesen Servern keine Verbindung auf. Sämtliche genannten Anbieter haben ihren Sitz in Deutschland bzw. der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer aktuellen und vollständigen Produktdarstellung mit von den Herstellern bereitgestelltem Bildmaterial).

Soziale Medien (Verlinkung und eigene Profile)

Links auf unserer Website: Im Footer finden Sie unter anderem Links zu unseren Profilen bei Facebook und Instagram (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland). Es handelt sich um reine Outbound-Links – wir binden keine Social-Media-Plugins, Pixel oder Like-Buttons ein. Eine Datenübertragung an diese Anbieter findet erst statt, wenn Sie aktiv auf einen Link klicken und unsere Website verlassen.

Unsere Profile bei Facebook und Instagram: Wir betreiben eigene Profile bei Facebook und Instagram. Wenn Sie diese Profile besuchen oder mit ihnen interagieren, verarbeitet Meta personenbezogene Daten (z. B. Ihre Interaktionen) und stellt uns zusammengefasste Statistiken („Insights") über die Nutzung unserer Profile bereit. Für die Verarbeitung dieser Insights-Daten sind wir und Meta gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO. Die Aufteilung der Verantwortlichkeiten ist in der „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen" von Meta geregelt, deren wesentlichen Inhalt Sie hier einsehen können: https://www.facebook.com/legal/terms/page_controller_addendum. Die zugrunde liegende Datenverarbeitung erfolgt durch Meta; wir erhalten ausschließlich aggregierte, nicht auf einzelne Personen rückführbare Auswertungen und haben keinen Zugriff auf die Rohdaten.

Rechtsgrundlage für den Betrieb unserer Profile und die Nutzung der Statistiken ist unser berechtigtes Interesse an Außendarstellung und Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Welche Daten Meta im Einzelnen erhebt und wie diese verarbeitet werden, entnehmen Sie der Datenschutzrichtlinie von Meta: https://www.facebook.com/privacy/policy. Ihre Betroffenenrechte (siehe Abschnitt 3) können Sie sowohl uns gegenüber als auch direkt gegenüber Meta geltend machen.

Stand: Oktober 2026