Datenschutz

1. Verantwortlicher

Verantwortlicher

Celina by ONCE GmbH

Anschrift

Kolingasse 3/1, 1090 Wien, Österreich

E-Mail

office@celinas.at

Für alle Fragen zum Datenschutz erreichst du uns unter dieser E-Mail-Adresse. Diese Erklärung gilt für den Online-Shop. Für die Website des Cafés gilt die Datenschutzerklärung auf celinas.at.

2. Aufruf des Shops und Hosting

Der Shop läuft auf einem Server von Akamai Technologies (Linode) in einem Rechenzentrum in Frankfurt am Main, Deutschland. Beim Aufruf verarbeitet der Server automatisch Daten, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp und Betriebssystem sowie die zuvor besuchte Seite. Das dient der technischen Auslieferung, Stabilität und Sicherheit des Shops. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Zugriffsprotokolle mit IP-Adresse werden automatisch überschrieben, sobald sie eine feste Größe erreichen; derzeit ist das nach etwa zwei bis drei Wochen der Fall. Der Hosting-Anbieter verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Akamai Technologies, Inc. hat ihren Sitz in den USA; für eine mögliche Übermittlung dorthin gilt der Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework).

3. Cookies, Werbung, Analyse und Warenkorb

Wir schalten Anzeigen bei Google (Google Ads) und nutzen Google Analytics 4. Damit sehen wir, wie der Shop genutzt wird (z. B. welche Seiten oft aufgerufen werden) und ob eine Anzeige zu einer Bestellung führt (Conversion-Tracking). Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dafür lädt jede Seite den Google-Tag (ein Skript von Google, Google Consent Mode).

Ohne deine Zustimmung setzt und liest Google keine Cookies und keine Kennung, die dich wiedererkennt. Der Google-Tag schickt dann nur einfache Meldungen ohne Cookies: dass eine Seite aufgerufen wurde, Uhrzeit, Browser, Bildschirmgröße, die Seitenadresse und nach einem Kauf Bestellnummer, Betrag und Währung. Dabei wird technisch bedingt deine IP-Adresse an Google übertragen. Kennungen aus Anzeigen-Klicks werden entfernt. Google nutzt diese Meldungen nur, um Besuche und Käufe insgesamt zu schätzen; sie werden keinem Profil zugeordnet. Rechtsgrundlage ist unser berechtigtes Interesse, den Erfolg unserer Werbung zu messen (Art. 6 Abs. 1 lit. f DSGVO).

Mit deiner Zustimmung (Klick auf „Akzeptieren“ im Cookie-Banner; Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021) setzt Google Cookies und erfährt: welche Seiten du aufrufst, wie lange und mit welchem Gerät, ungefähre Region, ob du über eine Google-Anzeige gekommen bist, und nach einem Kauf die Bestellnummer, den Betrag und die Währung. Nach einem Kauf schicken wir zusätzlich deine E-Mail-Adresse und Telefonnummer als Hash (SHA-256, eine nicht umkehrbare Prüfsumme statt des Klartexts), damit Google den Kauf einer Anzeige zuordnen kann („erweiterte Conversions“). Google Analytics speichert in der EU keine vollständigen IP-Adressen. Wir sehen in Analytics und Ads nur zusammengefasste Zahlen, keine Namen. Google kann die Daten auch in den USA verarbeiten; Google ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Die Analytics-Daten bewahren wir [14 Monate] auf, die Cookies bleiben bis zu 2 Jahre (Analytics) bzw. 90 Tage (Ads) gespeichert. Mehr: business.safety.google/privacy.

Du kannst deine Zustimmung jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite widerrufen. Danach gelten wieder nur die Meldungen ohne Cookies. Den Google-Tag ganz blockieren kannst du mit einem Werbeblocker. Deine Wahl speichern wir nur in deinem Browser.

Meta-Pixel. Wir schalten auch Anzeigen auf Facebook und Instagram. Dafür nutzen wir den Meta-Pixel von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Nur mit deiner Zustimmung (Klick auf „Akzeptieren“; Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021) lädt der Shop das Skript von Meta. Ohne Zustimmung gibt es keine Verbindung zu Meta. Mit Zustimmung setzt Meta Cookies und erfährt: welche Seiten und Produkte du ansiehst, was du in den Warenkorb legst, Uhrzeit, Browser, Gerät, deine IP-Adresse, ob du über eine Anzeige gekommen bist, und nach einem Kauf die Bestellnummer, den Betrag, die Währung, die gekauften Produkte sowie deine E-Mail-Adresse und Telefonnummer als Hash (SHA-256, nicht im Klartext). Bist du bei Facebook oder Instagram angemeldet, kann Meta das deinem Konto zuordnen. Für das Erheben und Übermitteln an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu: facebook.com/legal/controller_addendum. Meta kann die Daten auch in den USA verarbeiten; Meta ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Die Cookies bleiben bis zu 90 Tage gespeichert. Mehr: facebook.com/privacy/policy. Widerruf jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite.

