Datenschutzerklärung

1. Verantwortlicher (Art. 4 Nr. 7 DSGVO)

Hien & Hien GbR
Lenzstraße 20
53902 Bad Münstereifel
Deutschland

Vertreten durch die Gesellschafter Dr. Sigrid Hien und Dr. Peter Hien.

Telefon: +49 163 6862018
E-Mail: info@sasserath.geco.eco
Datenschutz-Anliegen erreichst du unter derselben Adresse.

2. Auftragsverarbeiter

Die technische Plattform, das Hosting der Webseite und der interne Verwaltungsbereich (intern.geco.eco), in dem wir die in dieser Erklärung genannten Kunden- und Interessentendaten verwalten, werden für uns von der Geco GmbH (Geschäftsführer Max Hien und Matthias Hien) betrieben. Mit der Geco GmbH besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Geco GmbH verarbeitet personenbezogene Daten ausschließlich in unserem Auftrag und nach unserer Weisung und nicht für eigene Zwecke. Der Zugang zum Verwaltungsbereich ist passwortgeschützt; dort werden keine zusätzlichen personenbezogenen Daten über die in dieser Erklärung genannten hinaus erhoben.

3. Externe Dienstleister (Sub-Auftragsverarbeiter)

Wir setzen für den Betrieb folgende Dienstleister ein. Mit den Auftragsverarbeitern besteht jeweils ein Vertrag nach Art. 28 DSGVO; Stripe nimmt eine Sonderrolle ein (siehe 3.2). Unser E-Mail-Postfach betreibt Migadu (siehe Ziffer 8).

3.1 Drittlandübermittlungen

• Vercel Inc.: zertifiziert nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO).
• Supabase Inc.: Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Supabase ist nicht nach dem DPF zertifiziert). Datenbank-Server stehen physisch in Frankfurt am Main; ein Zugriff aus den USA durch das Mutterunternehmen ist technisch möglich, vertraglich aber auf Wartung und Support beschränkt.
• Stripe Payments Europe Ltd. (Irland): Die Zahlungsabwicklung läuft über die irische EU-Gesellschaft. Eine etwaige Übermittlung an die US-Muttergesellschaft erfolgt auf Basis des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln (Art. 45/46 DSGVO).
• Brevo (Sendinblue SAS, Frankreich): Verarbeitung innerhalb der EU; keine Drittlandübermittlung.
• Meta Platforms (WhatsApp): nur bei deiner ausdrücklichen Einwilligung. Dabei werden Telefonnummer und Nutzungsdaten an Meta übermittelt, auch in die USA (EU-US Data Privacy Framework bzw. Standardvertragsklauseln, Art. 45/46 DSGVO).

Eine Kopie der Standardvertragsklauseln stellen wir dir auf Anfrage zur Verfügung.

3.2 Stripe — geteilte Verantwortlichkeit

Stripe verarbeitet Zahlungsdaten in einer Doppelrolle: als Auftragsverarbeiter für uns, soweit es die technische Abwicklung deiner Zahlung betrifft (Art. 6 Abs. 1 lit. b DSGVO), und als eigenständig Verantwortlicher für gesetzlich/regulatorisch eigene Zwecke (Betrugsprävention, Risikomanagement, Identitäts- und Geldwäsche-Prüfungen; Art. 6 Abs. 1 lit. c und f DSGVO). Insoweit gilt zusätzlich die Datenschutzerklärung von Stripe. Vollständige IBAN-/Kartendaten verarbeitet ausschließlich Stripe.

4. Datenverarbeitung beim Besuch der Webseite

4.1 Server-Logfiles

Wenn du unsere Webseite aufrufst, verarbeitet unser Hoster Vercel automatisch folgende Daten:

• IP-Adresse (gekürzt bzw. anonymisiert nach Möglichkeit)
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL
• Referrer-URL
• User-Agent (Browser, Betriebssystem)

Zweck: technische Stabilität, Fehleranalyse, Abwehr von Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).
Speicherdauer: wenige Tage, danach Löschung oder Anonymisierung.

4.2 Cookies

Auf der öffentlichen Webseite (sasserath.geco.eco) setzen wir keine Cookies für Analyse, Tracking oder Werbung. Es gibt keinen Cookie-Banner, weil wir keine zustimmungspflichtigen Cookies verwenden.

