Stand: 5. November 2026
Hier erfährst du, welche personenbezogenen Daten Planet Tree beim Besuch des Shops, beim Gestalten und Bestellen, im Kundenservice und für Werbung verarbeitet. Diese Hinweise gelten für planet-tree.de und unsere damit verbundenen Zertifikat-, Newsletter-, Support- und Geschäftskundenfunktionen auf partner.planet-tree.de.
Cookie-Einstellungen ändern · Datenschutzanfrage stellen · Deine Rechte
1. Wer verantwortlich ist
Planet Tree GmbH & Co. KG
Nicolaystr. 3, 63457 Hanau, Deutschland
E-Mail: kontakt@planet-tree.de
Telefon: +49 6181 3698244-0
Du kannst uns unter diesen Kontaktdaten auch zu Datenschutzfragen, einem Widerruf oder einer Löschungsanfrage erreichen.
2. Welche Daten wir wofür benötigen
Wir erhalten Daten von dir, etwa bei einer Bestellung, einer Nachricht oder der Gestaltung eines Geschenks. Technische Daten entstehen beim Aufruf unserer Dienste. Bei Geschenken können uns Bestellende Namen, Widmungen, Bilder und Lieferadressen anderer Personen mitteilen. Zahlungs-, Versand- und Shopdienstleister übermitteln uns außerdem den jeweiligen Bearbeitungsstatus. Bitte gib Daten anderer Personen nur an, wenn du sie für diesen Zweck verwenden darfst, und informiere sie über unsere Hinweise.
Die Rechtsgrundlage richtet sich nach dem Zweck: Art. 6 Abs. 1 lit. b DSGVO für Verträge und von dir gewünschte vorvertragliche Leistungen; lit. c für gesetzliche Pflichten; lit. a für freiwillige Einwilligungen; lit. f für berechtigte Interessen, die wir beim jeweiligen Zweck erläutern. Daten zu beschenkten Personen und geschäftlichen Ansprechpartnern verarbeiten wir insbesondere auf Grundlage unseres berechtigten Interesses, den erteilten Auftrag auszuführen. Als erforderlich gekennzeichnete Bestell- und Kontaktdaten werden für die jeweilige Leistung benötigt. Ohne sie können wir eine Bestellung oder Anfrage gegebenenfalls nicht bearbeiten. Analyse- und Werbeeinwilligungen sind freiwillig.
3. Shop, Hosting und technische Bereitstellung
Unser Shop wird mit Shopify betrieben (Shopify International Limited, Irland, mit verbundenen Unternehmen unter anderem in Kanada und den USA). Shopify verarbeitet insbesondere Kontakt-, Konto-, Bestell-, Zahlungs-, Geräte- und Verbindungsdaten, um den Shop, den Checkout und die Bestellabwicklung bereitzustellen und vor Missbrauch zu schützen. Dabei gelten je nach Zweck Art. 6 Abs. 1 lit. b und f DSGVO. Für Shopify-Dienste in eigener Verantwortung, etwa die Betrugsprävention und bestimmte übergreifende Dienste, gelten ergänzend die Shopify-Datenschutzhinweise für Verbraucher. Die Rollen und internationalen Übermittlungen erläutert der Shopify-Datenverarbeitungszusatz.
Unsere eigene Anwendung für Zertifikate, Kundenservice, Newsletter und das B2B-Portal wird bei Hetzner Online GmbH, Deutschland, betrieben. Beim Zugriff werden IP-Adresse, Zeitpunkt, angeforderte Adresse, Browser-/Geräteinformationen, übertragene Datenmenge und technische Statusinformationen verarbeitet. Das dient der Auslieferung, Fehlerbehebung sowie der Abwehr von Angriffen und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Informationen: Hetzner-Datenschutz.
Für gestaltete Seiten und die Auslieferung von Bildern, Skripten und anderen statischen Dateien nutzen wir Shopify sowie eingebundene Auslieferungsnetze, darunter Cloudflare, jsDelivr und unpkg. Beim Abruf erhalten die jeweiligen Auslieferungsdienste technisch bedingt Verbindungsdaten wie IP-Adresse, Browser und angeforderte Datei. Grundlage ist unser berechtigtes Interesse an einer zuverlässigen, sicheren und zügigen Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Weitere Angaben: Cloudflare, jsDelivr.
