Datenschutzerklärung

1. Verantwortlicher

Daniel Buttadauro

Am Mitterfeld 22, 84028 Landshut, Deutschland

2. Welche Daten wir erheben

Wir erheben und verarbeiten folgende personenbezogene Daten:

Registrierungsdaten: Name, E-Mail-Adresse, Passwort (bcrypt-gehasht), bevorzugte Sprache
Lease-Daten: Lieferadresse (Straße, PLZ, Ort, Land), gewählter Baum und Laufzeit
Zahlungsdaten: Werden direkt von Stripe / PayPal verarbeitet — wir speichern keine vollständigen Kartendaten
Kontaktaufnahme: Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Nachricht und Ihre Absenderadresse. Daneben übermitteln zwei Formulare Daten an uns: der Chat-Assistent (Ihre Eingaben, siehe Abschnitt 5) und die unverbindliche Interessens-Registrierung im Öl-Shop (E-Mail-Adresse, Name und gewünschte Menge). Beide sind freiwillig
Technische Daten: IP-Adresse (nur für Rate Limiting, nicht dauerhaft gespeichert), Browser-Typ, Zugriffszeiten (Server-Logs)

3. Rechtsgrundlagen

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung Ihrer Daten ist zur Durchführung Ihres Baum-Pacht-Vertrags erforderlich (Registrierung, Lease-Abschluss, Lieferung).

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungsdaten für steuerliche Zwecke (10 Jahre).

Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Betrieb und Sicherheit der Plattform, Betrugsprävention.

Anbahnung und Kontakt (Art. 6 Abs. 1 lit. b und lit. f DSGVO): Bearbeitung von Anfragen, die Sie uns per E-Mail senden.

4. Speicherdauer

Accountdaten: bis zur Löschung durch den Nutzer + gesetzliche Aufbewahrungspflichten
Zahlungsbelege: 10 Jahre (§ 147 AO)
Server-Logs: 30 Tage
E-Mail-Anfragen: bis zur Erledigung, danach Löschung

5. Empfänger / Auftragsverarbeiter

Wir setzen folgende Dienstleister ein:

Hetzner Online GmbH (Deutschland) — Server, Datenbank und Cache. Datenbank und Cache laufen auf demselben Server; es kommt kein externer Datenbankdienst zum Einsatz.
Vercel Inc. (USA) — Auslieferung der Website. Die Auslieferung erfolgt über den Standort Frankfurt; eine Übermittlung in die USA ist dabei nicht ausgeschlossen.
Resend (Versand über Amazon SES) — E-Mail-Versand, ausschließlich für vertragsbezogene und kontobezogene Nachrichten.
Stripe und PayPal — Zahlungsabwicklung. Beide Anbieter befinden sich derzeit im Testmodus; es werden keine echten Zahlungen verarbeitet.
Pinata / IPFS — Speicherung von Baum-Fotos. Auf IPFS abgelegte Inhalte sind öffentlich abrufbar und lassen sich nicht zuverlässig löschen.
Anthropic PBC (USA) — Betrieb des Chat-Assistenten. Der Assistent ist auf allen Seiten erreichbar und ohne Anmeldung nutzbar. Ihre Eingaben werden zur Beantwortung an Anthropic übermittelt; die Übermittlung erfolgt in ein Drittland (USA) auf Grundlage der EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Geben Sie im Chat bitte keine personenbezogenen Daten ein, die Sie nicht übermitteln möchten.
Sendcloud B.V. (Niederlande) — Versandabwicklung. Übermittelt werden Name und Lieferanschrift, sobald eine Lieferung beauftragt wird.
Sentry (Functional Software Inc., USA) — Fehler-Monitoring, aktiv. Tritt im Browser ein technischer Fehler auf, werden Fehlermeldung, Stacktrace, aufgerufene Seite, Browser- und Betriebssystemversion sowie die IP-Adresse an Sentry übertragen und dort verarbeitet. Die Übermittlung erfolgt in ein Drittland (USA) auf Grundlage der EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einem funktionsfähigen, fehlerfreien Angebot). Session Replay ist deaktiviert — es werden keine Bildschirm- oder Eingabeaufzeichnungen erstellt.
Umami (selbst gehostet auf unserem eigenen Server) — Reichweitenmessung. Umami setzt keine Cookies und speichert keine IP-Adressen; sie werden ausschließlich kurzzeitig zur Ermittlung des Herkunftslands verarbeitet und anschließend nicht gespeichert. Erfasst werden aufgerufene Seite, Referrer, Land, Gerätetyp und Browser, jedoch keine personenbezogenen Kennungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an anonymer Reichweitenmessung).

Auftragsverarbeitungsverträge nach Art. 28 DSGVO werden geschlossen, sobald der Dienst geschäftsmäßig betrieben wird. Bis dahin findet keine Verarbeitung von Kundendaten im Wirkbetrieb statt.

6. Ihre Rechte (DSGVO)

Sie haben folgende Rechte:

Auskunft (Art. 15 DSGVO): Welche Daten wir von Ihnen haben
Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
Löschung (Art. 17 DSGVO): „Recht auf Vergessenwerden“
Einschränkung (Art. 18 DSGVO): Eingeschränkte Verarbeitung
Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten
Widerspruch (Art. 21 DSGVO): Gegen Verarbeitung auf Basis berechtigter Interessen
Beschwerde (Art. 77 DSGVO): Bei der zuständigen Aufsichtsbehörde

Kontakt für Datenschutzanfragen: daniel@oli-vera.eu

7. Cookies & Tracking

Notwendige Cookies: Wir setzen ein HTTP-only Cookie (olivera_auth) für die Authentifizierung. Dieses Cookie ist technisch notwendig und kann nicht abgelehnt werden (Art. 6 Abs. 1 lit. b DSGVO).

Analyse ohne Cookies: Wir nutzen Umami(selbst gehostet, siehe Abschnitt 5) zur anonymen Reichweitenmessung. Umami setzt keine Cookies und speichert keine IP-Adressen, daher ist kein Cookie-Banner erforderlich (§ 25 TTDSG erfasst nur den Zugriff auf Endgeräte-Informationen, den Umami nicht vornimmt). Werbe-Werkzeuge setzen wir nicht ein.

8. Blockchain-Daten

Derzeit werden keine Daten auf einer Blockchain gespeichert. Pachtzertifikate werden ausschließlich serverseitig mit einem Ed25519-Schlüssel signiert und über die Prüfseite verifizierbar gemacht.

Für einen späteren Ausbau ist die Ausgabe von NFT-Zertifikaten auf der Cardano-Blockchain vorgesehen. Sollte dieser Schritt erfolgen, wird diese Erklärung vorher ergänzt. Zu beachten wäre dann: Blockchain-Einträge sind öffentlich und dauerhaft und können nicht gelöscht werden. Wenn Sie eine Wallet verbinden, wird deren Adresse verarbeitet.