Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website walforma-esg.de besuchen, uns kontaktieren oder bei uns bestellen. Wir sagen Ihnen jeweils, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Personenbezogene Daten sind alle Angaben, die sich auf Sie persönlich beziehen lassen (Art. 4 Nr. 1 DSGVO), zum Beispiel Name, E-Mail-Adresse oder IP-Adresse.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Ehemalige der Freien Waldorfschule Mainz e.V.
Zweckbetrieb Walforma
Merkurweg 2
55126 Mainz
E-Mail: info@walforma-esg.de

Walforma eSG ist ein Schulprojekt und keine eigene Firma. Rechtsträger ist der Verein Ehemalige der Freien Waldorfschule Mainz e.V., der Walforma eSG als Zweckbetrieb führt. Der Verein wird durch seinen Vorstand vertreten (siehe Impressum).

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind (Art. 37 DSGVO, § 38 BDSG). Für alle Fragen zum Datenschutz erreichen Sie uns unter info@walforma-esg.de.

2. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft über die bei uns gespeicherten Daten und eine Kopie davon (Art. 15 DSGVO)

• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)

• Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)

• Einschränkung der Verarbeitung (Art. 18 DSGVO)

• Datenübertragbarkeit: Herausgabe der Daten, die Sie uns bereitgestellt haben, in einem gängigen maschinenlesbaren Format (Art. 20 DSGVO)

• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.

Für alle Anliegen genügt eine formlose Nachricht an info@walforma-esg.de. Damit wir keine Daten an Unberechtigte herausgeben, können wir Sie bitten, Ihre Identität zu bestätigen, etwa über einen Link an die betroffene E-Mail-Adresse (Art. 12 Abs. 6 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen eine Verarbeitung zu Zwecken der Direktwerbung können Sie ohne Angabe von Gründen widersprechen.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
E-Mail: poststelle@datenschutz.rlp.de
www.datenschutz.rlp.de

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet bei uns nicht statt.

3. Hosting und Bereitstellung der Website

Unsere Website wird bei Squarespace betrieben. Vertragspartner für Kunden außerhalb der USA ist die Squarespace Ireland Limited, Squarespace House, Ship Street Great, Dublin 8, D08N12C, Irland. Wir haben mit Squarespace einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen (Data Processing Addendum).

Bei jedem Aufruf unserer Website verarbeitet Squarespace automatisch technische Daten, die Ihr Browser übermittelt:

• IP-Adresse

• Datum und Uhrzeit des Zugriffs

• aufgerufene Seite und zuvor besuchte Seite (Referrer)

• Browsertyp und -version, Betriebssystem, Spracheinstellungen

• Informationen zum Internetanbieter und zu Ladezeiten oder Fehlern

Zweck und Rechtsgrundlage: Diese Daten sind technisch nötig, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Missbrauch abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Internetauftritt (Art. 6 Abs. 1 lit. f DSGVO). Wir werten diese Daten nicht aus, um Sie zu identifizieren.

Soweit Squarespace diese Daten für eigene Zwecke nutzt, insbesondere zur Sicherheit der eigenen Plattform, ist Squarespace dafür selbst verantwortlich. Näheres steht in der Datenschutzerklärung von Squarespace.

Speicherdauer: Wir selbst haben keinen Zugriff auf einzelne Server-Logdateien. Squarespace speichert sie nur so lange, wie es für die genannten Zwecke erforderlich ist.

Drittlandübermittlung: Squarespace kann Daten an die Muttergesellschaft Squarespace, Inc. in den USA übermitteln. Squarespace, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 9).

4. Cookies und Einwilligung

Cookies sind kleine Textdateien, die Ihr Browser auf Ihrem Gerät speichert. Ob wir Informationen auf Ihrem Gerät speichern oder auslesen dürfen, richtet sich nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Die anschließende Verarbeitung personenbezogener Daten richtet sich nach der DSGVO.