Formular- und Sicherheitsfunktionen von Shopify können hCaptcha einsetzen. Dabei werden Geräte-, Verbindungs- und Interaktionsdaten zur Unterscheidung menschlicher Eingaben von automatisiertem Missbrauch ausgewertet. Anbieter ist Intuition Machines, Inc., USA. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO; erforderliche Zugriffe auf das Endgerät richten sich nach § 25 Abs. 2 TDDDG. Datenschutzhinweise zu hCaptcha.
4. Cookies, lokale Speicherung und deine Auswahl
Wir verwenden Cookies und vergleichbare Speichertechniken wie Local Storage und Session Storage. Erforderliche Speicherungen ermöglichen insbesondere Warenkorb, Anmeldung, Sicherheit, deine Datenschutz-Auswahl und die von dir verwendete Zertifikatgestaltung. Der Zugriff auf das Endgerät beruht hierbei auf § 25 Abs. 2 TDDDG; für die weitere Verarbeitung gelten die beim jeweiligen Zweck genannten Rechtsgrundlagen.
Unser eigener Banner bietet drei freiwillige Kategorien: Analyse zur Auswertung der Shopnutzung, Marketing zur Werbemessung und Personalisierung sowie Optionale Inhalte für zusätzliche externe Einbettungen. Diese beruhen auf deiner Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Manche über Shopify eingebundene Werbepixel benötigen sowohl die Analyse- als auch die Marketing-Freigabe.
Wenn du alle freiwilligen Kategorien ablehnst („Nur notwendige“), bleiben sie ausgeschaltet. Einkaufen, Warenkorb und die grundlegende Zertifikatgestaltung bleiben nutzbar. Du kannst deine Auswahl jederzeit über Cookie-Einstellungen ändern oder widerrufen. Der Widerruf wirkt für die Zukunft; bereits rechtmäßig erfolgte Verarbeitungen bleiben davon unberührt. Deine Entscheidung wird mit Shopifys Datenschutzfunktion gespeichert und an die entsprechenden Integrationen weitergegeben. Zusätzlich speichern wir deine Auswahl (nur Ja/Nein je Kategorie und das Datum) bis zu zwölf Monate im lokalen Speicher deines Browsers. Geht die bei Shopify gespeicherte Auswahl technisch verloren, wird so deine eigene frühere Entscheidung wiederhergestellt, statt dich erneut zu fragen. Dieser Zugriff ist für die Speicherung deiner Datenschutz-Auswahl erforderlich (§ 25 Abs. 2 TDDDG). Die Auswahl gilt für den jeweiligen Browser. Bei gelöschtem Browserspeicher oder einem anderen Gerät kann eine neue Auswahl erforderlich sein.
Neue, erfolgreich gespeicherte Cookie-Auswahlen zählen wir außerdem als zusammengefasste Tageszahlen (Zustimmung, Ablehnung oder individuelle Auswahl). Diese Zählung enthält keine Besucher- oder Sitzungskennung und wird nicht mit Bestellungen oder Nutzungsverläufen verknüpft. Die Tageszahlen bewahren wir bis zu 90 Tage auf. Die technische Verarbeitung zur Entgegennahme und Absicherung der Zählung erfolgt in unserer eigenen Anwendung bei Hetzner auf Grundlage unseres berechtigten Interesses, die Funktionsfähigkeit und Nutzung der Datenschutz-Auswahl zu prüfen (Art. 6 Abs. 1 lit. f DSGVO).
5. Zertifikate, Entwürfe und personalisierte Geschenke
Für deine Gestaltung verarbeiten wir die eingegebenen Namen, Widmungen, Grußtexte, ausgewählten Motive, Baum- und Geschenkoptionen sowie freiwillig hochgeladene Bilder oder Logos. Entwürfe und ihre Kennungen werden je nach Funktion lokal im Browser und in unserer eigenen Anwendung gespeichert. Daraus erstellen wir Vorschauen, Druckdateien und digitale Zertifikate und ordnen sie deinem Warenkorb bzw. deiner Bestellung zu. Im Geschäftskundenportal kommen Firmen- und Ansprechpartnerdaten sowie wiederverwendbare Absender- und Logovorlagen hinzu. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. bei Daten anderer Personen das in Abschnitt 2 genannte Interesse.
