Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für diesen Online-Shop ist:

gum-and-fun süd GmbH & Co. KG
Industriestraße 5
95502 Himmelkron
Deutschland

Telefon: +49 9227 945472
Telefax: +49 9227 945471
E-Mail: shop@gumandfunshop.de

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies erforderlich ist, um unseren Online-Shop bereitzustellen, Anfragen zu bearbeiten, Bestellungen abzuwickeln, gesetzlichen Verpflichtungen nachzukommen oder soweit Sie uns eine Einwilligung erteilt haben. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen

Beim Zugriff auf Informationen in Ihrem Endgerät bzw. bei deren Speicherung gelten zusätzlich die Vorgaben des § 25 TDDDG.

3. Hosting und Bereitstellung des Online-Shops

Der Online-Shop wird auf der Entwicklungs- und Hostingplattform Lovable (Lovable Labs Incorporated, San Francisco, USA; europäische Vertragsgesellschaft Lovable AB, Stockholm, Schweden) betrieben und über deren Content-Delivery- und Edge-Infrastruktur ausgeliefert. Lovable stellt damit die Laufzeitumgebung des Shops bereit und verarbeitet in dieser Rolle die technisch notwendigen Verbindungsdaten als Auftragsverarbeiter für uns.

Beim Aufruf des Shops werden technisch erforderliche Server- und Verbindungsdaten verarbeitet:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei
• übertragene Datenmenge und HTTP-Status
• Referrer, Browsertyp und -version, Betriebssystem

Zweck ist die sichere und zuverlässige Bereitstellung des Shops, die Fehleranalyse sowie die Abwehr missbräuchlicher Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und stabile Betrieb des Online-Angebots.

Speicherdauer: Wir selbst führen keine dauerhaften eigenen Zugriffsprotokolle und werten Server-Logs nicht personenbezogen aus. Die technischen Logs der eingesetzten Hosting- und Edge-Infrastruktur werden dort kurzfristig zu Betriebs- und Sicherheitszwecken vorgehalten und anschließend gelöscht bzw. anonymisiert, soweit nicht ein konkreter Sicherheitsvorfall oder eine gesetzliche Pflicht eine längere Aufbewahrung erfordert.

4. Verschlüsselung

Die Datenübertragung zwischen Ihrem Browser und dem Shop erfolgt ausschließlich verschlüsselt über HTTPS/TLS. Zusätzlich setzen wir angemessene technische und organisatorische Maßnahmen zum Schutz vor Verlust, Manipulation und unbefugtem Zugriff ein.

5. Cookies und Technologien auf Endgeräten

Beim ersten Besuch zeigen wir Ihnen ein Consent-Pop-up mit den gleichwertigen Optionen „Nur notwendige Cookies“, „Alle akzeptieren“ und „Einstellungen“. Optionale Kategorien (Statistik/Analyse, Marketing, Externe Medien) sind standardmäßig deaktiviert und werden technisch erst nach Ihrer aktiven Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Derzeit setzen wir in diesen Kategorien keineDienste ein – insbesondere keine Analyse-, Marketing- oder Trackingdienste, keine Pixel und keine externen Werbeskripte.

Ihre Auswahl (Kategorien, Zeitpunkt, Konfigurationsversion) speichern wir 12 Monate im Local-Storage-Eintrag gf_consent. Sie können sie jederzeit über den Link „Cookie-Einstellungen“ im Footer ändern oder widerrufen; der Widerruf wirkt sofort, die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Unbedingt erforderlich im Sinne des § 25 Abs. 2 TDDDG sind ausschließlich:

• gf_cart_<Shop-Kennung> (Local Storage) – zufällige Warenkorb-Kennung, damit Ihr Warenkorb erhalten bleibt. Speicherung bis zum Löschen durch Sie bzw. bis zum Abschluss der Bestellung.
• sb-<Projekt>-auth-token (Local Storage) – Anmelde-/Sitzungstoken, ausschließlich nach aktiver Anmeldung in einem Kundenkonto.
• __cf_bm (Cookie, gesetzt von Cloudflare auf der Domain unserer Datenbank-/API-Schnittstelle, Laufzeit ca. 30 Minuten) – Bot-Erkennung und Missbrauchsabwehr beim Abruf von Katalog- und Warenkorbdaten.

Soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Eine vollständige, technisch geprüfte Übersicht finden Sie unter Cookie-Einstellungen.

6. Consent-Management

Da keine einwilligungspflichtigen Technologien eingesetzt werden, verwenden wir kein externes Consent-Management-System und speichern keine Einwilligungsprofile. Sollten künftig einwilligungspflichtige Dienste hinzukommen, holen wir Ihre Einwilligung vorab über ein Banner mit gleichwertigen Schaltflächen „Alle akzeptieren“ und „Alle ablehnen“ ein und ergänzen diese Erklärung entsprechend.

7. Kundenkonto und Registrierung

Wenn Sie ein Kundenkonto (Praxiszugang) anlegen, verarbeiten wir die hierfür erforderlichen Daten: Vor- und Nachname, Praxis- bzw. Firmenname, Anschrift, E-Mail-Adresse, ggf. Telefonnummer, Anmelde- und Authentifizierungsdaten, Bestellhistorie sowie hinterlegte Liefer- und Rechnungsadressen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Auf Ihren Wunsch löschen wir das Kundenkonto; Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, bleiben bis zum Fristablauf gespeichert und werden für andere Zwecke gesperrt.

8. Authentifizierung

Für Anmeldung und Sitzungsverwaltung nutzen wir Supabase Auth (Supabase, Inc., 970 Toa Payoh North, Singapur) als Auftragsverarbeiter. Verarbeitet werden E-Mail-Adresse, ein gehashtes Passwort, Zeitstempel der Anmeldungen sowie technische Sitzungs- und Protokolldaten. Passwörter werden ausschließlich als kryptografischer Hash gespeichert und niemals im Klartext gespeichert oder protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Authentifizierungslogs werden bei Supabase kurzfristig zu Sicherheits- und Betriebszwecken vorgehalten.

9. Warenkorb, Bestellungen und Vertragsabwicklung

Bei einer Bestellung verarbeiten wir: Name, Praxis/Firma, Rechnungs- und Lieferanschrift, E-Mail-Adresse, Telefonnummer, bestellte Produkte, Menge, Preise, Zahlungsart und -status, Versandstatus, Bestellnummer, Rechnungsdaten sowie die Kommunikation zur Bestellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für handels- und steuerrechtliche Pflichten zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Warenkorb- und Bestelldaten werden über abgesicherte Schnittstellen (SECURITY-DEFINER- RPC-Funktionen im Schema commerce) in unserer zentralen Warenwirtschaftsdatenbank gespeichert (siehe Ziffer 12). Ein direkter Datenbankzugriff aus dem Shop heraus ist technisch ausgeschlossen.

10. Gesetzliche Aufbewahrungsfristen

Buchungsbelege und Rechnungen bewahren wir nach der derzeit geltenden Rechtslage regelmäßig acht Jahre auf (§ 257 HGB, § 147 AO). Für Handels- und Geschäftsbriefe gilt regelmäßig eine sechsjährige Frist. Andere personenbezogene Daten werden gelöscht, sobald der Verarbeitungszweck entfällt und keine rechtmäßigen Gründe für eine weitere Speicherung bestehen. Die Fristen können sich im Einzelfall verlängern, etwa bei laufenden steuerlichen oder rechtlichen Verfahren.

11. Zahlungsabwicklung

Im Shop ist derzeit ausschließlich der Kauf auf Rechnung aktiviert. Es sind keine externen Zahlungsdienstleister eingebunden; es werden insbesondere keine Kreditkarten-, PayPal- oder SEPA-Lastschriftdaten im Shop erhoben oder an Zahlungsdienstleister übermittelt. Die Rechnungsstellung und der Zahlungsabgleich erfolgen in unserer eigenen Warenwirtschaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Rechnungslegung Art. 6 Abs. 1 lit. c DSGVO.

