Datenschutzerklärung

1. Verantwortlicher

Weidtke Digital GmbH
Neue Schönhauser Str. 6, 10178 Berlin
E-Mail: hallo@widerrufsbutton.online

2. Überblick der Datenverarbeitung

widerrufsbutton.online ist ein technischer Service, der Online-Shops bei der Umsetzung der Widerrufspflicht gemäß EU-Richtlinie 2023/2673 (Änderung der Richtlinie 2011/83/EU) unterstützt. Dabei verarbeiten wir folgende Kategorien personenbezogener Daten:

• Shop-Inhaber: Name des Shops, E-Mail-Adresse (bei Registrierung), Vertrags- und Zahlungsdaten bei Buchung eines Pakets
• Endkunden: Widerrufsdaten (Name, Adresse, Bestelldaten) bei Einreichung eines Widerrufs
• Anfragende: Kontaktdaten und Inhalt der Nachricht bei Anfragen an unseren Support

3. Zugriffsdaten / Server-Logs

Beim Aufruf dieser Website werden automatisch folgende technische Daten erhoben und temporär in Server-Logs gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer-URL, verwendeter Browser und Betriebssystem sowie übertragene Datenmenge. Diese Daten sind technisch erforderlich, um die Website auszuliefern und die Sicherheit zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und fehlerfreien Bereitstellung der Website). Die Logs werden nach 30 Tagen automatisch gelöscht.

4. Hosting: Google Firebase

Diese Website wird über Google Firebase Hosting (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) bereitgestellt. Firebase verarbeitet beim Aufruf der Website automatisch technische Zugriffsdaten (IP-Adresse, Browser, Uhrzeit). Firebase Hosting nutzt CDN-Knoten innerhalb der EU/EWR. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mit Google besteht ein Datenverarbeitungsvertrag gemäß Art. 28 DSGVO. Soweit Daten in die USA übermittelt werden, geschieht dies auf Grundlage des EU-U.S. Data Privacy Framework (DPF), unter dem Google LLC zertifiziert ist.

5. DNS: Cloudflare

Die DNS-Auflösung dieser Website erfolgt über Cloudflare, Inc. (101 Townsend St, San Francisco, CA, USA). Bei jedem Seitenaufruf wird deine IP-Adresse an Cloudflare-Nameserver übermittelt, um die Domain in eine Server-Adresse aufzulösen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und sicheren DNS-Auflösung). Cloudflare ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert; ergänzend bestehen Standardvertragsklauseln (SCCs) gemäß Art. 46 DSGVO. Mit Cloudflare besteht ein Datenverarbeitungsvertrag gemäß Art. 28 DSGVO.

Zum Schutz des Registrierungsformulars vor missbräuchlichen automatisierten Zugriffen (Bots) setzen wir zudem Cloudflare Turnstile ein. Turnstile analysiert dabei technische Signale des Browsers (u. a. IP-Adresse, Browsermerkmale), um zwischen Menschen und Bots zu unterscheiden und kommt ohne Cookies und ohne nutzerübergreifendes Tracking aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr automatisierter Missbrauchsversuche und der Sicherheit unserer Systeme). Es gelten die oben genannten Garantien (DPF, SCCs, Auftragsverarbeitungsvertrag).

6. Workflow-Automatisierung: n8n auf Hetzner

Die Verarbeitung von Registrierungen und Widerrufen erfolgt über n8n, eine selbst gehostete Automatisierungsplattform, die auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben wird. Workflows und Datenbank laufen auf diesem Server in Deutschland. Für einzelne Verarbeitungsschritte setzen wir weitere Dienstleister ein, insbesondere für den E-Mail-Versand (Abschnitt 8), die Zahlungsabwicklung (Abschnitt 10) und die Bearbeitung von Support-Anfragen (Abschnitt 13); an diese werden jeweils nur die dafür erforderlichen Daten übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Verarbeitung und Weiterleitung der Daten).

7. Datenspeicherung

Registrierungsdaten von Shop-Inhabern sowie eingereichte Widerrufe werden in Datenbanktabellen unserer selbst gehosteten n8n-Instanz gespeichert, die auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben wird (siehe Abschnitt 6). Die Datenbank liegt auf Servern in Deutschland. Soweit Daten für den E-Mail-Versand, die Zahlungsabwicklung oder den Support an die in den Abschnitten 8, 10 und 13 genannten Dienstleister übermittelt werden, kann dabei auch eine Verarbeitung außerhalb der EU erfolgen; die jeweiligen Garantien sind dort beschrieben. Die Daten werden ausschließlich zur Bereitstellung des Services genutzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der strukturierten Speicherung und Verwaltung der Daten).

