Datenschutzerklärung

Wachswandel UG (haftungsbeschränkt)
Drei Eichen Straße 4a
53919 Weilerswist

E-Mail: info@wachswandel.de

Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO i. V. m. § 38 BDSG für unsere Unternehmensgröße nicht verpflichtend. Anfragen zu personenbezogenen Daten richte bitte an info@wachswandel.de.

Wir stützen uns je nach Verarbeitung auf eine der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Reichweitenmessung mit Vercel Web Analytics, Map-Consent für OpenStreetMap-Tiles.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung & -erfüllung): Sammelstellen-Anfrage, Werbe-Anfrage, Sammelaktion-Anmeldung, Kontaktformular bei konkretem Geschäftsanliegen, Partnerportal, Vorbestellung, Warenkorb und Bewerbung (dort i. V. m. § 26 BDSG).
• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten): steuer- und handelsrechtliche Aufbewahrungsfristen.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Server-Logs zur Abwehr von Angriffen, Spam-Schutz (Honeypot, Rate-Limit).
• § 25 Abs. 1 TDDDG (vormals TTDSG) i. V. m. Einwilligung: Speicher-/Lesevorgänge im Browser, die die Seite nicht braucht und die Daten an Dritte übermitteln (Reichweitenmessung, Kartendienst).
• § 25 Abs. 2 TDDDG: technisch notwendige Speicher-/Lesevorgänge (z. B. Cookie-Einstellung selbst, Map-Consent-Status, Warenkorb, Formular-Entwürfe, zuletzt angesehene Produkte - siehe Abschnitt 9).

• Server-Logs (automatisch): IP-Adresse, Datum/Uhrzeit, User-Agent, aufgerufene URL, Referrer.
• Kontaktanfrage: Name, E-Mail, Nachricht - nur wenn du uns aktiv schreibst.
• Sammelstellen-Anfrage: Standort-Daten, Ansprechperson, Kontaktinfo - zur Aufstellung der Sammelbox.
• Werbe-Anfrage und Sammelaktion-Anmeldung: Firma bzw. Gruppe, Ansprechperson, Kontaktinfo, gewünschtes Paket bzw. Zeitraum.
• Meldung an der Tonne (QR-Code, Abschnitt 12): Füllstand oder Störung; Name und E-Mail nur, wenn du sie angibst.
• Partnerportal (Abschnitt 11): E-Mail-Adresse der Sammelstelle, Anmelde-Code, Sitzung, Meldungen und Abholungen.
• Vorbestellung (Abschnitt 13): Name, E-Mail, Telefon, Lieferadresse, bestellte Artikel.
• Bewerbung (Abschnitt 14): Name, E-Mail, Bereich, Nachricht.
• Warenkorb (Abschnitt 15): die Kennung deines Warenkorbs bei Shopify und die Stückzahl.
• Standort (nur auf Wunsch): Wenn du „Nächste finden" oder „Standort nutzen" antippst, fragt dein Browser deine Position ab - siehe Abschnitt 10.
• FAQ-Rückmeldung: Antwort auf „War das hilfreich?", optional ein Kommentar und dein Suchbegriff - ohne Name, ohne Konto.
• Karte (Sammelstellen-Suche): Beim Einbinden der Karte werden ggf. Verbindungsdaten an OpenStreetMap übermittelt (Tile-Server).

Du hast jederzeit folgende Rechte uns gegenüber:

• Auskunft (Art. 15 DSGVO): welche Daten wir über dich gespeichert haben.
• Berichtigung (Art. 16): Korrektur unrichtiger Daten.
• Löschung (Art. 17, „Recht auf Vergessenwerden"): wenn keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20): Export deiner Daten in einem strukturierten Format.
• Widerspruch (Art. 21): gegen Verarbeitungen auf Basis berechtigten Interesses.
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3) - jederzeit mit Wirkung für die Zukunft.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Anfragen formlos an info@wachswandel.de. Antwort innerhalb der gesetzlichen Frist (i. d. R. einen Monat).

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) ↗, Kavalleriestr. 2-4, 40213 Düsseldorf.