12. Zentrale Warenwirtschaft und Datenbank (Supabase)

Artikel-, Kunden-, Warenkorb- und Bestelldaten werden in unserer zentralen Warenwirtschaftsdatenbank verarbeitet, die bei Supabase (Supabase, Inc., Singapur) als Auftragsverarbeiter betrieben wird. Supabase wird für Datenbank, Authentifizierung und technische Protokolle eingesetzt; ein Storage-Dienst mit personenbezogenen Daten und externe Edge Functions werden für den Shop nicht genutzt.

Serverstandort: Die Datenbank wird ausschließlich in der Europäischen Union betrieben – bei Amazon Web Services, Region eu-west-1 (Irland). Eine Speicherung der Datenbankinhalte außerhalb der EU bzw. des EWR findet nicht statt.

Verarbeitet werden je nach Nutzung Kundenstammdaten, Kontodaten, Adress- und Bestelldaten, Warenkorbdaten sowie technische Protokolldaten einschließlich IP-Adressen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Protokolldaten Art. 6 Abs. 1 lit. f DSGVO. Mit Supabase besteht ein Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln; Supabase setzt Unterauftragsverarbeiter (u. a. Amazon Web Services) ein.

13. E-Mail-Versand

System- und Bestell-E-Mails (insbesondere Bestellbestätigungen und Rechnungsversand) versenden wir über den SMTP-Dienst unseres E-Mail-Providers IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Übertragen werden dabei Absender- und Empfängeradresse, Betreff, Inhalt der Nachricht und gegebenenfalls Anhänge (z. B. Bestellübersicht). Die Übertragung erfolgt TLS-verschlüsselt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei gesetzlich vorgeschriebenen Belegen Art. 6 Abs. 1 lit. c DSGVO. Die Serverstandorte von IONOS liegen in Deutschland bzw. der EU.

Anmelde- und Passwort-zurücksetzen-E-Mails im Zusammenhang mit dem Kundenkonto werden über den Mailversand von Supabase Auth zugestellt.

14. Versand und Lieferung

Für die Zustellung bestellter Waren übermitteln wir die zur Lieferung erforderlichen Daten (Name, Lieferanschrift, gegebenenfalls E-Mail-Adresse oder Telefonnummer für die Avisierung) an den jeweils beauftragten Versanddienstleister. Zum Einsatz kommen je nach Sendung DHL, DPD, UPS oder ein beauftragtesSpeditionsunternehmen (jeweils mit Sitz bzw. Niederlassung in der EU). Die Beauftragung erfolgt manuell aus unserer Warenwirtschaft heraus; eine automatisierte Übermittlung aus dem Shop an Versanddienstleister findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

15. Kontaktaufnahme und Beratungsanfragen

Wenn Sie uns über das Anfrage-/Beratungsformular des Shops, per E-Mail oder telefonisch kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage: Praxis/Firma, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Nachrichtentext und weitere freiwillige Angaben. Formularanfragen werden über die gesicherte Shop-Schnittstelle in unserer zentralen Warenwirtschaft (Ziffer 12) gespeichert. Bei vertragsbezogenen Anfragen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO (sachgerechte Bearbeitung der Anfrage). Ein Captcha-Dienst wird nicht eingesetzt.

16. Newsletter

Wir bieten in diesem Shop derzeit keinen Newsletter und keine vergleichbare elektronische Direktwerbung an. Eine entsprechende Einwilligung wird nicht erhoben.

17. Analyse, Statistik und Marketing

Es werden keine Web-Analyse-, Statistik-, Reichweitenmessungs-, Remarketing- oder Werbedienste eingesetzt. Es findet insbesondere kein Einsatz von Google Analytics, Meta-Pixel oder vergleichbaren Diensten statt.