8. E-Mail-Versand: Brevo

Transaktionale E-Mails (Bestätigungsmails, Widerrufsbenachrichtigungen) werden über Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich) versendet. Brevo ist ein EU-ansässiger Anbieter und verarbeitet Daten ausschließlich auf europäischen Servern. Übermittelt werden ausschließlich die für den E-Mail-Versand notwendigen Daten (Empfängeradresse, Inhalt). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Mit Brevo besteht ein Datenverarbeitungsvertrag gemäß Art. 28 DSGVO.

9. Registrierung als Shop-Inhaber

Bei der Registrierung erheben wir folgende Daten:

• Name des Shops
• E-Mail-Adresse
• Zeitstempel der Registrierung

Diese Daten werden verwendet, um den personalisierten Widerrufs-Link zu generieren, die E-Mail-Adresse zu bestätigen, eingehende Widerrufe zuzustellen und den Vertrag über die Nutzung des Dienstes durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Die Daten werden gespeichert, solange das Konto besteht und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungen, 10 Jahre) dies erfordern.

Konto und Zugangslinks: Der Zugang zum Konto erfolgt ohne Passwort über einen persönlichen Zugangslink, den wir auf Anforderung an die registrierte E-Mail-Adresse senden. Dabei speichern wir ein zufälliges Zugangstoken, das bei jeder neuen Anforderung erneuert wird. Zusätzlich speichern wir das gewählte Paket, den Vertragsstatus und die Laufzeitdaten sowie den Zeitpunkt der letzten Vertragsmitteilung (z. B. Erinnerung an das Ende der Testphase).

Branding und Schnittstelle: In den Paketen Plus und Profi können Shop-Inhaber ein Logo, eine Farbe und eine Webhook-Adresse hinterlegen. Diese Angaben speichern wir, um die Widerrufsseite entsprechend darzustellen und Widerrufe an die angegebene Schnittstelle zu übermitteln. Sie werden gelöscht, wenn der Shop-Inhaber sie entfernt oder das Konto gelöscht wird. In allen Paketen können Shop-Inhaber außerdem festlegen, ob Endkunden auf die Eingangsbestätigung antworten können und dafür eine abweichende Antwortadresse angeben.

Einrichtungsservice: Fragt ein Shop-Inhaber die Einrichtung der Anbindung an sein System an, verarbeiten wir die Angaben aus dem Anfrageformular (Ansprechpartner, E-Mail-Adresse, Telefonnummer, System und dessen Adresse, gewünschter Zugangsweg, Wunschtermin, Hinweise), um ein Angebot zu erstellen und die Einrichtung durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Einen uns eingeräumten Zugang zum System des Shop-Inhabers nutzen wir ausschließlich für die Einrichtung und Fehlerbehebung; soweit dabei personenbezogene Daten Dritter einsehbar sind, handeln wir als Auftragsverarbeiter. Für den Betrieb einer von uns eingerichteten Verbindung erforderliche Zugangsdaten speichern wir verschlüsselt und löschen sie, wenn die Verbindung beendet wird.

Vertragsbezogene E-Mails: Wir senden registrierten Shop-Inhabern E-Mails, die zur Durchführung des Vertrags erforderlich sind, etwa zur Bestätigung der Registrierung, zum Ende der Testphase, zu Zahlungen und zu Änderungen der Bedingungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. Zahlungsabwicklung: Stripe

Für die Bezahlung der kostenpflichtigen Pakete nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe"). Beim Bestellvorgang werden Name, E-Mail-Adresse, Rechnungsadresse, gegebenenfalls Umsatzsteuer-Identifikationsnummer sowie die Zahlungsdaten (z. B. IBAN oder Kreditkartendaten) direkt bei Stripe erhoben. Die vollständigen Zahlungsdaten werden nicht auf unseren Systemen gespeichert; wir erhalten von Stripe eine Kundenkennung, den Zahlungsstatus und die Rechnungsdaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO hinsichtlich handels- und steuerrechtlicher Aufbewahrungspflichten. Stripe ist eigenständiger Verantwortlicher für die Zahlungsabwicklung und kann Daten zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten verarbeiten, auch an die Stripe, Inc. in den USA; hierfür bestehen Standardvertragsklauseln und eine Zertifizierung nach dem EU-US Data Privacy Framework. Einzelheiten: stripe.com/de/privacy. Rechnungen und Zahlungsbelege bewahren wir gemäß § 147 AO und § 257 HGB zehn Jahre auf.