TikTok-Pixel. Wir schalten auch Anzeigen auf TikTok. Dafür nutzen wir den TikTok-Pixel von TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland. Nur mit deiner Zustimmung(Klick auf „Akzeptieren“; Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021) lädt der Shop das Skript von TikTok. Ohne Zustimmung gibt es keine Verbindung zu TikTok. Mit Zustimmung setzt TikTok Cookies und erfährt: welche Seiten und Produkte du ansiehst, was du in den Warenkorb legst, Uhrzeit, Browser, Gerät, deine IP-Adresse, ob du über eine TikTok-Anzeige gekommen bist, und nach einem Kauf die Bestellnummer, den Betrag, die Währung, die gekauften Produkte sowie deine E-Mail-Adresse und Telefonnummer als Hash (SHA-256, nicht im Klartext). Bist du bei TikTok angemeldet, kann TikTok das deinem Konto zuordnen. Für das Erheben und Übermitteln an TikTok sind wir und TikTok gemeinsam verantwortlich (Art. 26 DSGVO). TikTok kann Daten auch außerhalb der EU verarbeiten, unter anderem in den USA, Singapur und China; dafür gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Die Cookies bleiben bis zu 13 Monate gespeichert. Mehr: tiktok.com/legal/privacy-policy. Widerruf jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite.

Eigene Besucherstatistik ohne Cookies. Damit wir wissen, wie viele Menschen den Shop besuchen, woher sie kommen (z. B. Google-Suche, Instagram, unsere Anzeige) und an welcher Stelle sie einen Kauf abbrechen, zählt der Shop auf unserem eigenen Server: aufgerufene Seite, Art des Schritts (z. B. „in den Warenkorb gelegt“), Gerätetyp, Sprache, die Seite, von der du kamst, und nach einem Kauf die Bestellnummer. Deine IP-Adresse und Browser-Kennung werden nur kurz zu einer zufällig wirkenden Kennung verrechnet, die jeden Tag wechselt, und nicht gespeichert. Auf deinem Gerät wird nichts gespeichert, und die Daten gehen an niemanden weiter (gespeichert bei unserem Datenbank-Anbieter, siehe Abschnitt 5). Rechtsgrundlage ist unser berechtigtes Interesse, den Shop zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Einträge löschen wir nach 13 Monaten.

Deinen Warenkorb speichern wir nur in deinem eigenen Browser (sogenannter „Local Storage“): welche Produkte und wie viele. Diese Angaben verlassen dein Gerät erst, wenn du zur Kasse gehst. Das ist für die Funktion des Warenkorbs unbedingt nötig (§ 165 Abs. 3 TKG 2021). Du kannst den Warenkorb jederzeit leeren oder die Website-Daten in deinem Browser löschen.

4. Schriftarten

Die Schriftarten werden von unserem eigenen Server ausgeliefert. Es gibt keine Verbindung zu Google Fonts oder anderen fremden Servern.

5. Bestellung

Wenn du bestellst, verarbeiten wir:

• Name, E-Mail-Adresse und – falls angegeben – Telefonnummer
• Liefer- und Rechnungsadresse (bei Abholung im Café keine Lieferadresse)
• Bestellte Produkte, Preise, Versandart, Bestellnummer und Zahlungsstatus
• Bei Versand: Sendungsnummer

Zweck ist die Abwicklung deines Kaufvertrags: Bestellung annehmen, Ware versenden oder zur Abholung bereitlegen, Rechnung stellen, Rückfragen, Widerruf und Gewährleistung (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Daten können wir die Bestellung nicht ausführen.

Die Bestelldaten liegen in unserer Datenbank bei Supabase (Supabase, Inc., USA) auf Servern von Amazon Web Services in Europa. Supabase ist in unserem Auftrag tätig (Art. 28 DSGVO). Für mögliche Zugriffe aus den USA gelten Standardvertragsklauseln der EU-Kommission.