Verarbeitung primär innerhalb der EU. Einige unserer Auftragsverarbeiter sitzen in den USA. Drittland-Übermittlung erfolgt auf Basis von:

• EU-US Data Privacy Framework (DPF): Vercel Inc. und Twilio Inc. (SendGrid) sind als zertifizierte Teilnehmer im DPF gelistet. Damit liegt ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO vor.
• Standardvertragsklauseln (SCC, Art. 46 DSGVO) ergänzend, soweit anwendbar.

Eine Ausfertigung der vereinbarten Garantien ist auf Anfrage unter info@wachswandel.de erhältlich.

Wir setzen folgende Dienstleister:innen ein, die personenbezogene Daten in unserem Auftrag (Auftragsverarbeitung gemäß Art. 28 DSGVO) verarbeiten:

• Hosting & Auslieferung: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Auslieferung erfolgt aus Edge-Standorten (überwiegend EU). DPF-zertifiziert + SCC.
• Web-Analytics (optional, Opt-in): Vercel Web Analytics (Vercel Inc.) - cookielos, Visitor-ID gehasht (kein Klartext-IP-Speichern), kein seitenübergreifendes Tracking. Wird nur nach Einwilligung über das Cookie-Banner geladen (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Widerruf jederzeit über die Cookie-Einstellungen - hier oder im Footer.
• Transaktions-Mails: Twilio Inc. / SendGrid, 645 Harrison Street, Suite 200, San Francisco, CA 94107, USA. DPF-zertifiziert + SCC + AVV.
• Datenbank (Sammelstellen, Meldungen, Partnerportal-Sitzungen, Vorbestellungen, FAQ-Rückmeldungen, Zähler für den Spam-Schutz): Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992 (Daten in EU-Region: Frankfurt). SCC + AVV.
• Karten-Tiles & Geocoding: OpenStreetMap Foundation, St John's Innovation Centre, Cambridge CB4 0WS, UK. Karten-Tiles werden nur nach explizitem Map-Consent geladen (siehe Abschnitt 10). Für die Umkreissuche im Werbe-Konfigurator (Werbung auf Tonnen) wird die eingegebene PLZ/Ortsangabe server-seitig an den Nominatim-Dienst der OSM-Foundation übermittelt - nur die Eingabe, nicht deine IP-Adresse.
• Shop-System: Shopify International Ltd., 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, Irland - Warenkorb, Kasse und die Bestellentwürfe der Vorbestellung (Abschnitte 13 und 15). Für die Kasse ist Shopify selbst verantwortlich.
• Buchhaltung, Logistik (Behälter-Abholung), Behörden im Rahmen gesetzlicher Pflichten: nach Erforderlichkeit.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist - oder gesetzliche Aufbewahrungsfristen es vorschreiben.

Server-Logs (IP, Zeitstempel, URL)

7-14 Tage, dann automatische Rotation

Kontaktanfrage (Name, Mail, Nachricht)

Bis zur abschließenden Bearbeitung, dann Löschung. Bei steuer-/handelsrelevanten Folgen: 6-10 Jahre (§§ 147 AO, 257 HGB).

Sammelstellen-Anfrage

Bei aktiver Partnerschaft: für die Vertragsdauer. Bei Ablehnung: 12 Monate für Rückfragen, dann Löschung.

Werbeanfrage (Tonnen-Werbung)

Bei Vertragsschluss: für die Vertragsdauer + 10 Jahre (steuerrechtlich). Bei Nichtzustandekommen: 12 Monate.

Sammelaktion-Anmeldung

Bis zum Abschluss der Aktion und der Abholung, danach 12 Monate für Rückfragen, dann Löschung.

Bewerbung über das Formular

Als E-Mail bei uns; bis zur Entscheidung, spätestens sechs Monate nach Abschluss des Verfahrens, dann Löschung.

Meldung an der Tonne (optional E-Mail)

Als Teil des Meldeverlaufs der Sammelstelle für die Dauer der Partnerschaft; die E-Mail nur für die Bestätigung, Löschung auf Anfrage.

Partnerportal (Anmelde-Code, Sitzung, Verlauf)

Anmelde-Codes 15 Minuten, Sitzung 31 Tage, Verlauf für die Dauer der Partnerschaft.

Vorbestellung (Name, Kontakt, Lieferadresse)

Bis zur Lieferung und Abrechnung; danach steuer-/handelsrechtlich 6-10 Jahre (§§ 147 AO, 257 HGB).