18. Externe Inhalte

Der Shop bindet keine externen Karten, Videoplattformen (z. B. YouTube, Vimeo), Social-Media-Plugins, Bewertungsdienste oder sonstigen Drittanbieter-Widgets ein. Skripte und Stylesheets werden ausschließlich von unserer eigenen Domain ausgeliefert. Einzelne Produkt- und Motivbilder werden aus dem zentralen Medienbestand unter lagerverwaltung.gum-and-fun.info geladen; dieser Server wird ebenfalls von uns bzw. in unserem Auftrag betrieben, eine Übermittlung an Dritte findet dadurch nicht statt.

19. Schriftarten

Es werden ausschließlich lokal ausgelieferte Schriften bzw. Systemschriften verwendet. Eine Verbindung zu Google Fonts oder anderen externen Font-Diensten wird beim Aufruf unserer Seiten nicht aufgebaut.

20. Künstliche Intelligenz

Der öffentliche Shop enthält keine KI-Funktionen, bei denen Eingaben, Suchbegriffe oder Kundendaten an einen externen KI-Anbieter übertragen werden. KI wurde ausschließlich bei der Erstellung von Bildmaterial im Rahmen der Entwicklung eingesetzt; entsprechende Bilder sind gemäß Art. 50 EU-KI-Verordnung als KI-generiert gekennzeichnet.

21. Empfänger personenbezogener Daten

Daten werden nur an folgende Empfänger übermittelt, soweit erforderlich:

• Lovable (Hosting-/Plattformbetrieb)
• Supabase (Datenbank und Authentifizierung)
• IONOS (E-Mail-Versand)
• beauftragte Versand- und Logistikdienstleister (DHL, DPD, UPS bzw. Speditionen)
• Steuerberatung und Buchhaltung
• Behörden und öffentliche Stellen bei gesetzlicher Verpflichtung

22. Datenübermittlung in Drittländer

Unsere Datenbankinhalte werden ausschließlich innerhalb der EU gespeichert (AWS-Region eu-west-1, Irland); eine Speicherung in Drittländern findet nicht statt. Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Mit Supabase, Inc. (Singapur) und Lovable Labs Incorporated (USA) bestehen Auftragsverarbeitungsverträge einschließlich der Standardvertragsklauseln der Europäischen Kommission nebst ergänzenden Schutzmaßnahmen (Verschlüsselung in Übertragung und Speicherung, Zugriffsbeschränkungen). Ein Rückgriff auf das frühere EU-US-Privacy-Shield erfolgt ausdrücklich nicht.

23. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten, die Geltendmachung oder Abwehr rechtlicher Ansprüche bzw. andere gesetzlich zulässige Gründe dies erfordern. Konkrete Fristen sind in den jeweiligen Abschnitten genannt.

24. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen.

25. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns als nichtöffentliches Unternehmen mit Sitz in Bayern ist zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de

Das Recht, sich an eine andere zuständige Aufsichtsbehörde zu wenden, bleibt unberührt.

26. Bereitstellung von Daten

Bestimmte Angaben sind erforderlich, damit wir eine Bestellung entgegennehmen und den Vertrag durchführen können; Pflichtfelder sind im Checkout gekennzeichnet. Ohne diese Angaben kann der Vertrag gegebenenfalls nicht geschlossen oder durchgeführt werden.

27. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne von Art. 22 DSGVO findet durch uns nicht statt. Da keine externen Zahlungsdienstleister eingebunden sind, erfolgen im Shop auch keine automatisierten Bonitäts- oder Betrugsprüfungen Dritter.

28. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt; eine gesetzliche Bestellpflicht nach § 38 BDSG besteht nach unserer Prüfung derzeit nicht. Für alle Datenschutzanliegen wenden Sie sich bitte an die unter Ziffer 1 genannten Kontaktdaten.

29. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Shop, die eingesetzten Dienste oder die rechtlichen Rahmenbedingungen ändern. Maßgeblich ist die jeweils auf gumandfunshop.de/datenschutz veröffentlichte Fassung.

Stand: 30. August 2026