Für den Login zu „Mein Abo” und auf dem internen Verwaltungsbereich (intern.geco.eco) wird jeweils ein technisch notwendiges Session-Cookie für die Anmeldung gesetzt. Dieses ist für den Betrieb zwingend erforderlich; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Neuigkeiten per E-Mail (Newsletter)

Wenn du dich für unsere Neuigkeiten per E-Mail einträgst, verarbeiten wir:

• E-Mail-Adresse (Pflicht)
• Vorname (optional)
• Zeitpunkt, IP-Adresse und Wortlaut deiner Einwilligung (zum Nachweis)

Zweck: Versand von Informationen über den Aufbau und Stand des Selbsternte-Gartens, saisonale Themen, Einladungen zu Veranstaltungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung). Ernteabo-Kundinnen und -Kunden informieren wir über eigene, ähnliche Garten-Angebote zusätzlich auf Grundlage von § 7 Abs. 3 UWG i. V. m. Art. 6 Abs. 1 lit. f DSGVO; ein Widerspruch ist jederzeit möglich.
Speicherdauer: bis zum Widerruf. Den Einwilligungs- und Widerruf-Beleg (Datum, IP-Adresse, Wortlaut) bewahren wir nach dem Widerruf bis zu drei Jahre auf (Art. 6 Abs. 1 lit. f DSGVO). Die abgemeldete Adresse führen wir auf einer Sperrliste, damit sie nicht erneut angeschrieben wird.
Widerruf: Abmelde-Link in jeder Mail oder formlose E-Mail an info@sasserath.geco.eco.

5.1 Übernahme von Bestandsadressen

Die Hien & Hien GbR betreibt seit 2025 das Vorgänger-Projekt unter der Marke „Lama-Eifel“ auf lama-eifel.bio. E-Mail-Adressen, die dort mit ausdrücklicher Einwilligung in den Newsletter eingetragen wurden, werden im Rahmen der Markenumstellung auf „Geco“ weitergeführt — der Verantwortliche (Hien & Hien GbR) bleibt rechtlich identisch. Über die Umstellung und diese Datenschutzerklärung informieren wir alle bestehenden Empfänger gesondert. Du kannst dem Versand jederzeit widersprechen.

5.2 Erfolgsmessung (Öffnungs- und Klick-Tracking)

Unser Versanddienst Brevo kann messen, ob und wann eine E-Mail geöffnet und welche Links angeklickt wurden (Zählpixel, individualisierte Links), um unsere Neuigkeiten zu verbessern.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG), die du mit deiner Newsletter-Anmeldung erteilst und jederzeit widerrufen kannst. Ohne diese Einwilligung versenden wir ohne Öffnungs-/Klick-Messung.

6. Anmeldeliste für die Saison 2026

Wenn du dich auf die Anmeldeliste einträgst, verarbeiten wir:

• E-Mail-Adresse (Pflicht)
• Vorname (Pflicht)
• Nachname (optional)
• Anzahl Personen im Haushalt (Pflicht; Kapazitätsplanung)
• PLZ oder Wohnort (optional; Anfahrts-Einschätzung)
• Telefonnummer (optional)
• ggf. zusätzliche Angaben aus optionalen Umfrage-Feldern

Zweck: Planung verfügbarer Plätze, persönliche Einladung zur Einweisung, Vorbereitung der Abo-Einrichtung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme).
Speicherdauer: bis zur Aufnahme als Mitglied, bei Nicht-Aufnahme bis sechs Monate nach Saisonbeginn 2026, danach Löschung oder aktive Rückfrage zur weiteren Speicherung.
Widerruf: formlose E-Mail an info@sasserath.geco.eco genügt.

6a. Ernteabo (Abo & Bezahlung)

Wenn du ein Ernteabo abschließt, verarbeiten wir zur Begründung und Durchführung des Ernteabos:

• Vor- und Nachname, Anschrift, E-Mail (Pflicht)
• Telefonnummer (optional)
• Haushaltsangaben (Anzahl Erwachsene/Kinder, optional Namen der Mit-Erntenden) zur fairen Beitrags-Einschätzung
• gewählter Monatsbeitrag und freiwilliger Möglichmacher-Betrag
• Zahlungsdaten: Bei Online-Zahlung werden Bankverbindung/Karte ausschließlich von unserem Zahlungsdienstleister Stripe verarbeitet — wir selbst speichern keine vollständigen IBAN-/Kartendaten, sondern nur Beitragshöhe, Status und Stripe-Referenzkennungen.

Login:Der Zugang zu „Mein Abo” erfolgt passwortlos über einen E-Mail-Link oder einen Zahlencode. Hierfür nutzen wir Supabase Auth (Ziffer 3) und setzen ein technisch notwendiges Session-Cookie.
Zweck: Durchführung des Abo-Vertrags, Abrechnung, Bereitstellung des Selbsterntegartens, Kommunikation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für die Rechnungsstellung zusätzlich Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht).
Speicherdauer: für die Dauer des Abos; Rechnungs- und Buchungsbelege nach den gesetzlichen Aufbewahrungsfristen (i. d. R. 10 Jahre, § 147 AO / § 257 HGB).