Warenkorb-Kennung (Cookie ww-cart)

14 Tage ab der letzten Änderung, dann verfällt das Cookie.

Cookie-/Analytics-Einwilligung (localStorage)

Bis zum Widerruf - clientseitig im Browser gespeichert, kein Server-Log.

Ein normaler Besuch setzt kein Cookie. Was die Seite zum Laufen braucht, speichert sie ohne Einwilligung in deinem Browser (§ 25 Abs. 2 TDDDG) - nichts davon geht an uns oder an Dritte: deine Cookie-Einstellung und die Karten-Einwilligung, Entwürfe der Formulare und der Vorbestellung (damit nach einem Tipp daneben nichts verloren ist), die zuletzt angesehenen Produkte im Shop (höchstens acht, 30 Tage), der Hinweis, dass du das Info-Blatt beim Melden schon gesehen hast, und ein Merker, dass der Effekt der Startseite in diesem Tab schon lief. Cookies gibt es erst mit Warenkorb (Abschnitt 15) und Partnerportal (Abschnitt 11).

Vercel Web Analytics (optional): Wir messen Reichweite mit Vercel Web Analytics, sofern du im Cookie-Banner „Alle akzeptieren" gewählt hast. Die Lösung arbeitet cookielos, hashed Visitor-IDs (keine Klartext-IP-Speicherung serverseitig) und betreibt kein Cross-Site-Tracking. Rechtsgrundlage: deine Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Widerruf jederzeit hier: Cookie-Einstellungen öffnen.

Wenn du „Nur notwendige" wählst, wird Vercel Web Analytics nicht geladen.

Auf der Startseite, unter Sammelstellen, Wachs spenden und im Werbe-Konfigurator binden wir eine interaktive Karte von OpenStreetMap ein. Sie wird erst nach explizitem Klick geladen (Map-Consent-Gate); vorher siehst du eine Punktkarte ohne Kartendienst. Mit Klick auf „Straßenkarte laden" werden Verbindungsdaten (insb. IP-Adresse) an die OSM-Tile-Server übermittelt.

Deine Auswahl speichern wir clientseitig in deinem Browser: „Karte laden & merken" im localStorage (Schlüssel ww-map-consent), „Nur für diesen Besuch" im sessionStorage, der mit dem Tab endet. Du kannst sie jederzeit widerrufen: über den „Widerrufen"-Link direkt an der geladenen Karte oder zentral über die Cookie-Einstellungen - die Auswahl „Nur notwendige" nimmt auch die Karten-Einwilligung zurück (Art. 7 Abs. 3 DSGVO).

Datenschutzerklärung der OSM-Foundation: openstreetmap.org/privacy ↗

Standortabfrage: Auf der Startseite, unter Sammelstellen und beim Melden kannst du „Nächste finden" bzw. „Standort nutzen" antippen. Dann fragt dein Browser nach deiner Position - nur mit deiner Zustimmung im Browser. Auf der Startseite und der Karte bleibt die Position im Browser, die Entfernung wird dort gerechnet. Nur beim QR-Scan ohne Tonnen-Nummer (/scan) schicken wir die Koordinaten an unseren Server, um die nächste Tonne zu finden; gespeichert werden sie nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (dein Wunsch, die nächste Tonne zu finden).

Geocoding im Werbe-Konfigurator: Auf Werbung auf Tonnen kannst du eine PLZ/Ortsangabe eingeben, um Sammeltonnen im Umkreis zu finden. Diese Eingabe wird server-seitig über unser Backend an den Nominatim-Geocoding-Dienst der OSM-Foundation gesendet, um Koordinaten zu ermitteln - deine IP-Adresse wird dabei nicht an die OSM-Foundation übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf deine Anfrage).

Sammelstellen-Partner:innen melden sich im Partnerportal ohne Passwort an: Du gibst die bei uns hinterlegte E-Mail-Adresse ein, wir schicken dir einen Anmeldelink und einen sechsstelligen Code (Versand über SendGrid, Abschnitt 7). Link und Code gelten 15 Minuten.

