Datenschutzerklärung

Stand: 2. Oktober 2026

1. Verantwortlicher

Marc-Philipp Stütz, Stütz IT-Service
Burgpflegerstraße 8, 86316 Friedberg, Deutschland
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht besteht.

2. Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der Plattform erforderlich ist. Schriften, Kartenmaterial und Bilder liefern wir von eigenen Servern aus; es werden keine Analyse-, Tracking- oder Werbedienste eingebunden und keine Nutzerprofile erstellt. Die Datenübertragung erfolgt durchgehend TLS-verschlüsselt. Server-Standort ist Deutschland (netcup GmbH, Karlsruhe).

3. Hosting und Server-Logs

Beim Aufruf der Website verarbeitet unser Server technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent) in Protokolldateien.
Zweck: Auslieferung der Inhalte, Stabilität, Abwehr von Angriffen (Rate-Limits, fail2ban). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: Log-Daten werden spätestens nach 14 Tagen gelöscht, sofern kein sicherheitsrelevanter Vorfall die längere Aufbewahrung erfordert.

Der Zugriff auf die Website erfolgt über den Reverse-Proxy- und Content-Delivery-Dienst von Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; in der EU vertreten durch Cloudflare Germany GmbH). Cloudflare verarbeitet die technischen Verbindungsdaten (u. a. IP-Adresse) zur Auslieferung der Inhalte, zur Lastverteilung und zur Abwehr von Angriffen (DDoS-/Bot-Schutz). Zweck: sichere, performante Bereitstellung der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Dabei können Daten in die USA übermittelt werden; Grundlage sind EU-Standardvertragsklauseln und der EU-US Data Privacy Framework. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag.

4. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie („hoftafel_refresh", httpOnly, Secure) zur Anmeldung, Laufzeit maximal 60 Tage. Zusätzlich speichert dein Browser lokal (LocalStorage) deine letzte Ortswahl und (bei Anmeldung) ein kurzlebiges Zugriffstoken. Diese Daten verlassen deinen Browser nicht zu Analysezwecken. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO. Ein Einwilligungsbanner ist nicht erforderlich, da keine einwilligungspflichtigen Dienste eingesetzt werden.

5. Konto

Bei Registrierung verarbeiten wir E-Mail-Adresse und Passwort (gespeichert ausschließlich als Argon2id-Hash) sowie Zeitpunkte von Registrierung und Anmeldungen. Zweck: Bereitstellung des Kontos (Favoriten, Merkliste, Reservierungen, Hof-Verwaltung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Kontos; die Löschung kannst du jederzeit selbst unter „Konto" auslösen (sofortiger Hard Delete).

Der Bot-Schutz bei der Registrierung (Altcha) läuft vollständig auf unseren Systemen; es werden keine Daten an Dritte übertragen.

6. Standortdaten

Gibst du deinen Gerätestandort für die Umkreissuche frei, wird er ausschließlich für die aktuelle Suchanfrage verwendet und nicht gespeichert. Der Bezugspunkt eines Merklisten-Eintrags (z. B. dein Heimatort) ist eine bewusste Eingabe und wird mit dem Eintrag gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Über „Route starten" öffnest du die Navigation in Google Maps. Dabei verlässt du unser Angebot und rufst einen Dienst der Google Ireland Limited auf, der in eigener Verantwortung von Google betrieben wird (Datenübermittlung in die USA möglich). Es werden erst beim Klick Daten an Google übertragen; wir übergeben dabei nur die Zielkoordinaten des Verkaufsorts, keine personenbezogenen Daten von dir. Es ist kein Google-Dienst in unsere Seiten eingebunden.

7. Benachrichtigungen (Web Push)

Aktivierst du Benachrichtigungen, speichern wir die von deinem Browser erzeugte Push-Adresse (Subscription). Die Zustellung erfolgt über den Push-Dienst deines Browser-Anbieters (z. B. Mozilla, Google, Apple); dabei erhält dieser Anbieter die für die Zustellung nötigen technischen Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf: jederzeit in den Browser-Einstellungen oder durch Löschen des Kontos.

8. Reservierungen und Zahlungsabwicklung (PayPal)

Reservierst du Ware bei einem Hof, verarbeiten wir die Reservierungsdaten (gewählte Produkte, Abholfenster, Abholcode, Status) und teilen dem Hof deine E-Mail-Adresse zur Abwicklung mit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Ware selbst bezahlst du vor Ort beim Hof; darüber verarbeiten wir keine Daten.

Die Reservierungsgebühr (0,99 €) wird über PayPal (Europe) S.à r.l. et Cie, S.C.A. (22-24 Boulevard Royal, 2449 Luxemburg) abgewickelt. Zur Zahlung wirst du auf die Seiten von PayPal weitergeleitet; PayPal verarbeitet dort die für die Zahlung erforderlichen Daten in eigener Verantwortung nach seiner Datenschutzerklärung. Wir erhalten und speichern keine Zahlungsmitteldaten, sondern nur die technischen Transaktionsreferenzen. Die Gebühr wird bei der Reservierung lediglich vorgemerkt und erst mit der Bestätigung durch den Hof eingezogen; PayPal kann Daten an verbundene Unternehmen in Drittländern (u. a. USA) übermitteln; Grundlage sind EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Zahlungsbezogene Daten unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO: bis zu 10 Jahre).

