Datenschutzerklärung

Stand: 30. April 2026

1. Worum es hier geht

Wenn du unsere Website besuchst oder bei uns bestellst, werden zwangsläufig Daten verarbeitet. Dieser Text erklärt in klaren Worten, was wir mit welchen Daten tun, wie lange wir sie speichern und welche Rechte du hast.

Wir verarbeiten nur das, was wir für den Betrieb unseres Shops wirklich brauchen. Tracking zu Werbezwecken findet nicht statt.

2. Wer ist verantwortlich

Verantwortlich im Sinne der DSGVO ist der Betreiber dieser Website. Die vollständigen Kontaktdaten findest du im Impressum. Einen externen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu gesetzlich nicht verpflichtet sind. Für alle Datenschutzfragen erreichst du uns unter info@bunkerlinge.org.

3. Deine Rechte

Du hast uns gegenüber die folgenden Rechte bezüglich deiner personenbezogenen Daten:

Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
Berichtigung falscher Daten (Art. 16 DSGVO)
Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung auf Grundlage unseres berechtigten Interesses (Art. 21 DSGVO)
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (baden-wuerttemberg.datenschutz.de).

Eine kurze Mail an info@bunkerlinge.org reicht. Wir antworten so schnell wie möglich, spätestens innerhalb eines Monats.

4. Beim Besuch der Website

4.1 Server-Logfiles

Bei jedem Seitenaufruf speichert unser Server automatisch:

IP-Adresse
Datum und Uhrzeit
Aufgerufene URL und Referrer
Browser, Betriebssystem

Diese Logs brauchen wir, um technische Fehler zu erkennen, Angriffe abzuwehren und den Betrieb sicherzustellen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Logs werden nach 14 Tagen automatisch gelöscht und nicht mit anderen Daten zusammengeführt.

4.2 Reichweitenmessung mit Matomo

Wir nutzen Matomo Analytics zur Reichweitenmessung. Matomo läuft auf unserem eigenen Server unter analytics.bunkerlinge.org – es findet keine Datenübermittlung an Dritte statt.

Verarbeitete Daten:

gekürzte IP-Adresse (die IP wird vor der Speicherung anonymisiert; eine Zuordnung zu einer Person ist damit ausgeschlossen)
aufgerufene Seite und Verweisseite (Referrer)
Datum und Uhrzeit
Browser, Betriebssystem, Bildschirmauflösung
Verweildauer auf der Seite

Wir verwenden Matomo bewusst cookielos: es werden keine Cookies gesetzt und keine personalisierten Profile gebildet. Die Do-Not-Track-Einstellung deines Browsers wird respektiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen, statistischen Auswertung des Nutzerverhaltens zur Verbesserung unseres Angebots).

4.3 Cookies

Wir setzen ausschließlich technisch notwendige Cookies. Tracking- oder Werbe-Cookies verwenden wir nicht:

PHPSESSID – Sitzungscookie für Warenkorb und Checkout. Wird beim Schließen des Browsers gelöscht.
age_gate – bestätigt deine Volljährigkeit für die laufende Browser-Sitzung.
_icl_current_language, wp-wpml_current_language – merken sich deine gewählte Sprache (Deutsch oder Englisch).
woocommerce_*, wp_woocommerce_session_* – werden nur im Checkout gesetzt und steuern Warenkorb, Zahlungsabwicklung und Bestelleingabe.

Diese Cookies sind für den Betrieb der Website zwingend erforderlich. Eine Einwilligung ist gemäß § 25 Abs. 2 Nr. 2 TTDSG nicht notwendig.

4.4 Altersprüfung

Unser Shop zeigt dir beim ersten Besuch eine Altersabfrage. Damit stellen wir sicher, dass unsere Inhalte nur für volljährige Besucher zugänglich sind. Die Prüfung erfolgt clientseitig über das Plugin „Age Gate“; es werden keine Daten an Dritte übertragen.

