Datenschutz­erklärung

1. Verantwortlicher

Kiki's Fahrradhaus Silbernagl, Inhaber Christian Heitz, Am Römerstein 16, 82205 Gilching, Telefon 08105 5036, E-Mail info@fahrradhaus-silbernagl.de. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen nicht vorliegen.

2. Kurz gesagt

• Beim bloßen Aufruf lädt diese Website nichts von fremden Servern: Schriften, Bilder, Lageplan und Skripte liegen auf dem eigenen Server.
• Es gibt keine Reichweitenmessung, keine Werbe-Cookies, kein Tracking. Deshalb gibt es kein Einwilligungsbanner.
• Der Warenkorb wird nur in deinem Browser gespeichert, und erst, wenn du etwas hineinlegst.
• Fahrradclub und Glücksrad speichern erst etwas, wenn du dich anmeldest oder teilnimmst.
• Zwei Dienste laufen erst, wenn du sie auslöst: Google Maps nach deinem Klick auf „Google Maps laden“ und der Spam-Schutz Turnstile beim Ausfüllen eines Formulars.

3. Hosting und Server-Logdateien

Website, Kontodienst und Bestell-Dienst betreibt in unserem Auftrag Pemediacorp (Plößl & Ehrl Vertriebs UG (haftungsbeschränkt), Boschstr. 4, 82178 Puchheim) als Auftragsverarbeiter nach Art. 28 DSGVO. Die Website liegt bei der Mittwald CM Service GmbH & Co. KG in Espelkamp, Fahrradclub und Glücksrad liegen auf einem Server der ZAP-Hosting GmbH in Deutschland. Auf demselben Server läuft der Bestell-Dienst für Formulare und Kasse. Anfragen an Fahrradclub, Glücksrad und Bestell-Dienst, und sobald eingerichtet auch an die Website, laufen über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, die sie gegen Angriffe und Überlastung schützt und weiterleitet. Dabei verarbeitet Cloudflare IP-Adressen und den Inhalt der Anfragen. Mittwald, ZAP-Hosting und Cloudflare sind Unterauftragsverarbeiter von Pemediacorp. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Beim Aufruf verarbeiten die Server IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browser und Betriebssystem in Logdateien. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb, Abwehr von Angriffen). Die Logdateien werden nach spätestens 14 Tagen gelöscht.

4. Warenkorb im Browser

Legst du ein Rad in den Warenkorb, speichert dein Browser die Auswahl (Produkt, Farbe und Rahmenhöhe, Menge, gewählte Lieferart) im lokalen Speicher deines Geräts. Diese Speicherung ist für die von dir gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); an uns wird dabei nichts übertragen. Der Eintrag wird gelöscht, wenn du alle Positionen entfernst oder die Bestellung abschließt. Nach dem Absenden einer Bestellung merkt sich dein Browser die Bestellnummer kurz im Sitzungsspeicher (Eintrag „fs-bestellung“), damit die Bestätigungsseite sie zeigt; der Eintrag verschwindet spätestens, wenn du den Tab schließt. Stellst du im 360-Grad-Rundgang die Sprache oder die automatische Tour um, merkt sich dein Browser die Einstellung im Sitzungsspeicher (Einträge, die mit „wf-tour-“ beginnen); auch diese Einträge verschwinden, wenn du den Tab schließt. Solange du weder den Warenkorb noch das Häkchen bei Google Maps, die Einstellungen im Rundgang, den Fahrradclub oder das Glücksrad nutzt, legt die Website nichts auf deinem Gerät ab.

5. Bestellungen und Reservierungen

Bei einer Bestellung verarbeiten wir Name, E-Mail-Adresse, Telefonnummer (freiwillig), gewählte Räder, Lieferart sowie Bestellnummer und Zeitpunkt. Zweck ist die Abwicklung des Kaufvertrags: Bestätigung, Aufbau und Abholung, Rechnung, Rückfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Bestelldaten bewahren wir nach den handels- und steuerrechtlichen Fristen auf (sechs beziehungsweise zehn Jahre, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO). Die Kasse schickt deine Bestellung als Reservierung über unseren Bestell-Dienst (Abschnitt 6). Eine Reservierung über das Kontaktformular oder per E-Mail wird wie eine Anfrage behandelt (Abschnitt 7).