Technisch notwendige Cookies: Einige Cookies sind nötig, damit die Website funktioniert, etwa zum Schutz vor Angriffen auf Formulare (Cookie „crumb“, Sitzung) und um Ihre Cookie-Auswahl zu speichern (Cookies „ss_performancecookiesAllowed“ und „ss_marketingcookiesAllowed“, 30 Tage). Dafür brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die Verarbeitung ist unser berechtigtes Interesse an einer funktionsfähigen und sicheren Website (Art. 6 Abs. 1 lit. f DSGVO).

Statistik-Cookies (Squarespace Analytics): Nur wenn Sie im Cookie-Banner zustimmen, setzt Squarespace Statistik-Cookies (ss_cid, ss_cpvisit, ss_cvr mit zwei Jahren Laufzeit; ss_cvisit, ss_cvt mit 30 Minuten). Damit erhalten wir zusammengefasste Auswertungen, etwa wie viele Besucher kommen und welche Seiten sie aufrufen. Wir nutzen diese Daten nicht, um einzelne Personen zu identifizieren. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Lehnen Sie ab, zählt Squarespace nur einzelne Seitenaufrufe ohne Cookies und erkennt Sie bei einem späteren Besuch nicht wieder. Rechtsgrundlage dafür ist unser berechtigtes Interesse an einer einfachen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

Einwilligung ändern oder widerrufen: Sie können Ihre Auswahl jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite ändern. Außerdem können Sie Cookies in Ihrem Browser löschen oder blockieren. Ohne notwendige Cookies funktioniert die Website unter Umständen nicht vollständig.

Eine vollständige Liste der von Squarespace verwendeten Cookies finden Sie in der Übersicht von Squarespace.

5. Schriftarten

Diese Website nutzt für eine einheitliche Darstellung Schriftarten von Google Fonts (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) und Adobe Fonts (Adobe Systems Software Ireland Limited, 4–6 Riverwalk, Citywest Business Campus, Dublin 24, Irland). Beim Aufruf einer Seite lädt Ihr Browser die Schriftdateien von deren Servern. Dabei werden Ihre IP-Adresse und technische Browserdaten an den Anbieter übermittelt; eine Übermittlung in die USA ist möglich. Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen und ansprechenden Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Die US-Muttergesellschaften sind nach dem EU-US Data Privacy Framework zertifiziert (siehe Abschnitt 9).

6. Kontakt per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um Ihr Anliegen zu bearbeiten. Ihre Angaben sind freiwillig. Ohne sie können wir Ihnen aber nicht antworten.

Rechtsgrundlage: Betrifft Ihre Anfrage eine Bestellung, eine Mitgliedschaft oder einen anderen Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei allen übrigen Anfragen ist es unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Wir löschen Ihre Nachricht, sobald Ihr Anliegen erledigt ist. Das gilt nicht, soweit gesetzliche Aufbewahrungspflichten bestehen, etwa für Handels- und Geschäftsbriefe nach § 147 Abgabenordnung (sechs Jahre ab Ende des Kalenderjahres, für Rechnungen in der Regel acht Jahre).

Dienstleister: Unsere E-Mail-Postfächer werden von der united-domains GmbH, Gautinger Straße 10, 82319 Starnberg, betrieben. Mit ihr besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eingehende E-Mails prüft außerdem ein Spamfilter auf unserem eigenen Server bei der Hetzner Online GmbH (siehe Abschnitt 7); dort läuft auch unser Webmail-Programm. Das gilt für alle unsere Postfächer.

7. Bestellungen über unser Bestellformular

Über die Seite „Bestellung“ können Sie Brot vorbestellen und freitags an unserem Schulmarkt abholen. Das Formular ist unser eigenes Bestellsystem. Es läuft unter bestellung.walforma-esg.de auf unserem eigenen Server und ist in die Seite eingebettet. Beim Aufruf der Seite verbindet sich Ihr Browser deshalb auch mit unserem Server. Dabei verarbeitet unser Server Ihre IP-Adresse und Browserangaben, um das Formular auszuliefern. Gespeichert wird davon nichts, außer zum Schutz vor Missbrauch (siehe unten). Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO). Squarespace hat keinen Zugriff auf Ihre Eingaben.