Nach der Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie (ww_partner_session, httpOnly, 31 Tage). Sitzung, Meldungen, Abholungen und der Verlauf deiner Sammelstelle liegen in unserer Datenbank (Supabase, EU-Region). Zweck ist die Durchführung der Standortpartnerschaft, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Zum Schutz vor Missbrauch zählen wir Anmeldeversuche je E-Mail-Adresse und IP-Adresse für kurze Zeit (Art. 6 Abs. 1 lit. f DSGVO).

Jede Tonne trägt einen QR-Code. Wer ihn scannt, kann Füllstand, Abholung oder eine Störung melden - ohne Konto und ohne Namen. Name und E-Mail-Adresse sind freiwillig; die E-Mail nutzen wir nur, um dir den Eingang zu bestätigen. Die Meldung speichern wir mit Tonne, Sammelstelle und Zeitpunkt in unserer Datenbank (Supabase) und schicken sie uns per Mail in die Werkstatt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betrieb der Abholung), bei freiwilligen Angaben deine Einwilligung (lit. a), die du jederzeit per Mail widerrufen kannst. Gegen Missbrauch begrenzen wir Meldungen je IP-Adresse für kurze Zeit.

Für Feste bieten wir unter Vorbestellen zeitweise ein Bestellformular an. Name, E-Mail-Adresse, Telefonnummer, Liefer- oder Rechnungsadresse und die bestellten Artikel speichern wir in unserer Datenbank (Supabase) und legen die Bestellung als Entwurf bei Shopify an (Abschnitt 7) - bezahlt wird je nach Angebot in der Kasse von Shopify oder bar bei der Übergabe. Shopify meldet uns den Zahlungsstatus zurück.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Bestätigung und Zahlungslink kommen per Mail über SendGrid. Aufbewahrung: siehe Abschnitt 8.

Wer sich über das Formular auf der Team-Seite bewirbt, schickt uns Name, E-Mail-Adresse, Bereich und Nachricht als E-Mail (Versand über SendGrid, Abschnitt 7); eine Datenbank dahinter gibt es nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO i. V. m. § 26 BDSG (Anbahnung einer Mitarbeit). Wir löschen Bewerbungen nach Abschluss des Verfahrens, spätestens nach sechs Monaten - außer du möchtest, dass wir sie länger behalten.

Unser Shop läuft seit 09/2026 auf dieser Website (wachswandel.de/shop). Produkte, Bilder und Preise holt unser Server von Shopify (Shopify International Ltd., 2nd Floor, 1-2 Victoria Buildings, Haddington Road, Dublin 4, Irland). Dieser Abruf läuft beim Seitenaufbau und turnusmäßig im Hintergrund - nicht durch deinen Besuch ausgelöst. Dabei werden keine Daten von dir übertragen.

Sobald du etwas in den Warenkorb legst, ändert sich das. Der Warenkorb selbst liegt bei Shopify; wir speichern nur seine Kennung in einem technisch notwendigen Cookie (ww-cart, Laufzeit 14 Tage) sowie die Stückzahl für die Anzeige in der Kopfzeile (ww-cart-count). Bei diesen Aufrufen übermitteln wir deine IP-Adresse an Shopify: Shopify benötigt sie, um Besucher:innen auseinanderzuhalten und automatisierte Zugriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch), bei einer Bestellung zusätzlich lit. b (Vertragsanbahnung).

Der Bezahlvorgang findet vollständig bei Shopify statt. Mit dem Klick auf „Zur Kasse" verlässt du diese Website; ab dort gilt die Datenschutzerklärung von Shopify - die Fassung für unseren Shop steht unter Datenschutz im Shop. Zahlungsdaten erreichen uns zu keinem Zeitpunkt.

Social-Media-Profile verlinken wir, betten aber keine Inhalte ein, die ohne Einwilligung Daten an Dritte übermitteln.

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte (z. B. Anfragen, die du an uns sendest) eine SSL-/TLS-Verschlüsselung. Erkennbar an „https://" und am Schloss-Symbol in deiner Browserzeile.

Wir setzen kein automatisiertes Decision-Making und kein Profiling im Sinne von Art. 22 DSGVO ein.

Wir passen diese Datenschutzerklärung an, sobald sich rechtliche Vorgaben oder Funktionen unserer Website ändern. Es gilt jeweils die aktuell auf dieser Seite veröffentlichte Version. Stand: 10/2026.