6. Reservierung über den Bestell-Dienst

Die Kasse schickt deine Bestellung an den Bestell-Dienst, den Pemediacorp in unserem Auftrag als Auftragsverarbeiter betreibt (Abschnitt 3). Übertragen werden Name, E-Mail-Adresse, Telefonnummer (freiwillig), die gewählten Räder mit Menge, die Lieferart und ein Prüfwert des Spam-Schutzes (Abschnitt 8). Der Dienst prüft Räder, Preise und Bestand gegen unseren Katalog, vergibt die Bestellnummer und schickt zwei E-Mails: deine Bestellung an das Fahrradhaus und dir die Eingangsbestätigung. Er speichert die Bestellung nicht, weder in einer Datenbank noch in einer Datei. Sein Protokoll nennt nur Bestellnummer, Zahl der Positionen und bei Fehlern einen Fehlercode. Deine IP-Adresse nutzt der Dienst nur kurz im Arbeitsspeicher gegen zu viele Anfragen und gibt sie zur Prüfung an Cloudflare weiter (Abschnitt 8); die Server-Logdateien beschreibt Abschnitt 3. Danach liegt die Bestellung im E-Mail-Postfach des Fahrradhauses und wird aufbewahrt, wie in Abschnitt 5 beschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bezahlt wird bei Abholung oder per Überweisung, eine Online-Zahlung gibt es nicht.

7. Anfragen per Formular, E-Mail oder Telefon

Schreibst du uns über das Formular, per E-Mail oder rufst an, verarbeiten wir deine Angaben zur Beantwortung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Bearbeitung von Anfragen). Das Formular schickt deine Nachricht über den Bestell-Dienst von Pemediacorp (Abschnitt 3) per E-Mail an das Fahrradhaus; der Dienst speichert sie nicht. Die Widerrufsfunktion arbeitet genauso und schickt dir dazu eine Eingangsbestätigung per E-Mail. Anfragen löschen wir, sobald sie erledigt sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen, spätestens nach zwölf Monaten.

8. Spam-Schutz mit Cloudflare Turnstile

Formulare und die Kasse sind mit Cloudflare Turnstile gegen automatisierte Eingaben geschützt. Der Dienst lädt erst, wenn du in ein Formular klickst. Anbieter ist Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile verarbeitet IP-Adresse, Browser- und Gerätemerkmale sowie Interaktionsdaten, um Menschen von Skripten zu unterscheiden; es setzt keine Cookies zu Werbezwecken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch der Formulare); der Zugriff auf das Endgerät ist für den von dir angeforderten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Näheres unter cloudflare.com/privacypolicy.

9. Google Maps (nur nach deiner Zustimmung)

Bis zu deinem Klick zeigt die Website nur einen Lageplan als Bild von unserem Server (Kartendaten OpenStreetMap). Straßenansicht und Karte von Google Maps laden erst, wenn du auf „Google Maps laden“ tippst. Dann lädt dein Browser Inhalte von Google; dabei werden mindestens deine IP-Adresse, die aufgerufene Adresse und technische Angaben zu deinem Browser an Google übertragen, und Google kann Cookies oder ähnliche Techniken auf deinem Gerät nutzen.

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Daten können auch in die USA übermittelt werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die du mit dem Klick erteilst. Sie gilt für den aktuellen Seitenaufruf.

Setzt du das Häkchen „Google Maps hier künftig gleich laden“, speichert dein Browser diese Entscheidung im lokalen Speicher (Eintrag „fs-karte“, kein Cookie) und lädt Google Maps bei späteren Besuchen direkt. Mit „Google Maps ausblenden“ unter der Karte oder durch Löschen der Websitedaten in deinem Browser widerrufst du die Einwilligung für die Zukunft; die Karte wird dann wieder durch den Lageplan ersetzt. „Route planen“ und „In Google Maps öffnen“ führen zu Google Maps in einem neuen Fenster; dort gelten die Datenschutzbestimmungen von Google.