Welche Daten: Vorname, Nachname und E-Mail-Adresse, beim Kauf auf Rechnung zusätzlich Ihre Kundennummer, außerdem die bestellten Produkte, der Abholtermin und die Zahlart. Freiwillig können Sie eine Bemerkung angeben, bei einem Sonderwunsch ist sie nötig; bitte tragen Sie dort keine Gesundheitsangaben wie Allergien ein. Eine Telefonnummer fragen wir nicht ab. Ohne die Pflichtangaben können wir Ihre Bestellung nicht annehmen.

Zweck und Rechtsgrundlage: Wir nutzen die Daten, um Ihre Bestellung anzunehmen, für Sie zu packen, abzurechnen und Sie bei Rückfragen zu erreichen. Sie erhalten eine Bestätigung per E-Mail. Über den Link darin können Sie die Bestellung bis zum Bestellschluss ändern oder stornieren und später dieselben Artikel noch einmal bestellen. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Bestellungen, die Sie uns mündlich oder per E-Mail aufgeben, tragen wir ebenfalls in dieses System ein; dafür gilt dieser Abschnitt genauso.

Wer die Daten sieht: Nur berechtigte Mitglieder unseres Teams, über eine geschützte Verwaltung mit Anmeldung. Unser Team erhält zu jeder Bestellung eine interne E-Mail mit Name, Positionen und Bemerkung, aber ohne Ihre E-Mail-Adresse. Zum Packen zeigen Tablets und Handys unseres Teams Name, Bestellnummer, Positionen, Bemerkung und Zahlhinweis, ebenfalls ohne E-Mail-Adresse. Unsere Bäckerei erhält nur die zusammengefassten Mengen, keine Angaben zu Ihrer Person. Bei einem Sonderwunsch geben wir ihr gegebenenfalls die Beschreibung mit der Bestellnummer weiter, aber nie Ihren Namen. Rechnungen für Kunden auf Rechnung erstellen wir in unserem Buchhaltungsprogramm SevDesk. Aus dem Bestellsystem übernehmen wir dafür nur Bestellnummer, Datum, Betrag und Produkte.

Erinnerungs-E-Mail (freiwillig): Wenn Sie das Häkchen setzen, schicken wir Ihnen zuerst eine E-Mail mit einem Bestätigungsknopf. Erst nach Ihrer Bestätigung erinnern wir Sie am Tag des Bestellschlusses an die nächste Bestellung. Wir speichern dafür Ihre E-Mail-Adresse, den Zeitpunkt Ihrer Einwilligung und Ihrer Bestätigung und die Fassung des Einwilligungstextes (Art. 7 Abs. 1 DSGVO). Außerdem speichern wir das Datum Ihrer letzten Bestellung: Haben Sie für die Woche schon bestellt, erinnern wir Sie nicht. Ist Ihre Adresse nicht zustellbar, schicken wir keine Erinnerungen mehr. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Jede Erinnerung enthält einen Abmeldelink; ein Widerruf ist jederzeit möglich.

Dauerbestellung (nur bei Kauf auf Rechnung): Wählen Sie „jede Woche wiederholen“, speichern wir Ihre Angaben und die Zusammenstellung. Wir legen dann jede Woche automatisch eine Bestellung an und bestätigen sie per E-Mail. Über den Link in der E-Mail können Sie die Dauerbestellung pausieren oder beenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bezahlung bei Abholung: Sie bezahlen bar oder mit Karte an unserer Kasse. Für Kartenzahlungen nutzen wir Zettle by PayPal. Ihre Kartendaten verarbeitet die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, als eigener Verantwortlicher. Ihre vollständigen Kartendaten erhalten wir nicht, und die Kasse ordnet die Zahlung nicht Ihrer Bestellung zu. Mehr dazu in den Datenschutzhinweisen von Zettle.