6. Zahlung über Stripe

Für die Zahlung leiten wir dich zur Bezahlseite von Stripe weiter (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Dort gibst du deine Zahlungsdaten direkt ein. Wir bekommen keine vollständigen Karten- oder Kontodaten, sondern nur die Information, ob und wie bezahlt wurde.

Wir übermitteln Stripe die für die Zahlung nötigen Daten (Betrag, Bestellnummer, E-Mail-Adresse, Name, Adresse). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet Zahlungsdaten zum Teil als eigener Verantwortlicher, etwa zur Betrugsvorbeugung und zur Erfüllung gesetzlicher Pflichten. Auf der Bezahlseite setzt Stripe dafür eigene, technisch nötige Cookies.

Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework), unter dem Stripe zertifiziert ist; zusätzlich verwendet Stripe Standardvertragsklauseln. Mehr dazu: stripe.com/at/privacy.

Je nach gewählter Zahlungsart sind weitere Anbieter beteiligt, etwa deine Bank (EPS), Apple (Apple Pay) oder Google (Google Pay). Bei Zahlung mit Klarna gibt Stripe deine Daten an Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden, weiter. Klarna kann dabei eine Bonitätsprüfung durchführen; dafür gelten die Datenschutzhinweise von Klarna.

7. E-Mails zur Bestellung

Wir schicken dir E-Mails zu deiner Bestellung: Bestellbestätigung, Versand oder Abholung und gegebenenfalls Erstattung. Das gehört zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Werbung und Newsletter bekommst du nur, wenn du dich dafür eingetragen hast (Abschnitt 8).

Unsere E-Mails verschicken wir über unser Postfach bei Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) als Auftragsverarbeiter (Art. 28 DSGVO). Dabei werden deine E-Mail-Adresse und der Inhalt der E-Mail an Google übermittelt. Google kann Daten an Google LLC in den USA übermitteln; dafür gilt der Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework). Wir zählen weder Öffnungen noch Klicks.

8. Warteliste und Newsletter

Du kannst dich mit deiner E-Mail-Adresse in unsere Warteliste und unseren Newsletter eintragen. Dann bekommst du eine E-Mail, sobald der Shop offen ist, und danach ab und zu Neuigkeiten zu Matcha, neuen Produkten und Angeboten. Dafür speichern wir deine E-Mail-Adresse, die Sprache, den Zeitpunkt und den Text, dem du zugestimmt hast. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021).

Nach dem Eintragen schicken wir dir eine E-Mail mit einem Link zum Bestätigen (Double-Opt-In). Bestätigst du nicht, löschen wir die Adresse nach 7 Tagen. Bestätigte Adressen speichern wir, bis du dich abmeldest. Du kannst die Einwilligung jederzeit widerrufen: über den Abmelde-Link in jeder E-Mail oder per Nachricht an office@celinas.at. Dann löschen wir deine Adresse sofort. Für den Versand nutzen wir Google Workspace (siehe Abschnitt 7).

9. Versand

Für die Zustellung geben wir Name und Lieferadresse an die Österreichische Post AG (Rochusplatz 1, 1030 Wien) weiter. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

10. Kontaktaufnahme

Wenn du uns per E-Mail kontaktierst, verarbeiten wir die übermittelten Daten (z. B. Name, E-Mail-Adresse, Inhalt), um deine Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

11. Wie lange wir Daten speichern

• Bestell- und Rechnungsdaten: 7 Jahre ab Ende des Kalenderjahres, wegen der gesetzlichen Aufbewahrungspflicht (§ 132 BAO, § 212 UGB; Art. 6 Abs. 1 lit. c DSGVO). Darüber hinaus, solange Ansprüche aus dem Vertrag (z. B. Gewährleistung) geltend gemacht werden können.
• Warenkorb im Browser: bis du ihn leerst oder die Website-Daten löschst.
• Warteliste und Newsletter: unbestätigt 7 Tage, sonst bis du dich abmeldest.
• Zugriffsprotokolle mit IP-Adresse: bis sie überschrieben werden, derzeit etwa zwei bis drei Wochen.
• E-Mail-Anfragen: bis die Anfrage erledigt ist, außer gesetzliche Pflichten verlangen eine längere Aufbewahrung.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Schreib uns dazu an office@celinas.at.

Du kannst dich außerdem bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Stand: Oktober 2026 · Siehe auch Impressum und AGB.