10. Auszüge aus Google-Rezensionen

Die Startseite zeigt wörtliche Auszüge aus öffentlichen Rezensionen im Google-Unternehmensprofil des Fahrradhauses, mit Sternezahl, ungefährem Zeitpunkt und gekürztem Namen (Vorname und Anfangsbuchstabe). Profilbilder übernehmen wir nicht. Zweck ist, Interessenten ein Bild von den Erfahrungen anderer Kundinnen und Kunden zu geben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wer seine Rezension hier nicht sehen möchte, kann jederzeit widersprechen (Art. 21 DSGVO); eine kurze Nachricht an info@fahrradhaus-silbernagl.de genügt, der Auszug wird dann entfernt. Er wird auch entfernt, wenn die Rezension bei Google gelöscht wird.

11. Kiki's Fahrradclub

Wenn du Mitglied wirst, verarbeiten wir Vorname, Nachname und E-Mail-Adresse, deine Mitgliedsnummer und das Datum des Beitritts. Für die Anmeldung speichern wir dein Passwort nur als Hashwert, bei einem Passkey nur dessen öffentlichen Schlüssel; Fingerabdruck oder Gesichtsbild verlassen dein Gerät nie. Für jedes Gerät, auf dem du die Karte öffnest, entsteht ein Schlüssel für den wechselnden Prüfcode. Zweck ist, die Mitgliedschaft zu führen, die Karte anzuzeigen, sie an der Kasse zu prüfen und dir die Vorteile zu geben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne Name und E-Mail-Adresse ist keine Mitgliedschaft möglich.

Bei der Registrierung und bei der Anmeldung mit Passwort schicken wir dir einen 6-stelligen Code per E-Mail. Er gilt 10 Minuten und wird nur als Hashwert gespeichert. Ein Cookie hält dich bis zu 180 Tage angemeldet; die Karten-App legt Karte und Geräteschlüssel im Speicher deines Browsers ab, dazu eine Offline-Kopie der Kartenseite (nur Seitendateien, keine Personendaten), damit sie auch ohne Netz funktioniert. Beides ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Während du einen Code eingibst, merkt sich dein Browser die E-Mail-Adresse kurz im Sitzungsspeicher (Eintrag „fs-club:offen“), damit ein Neuladen nicht von vorn beginnt. Nach „Passwort vergessen“ steht dort kurz der Eintrag „fs-club:zurueckgesetzt“. Beide verschwinden spätestens, wenn du den Tab schließt.

Der QR-Code auf der Karte enthält keinen Namen und keine E-Mail-Adresse, nur eine Gerätekennung und einen Prüfwert, der alle 30 Sekunden wechselt. Nach dem Scan sieht das Ladenteam deinen Namen, seit wann du Mitglied bist und die Uhrzeit der Prüfung.

E-Mails zu Angeboten und Outletverkäufen schicken wir nur, wenn du das Häkchen setzt und den Link in unserer Bestätigungsmail anklickst (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Zeitpunkt und Wortlaut deiner Einwilligung speichern wir als Nachweis. Du kannst sie jederzeit im Konto oder per E-Mail widerrufen; was bis dahin geschah, bleibt rechtmäßig.

Deine Daten speichern wir, bis du die Mitgliedschaft im Konto beendest. Dann löschen wir Konto, Anmeldewege und Geräteschlüssel; jede Prüfung der Karte zeigt danach „Ungültig“. Den Nachweis einer Einwilligung in E-Mails bewahren wir nach dem Widerruf bis zu drei Jahre auf, damit wir sie belegen können (Art. 7 Abs. 1 DSGVO).