Schutz vor Missbrauch: Um das Formular vor Spam und Angriffen zu schützen, zählen wir kurzzeitig Anfragen pro IP-Adresse und pro E-Mail-Adresse. Diese Zähler liegen nur im Arbeitsspeicher und verfallen nach einer Stunde. Außerdem begrenzen wir, wie viele E-Mails wir an dieselbe Adresse schicken. Auffällige Ereignisse, etwa zu viele Versuche, speichern wir mit IP-Adresse höchstens sieben Tage. Weitere Zugriffsprotokolle mit IP-Adressen führen wir für das Bestellformular nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Keine Cookies, kein Tracking: Das Bestellformular und unsere Seiten zum Ändern, Bestätigen und Abmelden setzen keine Cookies. Unsere E-Mails enthalten keine Zählpixel. Bilder wie unser Logo kommen von unserem eigenen Server; dabei speichern wir nicht, wer eine E-Mail geöffnet hat.

Dienstleister:

• Server und verschlüsselte Datensicherungen: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen (Rechenzentrum in Deutschland)

• E-Mail-Versand und Postfächer: united-domains GmbH, Gautinger Straße 10, 82319 Starnberg

• Rechnungen: sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg

Mit allen dreien besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Alle verarbeiten die Daten in der EU. Wir selbst übermitteln Ihre Bestelldaten nicht in Länder außerhalb der EU. Für den Aufruf der Seite „Bestellung“ bei Squarespace gilt Abschnitt 3.

Speicherdauer:

• Bestellungen anonymisieren wir 12 Monate nach dem Abholtermin: Name, E-Mail-Adresse, Kundennummer und Bemerkung werden gelöscht. Bestellnummer, Abholtermin, Produkte und Beträge bleiben ohne Personenbezug für unsere Statistik. Bestellungen auf Rechnung anonymisieren wir ebenfalls nach 12 Monaten, aber erst, wenn sie abgerechnet sind. Die Rechnungen selbst bewahren wir getrennt nach den steuerrechtlichen Fristen auf, in der Regel acht Jahre ab Ende des Kalenderjahres (§ 147 AO).

• Interne Benachrichtigungen an unser Team sowie Rückläufer und automatische Antworten in unserem Bestellpostfach löschen wir nach 12 Monaten.

• Erinnerungen: bis zu Ihrer Abmeldung, spätestens 12 Monate nach Ihrer letzten Bestellung. Nicht bestätigte Anmeldungen löschen wir nach 7 Tagen.

• Dauerbestellungen: bis Sie sie beenden.

• Protokolle mit IP-Adresse: 7 Tage.

• Versandprotokoll der E-Mails (Empfänger, Zeitpunkt, Status): 30 Tage. Den Inhalt löschen wir direkt nach dem erfolgreichen Versand, bei endgültig gescheiterten E-Mails nach 30 Tagen.

• Löschprotokoll: Nach einer Löschung behalten wir 30 Tage lang einen nicht umkehrbaren Prüfwert Ihrer E-Mail-Adresse, damit eine Wiederherstellung aus einer Sicherung die Löschung nicht rückgängig macht.

• Datensicherungen sind verschlüsselt und werden nach spätestens 14 Tagen überschrieben.

Auskunft und Löschung: Ihr Anliegen können Sie jederzeit formlos an info@walforma-esg.de richten. Damit niemand fremde Daten abrufen oder löschen kann, schicken wir vor einer Auskunft oder Löschung einen Bestätigungslink an die betroffene E-Mail-Adresse (Art. 12 Abs. 6 DSGVO). Die Auskunft erhalten Sie als Download-Link, der 48 Stunden gültig ist. Vor einer Löschung stornieren wir Ihre offenen Bestellungen für kommende Freitage und informieren Sie per E-Mail. Bestellungen auf Rechnung, die noch nicht abgerechnet sind, löschen wir erst nach der Abrechnung.