11. Einreichung eines Widerrufs (Endkunden)

Bei Einreichung eines Widerrufs werden folgende Daten verarbeitet:

• Vor- und Nachname
• Anschrift
• E-Mail-Adresse
• Bestellnummer und Bestelldatum
• Artikelbeschreibung
• Widerrufsgrund (optional)
• Widerrufsdatum und Zeitstempel

Diese Daten werden benötigt, um den Widerruf an den zuständigen Shop-Inhaber weiterzuleiten und dem Endkunden eine Eingangsbestätigung gemäß § 355 BGB zu übermitteln. Je nach Einstellung des Shop-Inhabers kann der Endkunde direkt auf die Eingangsbestätigung antworten; seine Antwort geht dann an die vom Shop-Inhaber hinterlegte Adresse. Andernfalls wird die Bestätigung von einer nicht überwachten Absenderadresse versandt und Antworten werden nicht gelesen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Shop-Inhabers an einer ordnungsgemäßen Abwicklung des Widerrufs). In Bezug auf die Datenverarbeitung im Auftrag des Shop-Inhabers handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO (siehe Abschnitt 12).

Übermittlung an Systeme des Shop-Inhabers: Hat der Shop-Inhaber im Paket Profi eine Webhook-Adresse hinterlegt, übermitteln wir die Widerrufsdaten zusätzlich an diese von ihm benannte Schnittstelle (z. B. sein Warenwirtschafts- oder CRM-System). Hat der Shop-Inhaber uns mit der Einrichtung beauftragt, erfolgt die Übermittlung gegebenenfalls über eine von uns auf unserem Server betriebene Verbindung zu seinem System. Die Übermittlung erfolgt verschlüsselt und signiert auf Weisung des Shop-Inhabers als Verantwortlichem; für die weitere Verarbeitung in seinen Systemen ist allein der Shop-Inhaber verantwortlich. Ebenso kann der Shop-Inhaber die Widerrufsdaten seines Shops als Datei exportieren.

Speicherdauer: Personenbezogene Daten des Endkunden (Name, Anschrift, E-Mail-Adresse, Artikelangaben, Widerrufsgrund) werden 30 Tage nach Eingang des Widerrufs automatisiert entfernt. Dieser Zeitraum dient der Abwicklung von Zustellproblemen und Rückfragen. Danach verbleibt ein anonymisierter Nachweisdatensatz (Referenznummer, Bestellnummer, Shop, Zeitstempel), der nach Ablauf der regelmäßigen Verjährungsfrist von 3 Jahren (§ 195 BGB) vollständig gelöscht wird. Der vollständige Widerruf liegt dem verantwortlichen Shop-Inhaber vor, dem er bei Eingang per E-Mail übermittelt wurde.

12. Auftragsverarbeitung (AV)

Soweit wir personenbezogene Daten von Endkunden im Rahmen des Widerrufsprozesses verarbeiten, handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO im Auftrag des jeweiligen Shop-Inhabers (Verantwortlicher). Der Shop-Inhaber ist verpflichtet, seine Kunden gemäß Art. 13/14 DSGVO über die Datenverarbeitung durch widerrufsbutton.online zu informieren. Ein Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 Abs. 3 DSGVO ist Bestandteil der Nutzungsbedingungen und steht unter hallo@widerrufsbutton.online zur Verfügung.

13. Anfragen an hallo@widerrufsbutton.online (Support)

Wenn du uns per E-Mail schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen, den Inhalt deiner Nachricht und gegebenenfalls eine genannte Referenz- oder Bestellnummer, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag mit uns betrifft (z. B. als Shop-Inhaber) und im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Postfach: Unser E-Mail-Postfach wird bei der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) im Rahmen von Google Workspace betrieben. Google verarbeitet die E-Mails in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags; eine Verarbeitung in Drittländern, insbesondere den USA, ist möglich und durch Standardvertragsklauseln sowie die Zertifizierung nach dem EU-US Data Privacy Framework abgesichert.