12. Glücksrad-Aktion

Für die Teilnahme verarbeiten wir deine E-Mail-Adresse, deinen Vor- und Nachnamen, dein Geburtsdatum und deine Postleitzahl, die Bestätigung der Teilnahmebedingungen mit Zeitpunkt und Wortlaut sowie dein Ergebnis: das Feld, bei einem Los die Losnummer, bei einem Sofortgewinn dessen Code und wann er im Laden eingelöst wurde, bei einer Teilnahme im Laden auch die Gewinnnummer und wer dich eingetragen hat. Das Geburtsdatum brauchen wir, um das Mindestalter von 14 Jahren und die Altersgrenze von 18 Jahren für Neuigkeiten per E-Mail zu prüfen. Zweck ist, die Aktion nach den Teilnahmebedingungen durchzuführen: Teilnahme prüfen, Lose ziehen und Gewinne im Laden übergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben ist keine Teilnahme möglich. Name, Geburtsdatum und Postleitzahl brauchen wir außerdem, um Mehrfachteilnahmen zu erkennen und dir deinen Gewinn im Laden zuzuordnen. Beim Einlösen vergleicht das Ladenteam deinen Namen und dein Geburtsdatum mit deinem Ausweis. Den Ausweis kopieren wir nicht, und wir speichern nichts daraus.

Den Zugang bestätigst du mit einem 6-stelligen Code per E-Mail (10 Minuten gültig, nur als Hashwert gespeichert). Ein eigenes Cookie hält deinen Zugang bis zu 30 Tage, damit du dein Ergebnis wieder aufrufen kannst (§ 25 Abs. 2 Nr. 2 TDDDG). Während du den Code eingibst, merkt sich dein Browser die E-Mail-Adresse wie beim Fahrradclub kurz im Sitzungsspeicher (Eintrag „fs-club:offen“); der Eintrag verschwindet spätestens, wenn du den Tab schließt. Um Mehrfachteilnahmen zu erkennen, vergleichen wir Name, Geburtsdatum und Postleitzahl nur als Prüfwert, der mit einem geheimen Schlüssel gebildet wird. Online entscheidet bei einem Verdacht ein Mensch, eine automatische Sperre gibt es dort nicht.

Online drehst du, bevor du Angaben machst. Zu jedem Dreh speichern wir nur das Ergebnis, den Zeitpunkt und das Ende der Reservierung. Wie bei jedem Aufruf stehen Adresse und Zeit des Drehs auch in den Server-Logdateien (Abschnitt 3). Wie oft von deinem Internetanschluss aus gedreht wurde, zählen wir unter einem Prüfwert deiner IP-Adresse (bei IPv6 ihres /64-Netzes). Diesen Prüfwert bilden wir mit einem geheimen Schlüssel, der jeden Tag wechselt. Ohne diesen Schlüssel lässt sich der Prüfwert nicht auf die IP-Adresse zurückrechnen; er ist pseudonymisiert (Art. 4 Nr. 5 DSGVO). Mit ihm begrenzen wir die Drehs auf zwei je Internetanschluss und Tag. Vor jedem Dreh prüft außerdem der Spam-Schutz Turnstile, ob ein Mensch dreht (Abschnitt 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine faire Aktion ohne massenhafte oder automatisierte Drehs. Die Zählung samt Prüfwert löschen wir am Ende ihres Tages, nicht gesicherte Drehs nach 48 Stunden. Sicherst du dein Ergebnis, gehört der Dreh zu deiner Teilnahme. In unseren nächtlichen Sicherungen stehen keine Prüfwerte.

Damit nur du dein Ergebnis sichern kannst, bekommt dein Browser zum Dreh eine Zufallskennung, die wir nur als Hashwert speichern. Sie liegt nur im Sitzungsspeicher des Tabs, in dem du gedreht hast (Eintrag „fs-club:vorab“), und verschwindet spätestens, wenn du ihn schließt. Dort merkt sich die Seite auch, wie oft in diesem Tab heute gedreht wurde, damit sie nach Ablauf richtig sagt, ob noch ein Dreh geht. Beides ist unbedingt erforderlich, damit du drehen und dein Ergebnis sichern kannst (§ 25 Abs. 2 Nr. 2 TDDDG). Ein Cookie setzen wir dafür nicht.

Der QR-Code eines Sofortgewinns enthält keine Angaben zu deiner Person. Bei der Ziehung im Laden nennen wir nur die Losnummer. Spenden laufen direkt über die Stiftung, davon erfahren wir nichts.