4.5 Schutz vor Bot-Zugriffen (Cloudflare Turnstile)

Unser Kontaktformular ist durch Cloudflare Turnstile gegen automatisierte Bot-Zugriffe geschützt. Turnstile prüft im Hintergrund, ob du ein Mensch bist – ohne Puzzles oder Bilderrätsel. Dabei werden technische Merkmale deines Browsers an Cloudflare, Inc. (USA) übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Die Übermittlung in die USA ist durch das EU-US Data Privacy Framework abgesichert. Datenschutz: cloudflare.com/privacypolicy

4.6 Hosting

Diese Website wird auf Servern der Infomaniak Network SA gehostet:

Anbieter: Infomaniak Network SA, 25 Rue Eugène-Marziano, 1227 Les Acacias / Genf, Schweiz
Server-Standort: Schweiz

Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (zuletzt bestätigt im Januar 2024). Eine Datenübermittlung in ein Drittland ohne angemessenes Schutzniveau findet nicht statt. Mit Infomaniak haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website). Datenschutz Infomaniak: infomaniak.com/en/legal-notice

5. Kontakt per Formular oder E-Mail

Wenn du uns über das Kontaktformular oder direkt per E-Mail schreibst, speichern wir deine Nachricht samt Absenderdaten (Name, E-Mail-Adresse) zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) oder lit. f (berechtigtes Interesse an Kommunikation).

Den gesamten E-Mail-Versand wickeln wir über ProtonMail (Proton AG, Schweiz) ab. Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission. Anfragen löschen wir, sobald sie erledigt sind und keine Aufbewahrungspflichten mehr bestehen – steuerrechtlich relevante Korrespondenz bleibt gemäß § 147 AO bis zu 10 Jahre gespeichert.

Bitte beachte: Standard-E-Mail ist nicht Ende-zu-Ende-verschlüsselt. Für sensible Themen stellen wir dir auf Anfrage einen PGP-Schlüssel bereit.

6. Bestellung im Shop

Bei uns bestellst du als Gast – ein Kundenkonto legen wir nicht an. Für die Abwicklung deiner Bestellung verarbeiten wir die Daten, die du im Checkout angibst: Name, Rechnungs- und Lieferadresse, E-Mail, optional Telefonnummer und die Zahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c (steuerrechtliche Pflichten).

6.1 Zahlung

SEPA-Banküberweisung: Du überweist direkt von deinem Bankkonto. Deine Kontoverbindung geht ausschließlich an deine Bank; wir erhalten nur die Information, dass dein Zahlungseingang gebucht wurde.
Kreditkarte / Debitkarte: Die Zahlung wird über Trust Payments Ltd. (London, UK) abgewickelt. Du gibst deine Kartendaten auf einer gesicherten Seite von Trust Payments ein – wir selbst sehen und speichern die Kartendaten nicht. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Datenschutz: trustpayments.com/privacy-policy

6.2 Versand

Für den Paketversand übergeben wir deine Lieferadresse an DHL (Deutsche Post AG). Die Erstellung von Versandetiketten und Tracking-Informationen erfolgt intern über das Plugin Shiptastic. Datenschutz DHL: dhl.de/datenschutz

6.3 Rechnung und Buchhaltung

Deine Rechnung wird automatisch erstellt und an unser Buchhaltungssystem Lexware Office (Haufe-Lexware GmbH & Co. KG, Freiburg) übertragen. Die Übermittlung erfolgt über eine verschlüsselte API. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrungspflichten). Datenschutz: lexware.de/datenschutz

6.4 Backup von Rechnungs-PDFs

Rechnungs- und Stornierungs-PDFs sichern wir zusätzlich bei Backblaze, Inc. Server-Standort ist Toronto (Kanada). Für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission, zuletzt bestätigt im Januar 2024.