9. E-Mail-Liste (Newsletter) und Warteliste je Ort

Trägst du dich in die Interessentenliste ein, speichern wir E-Mail-Adresse und Zeitpunkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Widerruf: jederzeit formlos per E-Mail; die Adresse wird dann gelöscht.

Warteliste „Sag mir Bescheid, wenn hier ein Hof dabei ist“: Wir speichern deine E-Mail-Adresse, den gewählten Ort (Name und Mittelpunkt) und den Zeitpunkt. Eingetragen bist du erst, wenn du den Link in unserer Bestätigungsmail anklickst (Double-Opt-in); unbestätigte Anmeldungen löschen wir nach 7 Tagen. Sobald im Umkreis von 25 km ein Hof dabei ist, schreiben wir dir genau einmal und löschen danach deine Adresse. Wie viele Personen je Ort warten, zeigen wir nur als Zahl an. Versand über unseren Mail-Dienstleister (siehe Abschnitt 11). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Widerruf: jederzeit über den Austragen-Link in der Mail oder formlos per E-Mail.

10. Daten von Höfen (Betriebe)

Für angemeldete Betriebe verarbeiten wir die im Profil angegebenen Daten (Name, Beschreibung, Adressen der Verkaufsorte, Öffnungszeiten, Sortiment, Tagesverfügbarkeit) zur öffentlichen Darstellung; das ist der Zweck der Plattform. Änderungen an der Tagesverfügbarkeit werden mit Zeitpunkt und handelndem Konto protokolliert (Audit-Log). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Empfänger und Auftragsverarbeiter

Hosting: netcup GmbH, Karlsruhe (Serverbetrieb, AV-Vertrag). Reverse-Proxy/CDN: Cloudflare, Inc. (Ziff. 3). Zahlungen: PayPal (Ziff. 8). Push-Zustellung: Push-Dienst deines Browser-Anbieters (Ziff. 7). Anmeldung mit Google: Google Ireland Limited, nur bei aktiver Nutzung der Funktion (Ziff. 16). Eine Übermittlung an weitere Dritte findet nicht statt; staatlichen Stellen gegenüber nur bei gesetzlicher Verpflichtung.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Auskunft und Export stellst du am schnellsten selbst unter „Konto" → „Daten exportieren" bereit; für alles Weitere genügt eine E-Mail an die oben genannte Adresse.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

13. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt.

14. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen: durchgehende TLS-Verschlüsselung, Speicherung von Passwörtern ausschließlich als Argon2id-Hash, Zugriffsbeschränkung auf das Betriebspersonal, regelmäßige Sicherungen sowie Schutzmechanismen gegen automatisierte Angriffe (Rate-Limits, fail2ban). Die Maßnahmen werden entsprechend der technischen Entwicklung fortlaufend angepasst.

15. Mobile App

Sofern du künftig unsere mobile App nutzt, gelten die vorstehenden Hinweise entsprechend. Die App verarbeitet dieselben Daten wie die Website; zusätzlich kann (nur mit deiner ausdrücklichen Einwilligung) der Gerätestandort für die Umkreissuche und ein Push-Token für Benachrichtigungen verarbeitet werden (vgl. Ziff. 6 und 7). Es werden keine Werbe- oder Tracking-SDKs eingebunden.

16. Anmeldung mit Google (optional)

Du kannst dich alternativ mit deinem Google-Konto anmelden. Diese Funktion ist freiwillig und nur aktiv, sofern wir sie freigeschaltet haben. Klickst du auf „Mit Google anmelden", wirst du zu Google weitergeleitet; erst dann werden Daten an Google übertragen. Auf unseren Seiten ist kein Google-Skript eingebunden, solange du die Schaltfläche nicht nutzt. Nach erfolgreicher Anmeldung erhalten wir von Google ausschließlich die Angaben aus den Bereichen openid, email, profile (im Kern deine E-Mail-Adresse und eine pseudonyme Konto-Kennung); mehr fordern wir nicht an. Aus diesen Daten legen wir dein Konto an bzw. verknüpfen es mit einem bestehenden Konto gleicher E-Mail-Adresse. Zur Absicherung des Anmeldevorgangs setzen wir kurzzeitig ein technisch notwendiges Cookie (g_state, Laufzeit 10 Minuten).
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google kann dabei Daten an Google LLC in den USA übermitteln; Grundlage sind EU-Standardvertragsklauseln und der EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Nutzung der Schaltfläche) sowie Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Die Verarbeitung bei Google richtet sich nach dessen Datenschutzerklärung.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erfordern. Es gilt jeweils die hier veröffentlichte, mit Datum versehene Fassung.