Setzt du ab 18 Jahren das freiwillige Häkchen für Neuigkeiten per E-Mail (im Laden setzt es das Ladenteam auf deinen Wunsch), speichern wir diesen Wunsch mit Zeitpunkt und Wortlaut. Neuigkeiten schicken wir erst, wenn du eine Bestätigungsmail mit Link bestätigt hast (Double-Opt-in). Diese Mail kommt, sobald unser Newsletter startet. Bis dahin bekommst du keine Werbung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Abbestellen kannst du jederzeit mit dem Knopf unter deinem Ergebnis oder per E-Mail.

Unvollständige Anmeldungen löschen wir nach 30 Tagen, alle übrigen Teilnahmedaten spätestens drei Monate nach der Ziehung. Die Nachweise der Aktion, also die Bestätigung der Teilnahmebedingungen und dein Wunsch nach Neuigkeiten, löschen wir zusammen mit den Teilnahmedaten.

Drehst du im Laden, trägt das Ladenteam deine Angaben in unser Programm „Kiki's Tool“ ein. Das Programm speichert von sich aus nichts auf dem Rechner im Laden, alles liegt beim Kontodienst (Abschnitt 3). Es gelten dieselben Zwecke, Empfänger und Löschfristen. Im Laden lehnt das Programm eine zweite Teilnahme sofort ab, wenn die E-Mail-Adresse schon dabei ist oder Name, Geburtsdatum und Postleitzahl zu einer anderen Teilnahme passen. Bis zur Ziehung kann das Ladenteam deine Angaben berichtigen und, solange kein Gewinn eingelöst ist, deine Teilnahme löschen. Nach dem Löschen gilt deine Nummer nicht mehr.

Für die Aktion kann das Ladenteam die Liste aller Teilnahmen als Datei auf dem Rechner im Laden speichern: Vor- und Nachname, Postleitzahl, ob online oder im Laden teilgenommen wurde, Ergebnis, Nummer, ob eingelöst wurde, und den Zeitpunkt der Teilnahme. E-Mail-Adresse und Geburtsdatum stehen nicht darin. Diese Datei löschen wir spätestens mit den Teilnahmedaten.

Was das Ladenteam im Programm tut (eintragen, berichtigen, löschen, einlösen, ziehen, die Liste speichern), halten wir mit Zeit und Teammitglied, aber ohne deine Angaben in einem Protokoll fest. Wir löschen es mit den Teilnahmedaten.

13. Externe Links

Links zu Herstellern, Leasing-Anbietern, dem Fahrradverleih und dem Google-Profil führen auf fremde Websites. Erst mit dem Klick verlässt du diese Seite; dort gelten die Bestimmungen der jeweiligen Anbieter.

14. Empfänger

Empfänger deiner Daten sind der Hosting-Anbieter, Cloudflare (Spam-Schutz und Netzwerk, Abschnitte 3 und 8), nach deiner Zustimmung Google (Maps), für Fahrradclub, Glücksrad, Formulare und Kasse Pemediacorp und die ZAP-Hosting GmbH (Abschnitt 3) sowie für Codes, Ergebnis- und Bestätigungsmails die IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, bei der das E-Mail-Postfach des Fahrradhauses liegt, und unser Steuerbüro im Rahmen der Buchführung. Eine Weitergabe zu Werbezwecken findet nicht statt.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Schreib dafür an info@fahrradhaus-silbernagl.de. Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, lda.bayern.de.

16. Sicherheit

Die Verbindung zu dieser Website ist per TLS verschlüsselt. Der Server sendet Sicherheits-Kopfzeilen, die das Nachladen fremder Skripte unterbinden.

Der Server sichert die Daten von Fahrradclub und Glücksrad jede Nacht. Die Sicherungen löschen wir nach 14 Tagen; gelöschte Daten verschwinden deshalb spätestens 14 Tage später auch aus den Sicherungen.

17. Änderungen

Diese Erklärung wird angepasst, wenn sich die Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung. Stand 29. Oktober 2026.