8. Unsere Auftritte bei Facebook und Instagram

Links auf unserer Website: Die Symbole für Facebook und Instagram sind einfache Links. Beim bloßen Besuch unserer Website werden keine Daten an Meta übertragen. Das geschieht erst, wenn Sie auf einen Link klicken und die Plattform aufrufen.

Unsere Seiten auf den Plattformen: Wir betreiben eine Seite auf Facebook und ein Profil auf Instagram, um über unser Angebot zu informieren und mit Ihnen in Kontakt zu treten. Anbieter beider Plattformen ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

Für die Seiten-Statistiken („Insights“) sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Die Pflichten sind in der Vereinbarung zu Seiten-Insights geregelt. Meta hat danach die Hauptverantwortung übernommen, insbesondere für die Information der Nutzer und die Erfüllung der Betroffenenrechte. Sie können Ihre Rechte aber auch uns gegenüber geltend machen; wir leiten Anfragen an Meta weiter. Wir erhalten von Meta nur zusammengefasste, nicht personenbezogene Statistiken.

Wenn Sie unsere Seiten besuchen, verarbeitet Meta Ihre Daten, etwa IP-Adresse, Geräteinformationen und Ihr Nutzungsverhalten, und setzt dafür Cookies. Meta nutzt diese Daten auch für eigene Zwecke wie Werbung; darauf haben wir keinen Einfluss. Eine Übermittlung an die Meta Platforms, Inc. in den USA ist möglich; diese ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage: Unser berechtigtes Interesse an Öffentlichkeitsarbeit und Kommunikation mit Interessierten (Art. 6 Abs. 1 lit. f DSGVO). Soweit Meta Sie um eine Einwilligung bittet, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO.

Nachrichten: Schreiben Sie uns über Facebook oder Instagram, verwenden wir Ihre Angaben nur, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist wie bei E-Mails Art. 6 Abs. 1 lit. b oder f DSGVO (siehe Abschnitt 6). Wir löschen die Nachrichten, sobald die Anfrage erledigt ist, soweit keine Aufbewahrungspflicht besteht.

Mehr dazu: Datenschutzrichtlinie von Meta · Datenschutzrichtlinie von Instagram

9. Übermittlung in Drittländer

Einige unserer Dienstleister haben Muttergesellschaften oder Server in den USA (Squarespace, Meta, gegebenenfalls Google und Adobe). Für die USA hat die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss erlassen (EU-US Data Privacy Framework, Art. 45 DSGVO). Übermittlungen an Unternehmen, die danach zertifiziert sind, sind damit zulässig. Die genannten Anbieter sind zertifiziert; das können Sie in der offiziellen Liste prüfen. Soweit Anbieter zusätzlich EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) anbieten, sind diese Teil unserer Verträge.

Trotz dieser Garantien können US-Behörden unter bestimmten Voraussetzungen auf Daten zugreifen, ohne dass Sie davon erfahren.

10. Speicherdauer allgemein

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Konkrete Fristen stehen bei den einzelnen Abschnitten. Bestehen gesetzliche Aufbewahrungspflichten, etwa nach § 147 AO, bewahren wir die betroffenen Daten bis zum Ablauf der Frist auf. Wir nutzen sie dann nur noch für diesen Zweck und löschen sie danach. Rechtsgrundlage ist in dieser Zeit unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO). Eine Löschung können Sie so lange nicht verlangen (Art. 17 Abs. 3 lit. b DSGVO).

11. Datensicherheit

Unsere Website und unser Bestellformular sind per TLS verschlüsselt. Sie erkennen das am Schloss-Symbol und an „https://“ in der Adresszeile. Außerdem schützen wir Ihre Daten mit technischen und organisatorischen Maßnahmen gegen Verlust und unbefugten Zugriff, etwa durch beschränkte Zugriffsrechte (Art. 32 DSGVO).

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026