KI-gestützte Antwortentwürfe: Zur schnelleren Bearbeitung erstellen wir Antwortentwürfe mit Unterstützung eines KI-Dienstes der OpenAI Ireland Ltd. (1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland). Dafür werden der Inhalt deiner Nachricht und, soweit für die Antwort erforderlich, Angaben zu dem betroffenen Shop oder Widerruf (Shop-Name, Paket, Status, Referenz, Eingangsdatum) übermittelt. OpenAI verarbeitet diese Daten als Auftragsverarbeiter und nutzt sie nicht zum Training seiner Modelle; eine Verarbeitung in den USA ist möglich und durch Standardvertragsklauseln abgesichert. Jede Antwort wird vor dem Versand von einem Menschen geprüft und freigegeben; es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Versendet werden die Antworten über Brevo (Abschnitt 8).

Weiterleitung zwischen Endkunde und Shop: Betrifft deine Nachricht als Endkunde einen Widerruf, können wir sie an den zuständigen Shop-Inhaber weiterleiten, damit er sich direkt bei dir meldet. Insoweit handeln wir als Auftragsverarbeiter des Shop-Inhabers (Abschnitt 12). Umgekehrt leiten wir Nachrichten eines Shop-Inhabers an dich weiter, wenn er uns darum bittet.

Speicherdauer: Das Bearbeitungsprotokoll der Anfrage (Absender, Betreff, Antwort, Zeitpunkte) löschen wir nach 12 Monaten. E-Mails, die als Geschäftsbriefe aufbewahrungspflichtig sind, bewahren wir für die gesetzliche Dauer auf (§ 257 HGB, § 147 AO).

14. Analyse und Werbung

Wir setzen folgende Analyse- und Werbedienste ein, sofern du dem zugestimmt hast:

Alle oben genannten Analyse- und Werbedienste werden nur nach deiner ausdrücklichen Einwilligung aktiviert. Sofern ein Cookie-Consent-Banner implementiert ist, kannst du dort deine Einwilligung erteilen oder verweigern. Du kannst eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

15. Consent Management: Cookie-Script

Für die Verwaltung deiner Cookie-Einwilligungen nutzen wir Cookie-Script (Cookie-Script.com, Šiaulių g. 10, LT-01134 Vilnius, Litauen). Cookie-Script speichert deine Einwilligungsentscheidungen in einem Cookie in deinem Browser und steuert, welche Analyse- und Werbedienste (Abschnitt 12) aktiviert werden. Cookie-Script unterstützt Google Consent Mode v2 und gibt deine Einwilligungsentscheidung automatisch an Google weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der rechtskonformen Einholung und Verwaltung von Einwilligungen). Weitere Informationen: cookie-script.com/privacy-policy.

16. Marketing-Kommunikation

Wenn du bei der Registrierung die optionale Einwilligung zur Marketing-Kommunikation erteilst, verwenden wir deine E-Mail-Adresse, um dich über neue Features, Service-Verbesserungen und ergänzende Angebote der Weidtke Digital GmbH zu informieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an hallo@widerrufsbutton.online oder über den Abmeldelink in jeder Marketing-E-Mail. Transaktionale E-Mails (Widerrufsbenachrichtigungen, Eingangsbestätigungen, wöchentliche Übersichten) sind hiervon nicht betroffen und werden unabhängig von dieser Einwilligung versendet.

17. Cookies

Diese Website verwendet technisch notwendige Cookies für den Betrieb sowie optionale Cookies für Analyse- und Werbezwecke (siehe Abschnitt 12). Technisch notwendige Cookies erfordern keine Einwilligung (Art. 6 Abs. 1 lit. f DSGVO). Für alle weiteren Cookies wird deine ausdrückliche Einwilligung eingeholt (Art. 6 Abs. 1 lit. a DSGVO). Du kannst Cookies jederzeit in deinen Browsereinstellungen löschen oder blockieren.

18. Deine Rechte

Du hast gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): welche Daten wir über dich verarbeiten
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung deiner Daten
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitung auf Basis berechtigter Interessen
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte wende dich an: hallo@widerrufsbutton.online. Wir beantworten Anfragen innerhalb von 30 Tagen gemäß Art. 12 Abs. 3 DSGVO

Du hast außerdem das Recht, dich bei der zuständigen Aufsichtsbehörde zu beschweren. Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (datenschutz-berlin.de).

19. Datensicherheit

Die Übertragung dieser Website erfolgt ausschließlich verschlüsselt über HTTPS/TLS. Alle Datenübertragungen zwischen deinem Browser und unseren Systemen sind gegen unbefugten Zugriff geschützt.

20. Aktualität und Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen des Services oder der Rechtslage anzupassen. Die jeweils aktuelle Version ist unter widerrufsbutton.online/datenschutz abrufbar.