6b. WhatsApp-Updates / Community (freiwillig)

Beim Ernteabo kannst du freiwillig zustimmen, Updates über WhatsApp zu erhalten und in die Geco-Community eingeladen zu werden. Verarbeitet werden deine Telefonnummer und die im Rahmen der Nutzung anfallenden Daten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — getrennt von der Newsletter-Einwilligung.
Empfänger / Drittland: Anbieter ist Meta (WhatsApp); dabei werden Daten auch in die USA übermittelt (Ziffer 3.1). In einer WhatsApp-Gruppe sind die Telefonnummern der Teilnehmenden gegenseitig sichtbar.
Widerruf:jederzeit, z. B. mit der Nachricht „STOP”. Mindestalter 16 Jahre.

7. Kontaktaufnahme (E-Mail, WhatsApp)

Wir bieten kein Kontaktformular auf dieser Webseite an. Die Kontaktseite verweist ausschließlich auf einen E-Mail-Link (info@sasserath.geco.eco) und auf WhatsApp. Es werden dort keine Daten über die Webseite erhoben oder gespeichert; es öffnet sich nur dein eigenes E-Mail- bzw. WhatsApp-Programm.

Wenn du uns per E-Mail schreibst, verarbeiten wir die von dir übermittelten Angaben (in der Regel Name, E-Mail-Adresse und den Inhalt deiner Nachricht), um deine Anfrage zu beantworten. Zur E-Mail- Verarbeitung siehe Ziffer 8; zu WhatsApp siehe Ziffer 6b.

Zweck: Beantwortung deiner Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten).
Speicherdauer: sechs Monate nach abschließender Beantwortung. Sofern aus deiner Anfrage ein Vertrag entsteht, gelten die hierfür geltenden Fristen.

8. E-Mail-Kommunikation

E-Mails an info@sasserath.geco.eco werden über unseren Dienstleister Migadu Mail GmbH (Schweiz) verarbeitet und auf Servern in der Schweiz gespeichert. Mit Migadu besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), es liegt also keine unsichere Drittlandübermittlung vor.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahme) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effektiver Kommunikation).
Speicherdauer: je nach Anliegen, in der Regel sechs Monate nach abschließender Bearbeitung; gesetzliche Aufbewahrungsfristen (z. B. nach HGB oder AO) bleiben unberührt.

9. Empfänger der Daten

Eine Weitergabe deiner Daten an Dritte erfolgt nur an die unter Ziffer 2, 3 und 8 genannten Dienstleister und nur, soweit dies zur Erfüllung der jeweiligen Zwecke erforderlich ist. Eine Weitergabe an sonstige Dritte oder eine Verwendung zu Werbezwecken durch Dritte findet nicht statt.

10. Sicherheit

Wir setzen Transport-Verschlüsselung (TLS) ein. Personenbezogene Daten werden verschlüsselt übertragen. Zugriffe auf den internen Verwaltungsbereich sind passwortgeschützt. Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, um deine Daten vor Verlust, Missbrauch oder unberechtigtem Zugriff zu schützen.

11. Minderjährige

Unser Angebot richtet sich an Personen ab 18 Jahren. Wir verarbeiten wissentlich keine Daten Minderjähriger. Sollten Minderjährige Daten eingegeben haben, werden diese nach Kenntnis von uns gelöscht.

12. Deine Rechte

Du hast jederzeit folgende Rechte:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungsfrist entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. e oder f DSGVO stützen (Art. 21 DSGVO)
• Widerruf einer einmal erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Für die Hien & Hien GbR ist die zuständige Aufsichtsbehörde:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44, 40102 Düsseldorf
www.ldi.nrw.de

Schreib uns auch gerne direkt an info@sasserath.geco.eco — wir kümmern uns um dein Anliegen.

13. Pflicht zur Bereitstellung

Die Bereitstellung deiner personenbezogenen Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Du bist nicht verpflichtet, uns Daten zur Verfügung zu stellen. Ohne deine Daten können wir dich allerdings nicht in unsere Neuigkeiten per E-Mail oder die Anmeldeliste aufnehmen oder eine Anfrage beantworten.

14. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Der bei der Anmeldung angezeigte Beitrags-Richtwert ist eine reine, unverbindliche Rechenhilfe (Konsum-Typ × Haushaltsgröße); du legst deinen Beitrag selbst fest und kannst ihn frei überschreiben.

15. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann angepasst werden, wenn sich die Verarbeitungstätigkeit ändert (z. B. beim Start des Mitglieder-Bereichs in Phase 2). Wir informieren über wesentliche Änderungen aktiv per E-Mail. Es gilt die jeweils auf unserer Webseite veröffentlichte Fassung mit dem oben genannten Stand-Datum.