Die Übertragung erfolgt verschlüsselt über HTTPS; Backblaze speichert die Dateien mit serverseitiger Verschlüsselung. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Sicherung steuerlich relevanter Belege). Datenschutz: backblaze.com/privacy.html

7. Löschung und Pseudonymisierung von Bestelldaten

Uns ist wichtig, dass deine Bestelldaten nicht länger gespeichert bleiben als nötig. Wir haben dafür einen automatischen Mechanismus, der über das hinausgeht, was gesetzlich gefordert ist:

Abgeschlossene Bestellungen: 7 Tage nach Abschluss – bei Auslandsversand 21 Tage wegen der längeren Zustellzeit – ersetzen wir automatisch Name, Adresse, E-Mail, Telefonnummer, IP-Adresse, Nutzungs- und Transaktionskennungen in der Bestellung durch den Platzhalter „[PSEUDONYMIZED]“. Nach der Pseudonymisierung lässt sich die Bestellung keiner natürlichen Person mehr zuordnen.
Stornierte Bestellungen: 3 Tage nach Stornierung.
Sendungsverfolgung: Tracking-Nummern werden 40 Tage nach Versand gelöscht.
Rechnungs- und Versandlabel-PDFs: Werden nach der Pseudonymisierung kryptographisch sicher vernichtet. Dabei wird die Datei mit einem Einmal-Schlüssel verschlüsselt (AES-256-GCM), der Schlüssel sofort aus dem Speicher entfernt und anschließend der SSD-TRIM-Befehl ausgelöst. Die Datei ist danach auch mit forensischen Mitteln nicht wiederherstellbar.

Steuerrechtlich relevante Belege (Rechnungen) müssen wir gemäß § 147 AO bis zu 10 Jahre aufbewahren. Diese Aufbewahrung betrifft ausschließlich die in Lexware Office gespeicherten Rechnungsdaten; sie ist unabhängig von der Pseudonymisierung in unserem Shop.

8. Bewertungen

Nach Erhalt deiner Bestellung kannst du uns über einen personalisierten Link eine Bewertung hinterlassen. Wir speichern dabei nur die Initialen deines Namens, den Bewertungstext, die Sterne-Anzahl und das Datum. Die Bewertungen liegen ausschließlich auf unserem Server. Eine Weitergabe an Trustpilot, Google oder andere Bewertungsplattformen findet nicht statt. Technisch basiert das Bewertungssystem auf dem Plugin „Site Reviews“ (Geminilabs). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Weitergabe an Dritte

Deine personenbezogenen Daten geben wir nur weiter, wenn:

du ausdrücklich eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO),
es zur Vertragserfüllung nötig ist, z. B. an Versanddienstleister und Zahlungsanbieter (Art. 6 Abs. 1 lit. b DSGVO), oder
wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

Eine Weitergabe zu Werbezwecken oder an Datenhändler findet nicht statt.

10. Sicherheit

Für den Betrieb unseres Shops setzen wir auf folgende Sicherheitsmaßnahmen:

Verschlüsselte Übertragung aller Daten per HTTPS
Serverseitiger Zugriff ausschließlich über SSH-Schlüsselpaar – kein Passwort-Login, kein Root-Login
IP-Sperrlisten und fail2ban zum automatischen Blockieren von Brute-Force- und Scanner-Angriffen (aktive Regelsätze für SSH, WordPress-Login, XML-RPC und Formularspam)
Automatische Installation der Debian-Sicherheitsupdates (unattended-upgrades, täglicher Lauf)
AppArmor als zusätzliche Prozess-Isolation
Regelmäßige Rootkit-Prüfung mit rkhunter
Verschlüsselte Cloud-Sicherung der Rechnungs-PDFs (siehe Abschnitt 6.4)

11. Unerwünschte Werbung

Die Nutzung der im Impressum veröffentlichten Kontaktdaten zum Versand nicht ausdrücklich angeforderter Werbung ist untersagt. Bei Zuwiderhandlung behalten wir uns rechtliche Schritte vor.

12. Änderungen dieser Datenschutzerklärung

Wenn sich rechtliche Vorgaben oder unsere Verarbeitungen ändern, passen wir diese Erklärung an. Maßgeblich ist immer die aktuell auf dieser Seite veröffentlichte Version.