Fertige Zertifikate und zugehörige Gestaltungsdaten bleiben für einen späteren Abruf, Korrekturen und den Kundenservice gespeichert. Sie werden derzeit nicht automatisch nach Abschluss der Bestellung gelöscht; es besteht dafür keine feste automatische Löschfrist. Du kannst die Löschung anfordern. Wir prüfen dann, welche Inhalte gelöscht werden können und welche Belege wegen gesetzlicher Pflichten oder konkreter Ansprüche noch benötigt werden. Die Aufbewahrung eines Rechnungsbelegs erfordert nicht automatisch die weitere Speicherung jedes hochgeladenen Bildes. Entwürfe kannst du über die angebotenen Funktionen entfernen; lokalen Browserspeicher kannst du zusätzlich selbst löschen.
Virtueller Wald
Mit deinem Zertifikat oder deiner Baum-Botschaft kannst du dir freiwillig einen Platz in unserem virtuellen Wald aussuchen. Dafür speichern wir den gewählten Platz zusammen mit dem Zertifikat-Code und, nur wenn du das auswählst, den von dir eingegebenen Namen. Dieser Name ist dann für alle Besucher des Waldes sichtbar (Art. 6 Abs. 1 lit. a DSGVO). Du kannst Name und Platz jederzeit über deinen Link ändern oder entfernen. Der Platz ist virtuell und zeigt nicht den Standort des echten Baums. Firmen erscheinen im Wald nur mit Angaben, die auf ihrer öffentlichen Partnerseite stehen (Name, Logo, Baumzahl). Erhältst du einen Baum über einen Link einer Firma, kannst du dir einen Platz im Wald dieser Firma aussuchen.
Bäume im virtuellen Wald lassen sich außerdem schmücken, etwa mit eingeritzten Initialen, Stickern, Tieren oder einer Bank. Diese Verzierungen sind für alle Besucher sichtbar. Wir speichern sie mit dem Baum, an dem sie hängen, aber ohne deinen Namen oder deine Kontaktdaten. Freie Texte sind nicht möglich; Initialen sind auf wenige Zeichen begrenzt und werden gefiltert. Wir können Verzierungen entfernen, etwa bei Missbrauch. Grundlage ist unser berechtigtes Interesse, den gemeinsamen Wald bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO).
Damit du deinen Baum wiederfindest und eigene Verzierungen wieder entfernen kannst, merkt sich dein Browser im lokalen Speicher die Lage deines Baums und die Kennungen deiner Verzierungen. Bei Baum-Links einer Firma speichert er eine zufällige Kennung, damit ein Link nur einmal einen Platz belegt. Diese Speicherungen sind für die von dir genutzte Funktion erforderlich (§ 25 Abs. 2 TDDDG); du kannst sie über deinen Browser löschen. Zur Abwehr von Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse. Die IP-Adresse wird dafür nur kurzzeitig verarbeitet und nicht mit deinem Platz gespeichert.
Baum-Botschaft
Zu einem Baum kannst du eine digitale Überraschung verschicken, die Baum-Botschaft. Dafür kannst du freiwillig einen Brief, ein Foto, eine Sprachnachricht oder ein Video hinzufügen. Wir speichern diese Inhalte in unserer eigenen Anwendung bei Hetzner. Fotos und Videos speichern wir ohne die darin enthaltenen Metadaten wie Aufnahmeort, Sprachnachrichten und Videos wandeln wir in ein einheitliches Format um. Die Inhalte sind für alle sichtbar, die den Link zur Überraschung kennen. Teile den Link deshalb nur mit der beschenkten Person. Für ein Teilen-Video erstellen wir aus der Überraschung auf unserem Server ein Video. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Inhalte zu anderen Personen das in Abschnitt 2 genannte Interesse.
Damit die Überraschung die beschenkte Person richtig anspricht, werten wir die eingegebenen Namen aus, zum Beispiel ob „du“ oder „ihr“ passt (siehe Abschnitt 6). Die beschenkte Person kann dem Baum einen Namen geben und sich einen Platz aussuchen. Wir erfassen außerdem, ob eine Überraschung verschickt, geöffnet und bis zum Ende angesehen wurde. Dafür setzen wir keine Cookies. Damit wir das Öffnen durch die schenkende Person selbst erkennen können, speichern wir statt der IP-Adresse nur einen Prüfwert, der sich täglich ändert. Das dient der Prüfung, ob der Versand funktioniert, und der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).
Geschäftskunden: Zertifikate, Baum-Links und Versand an Empfänger:innen
Firmen können in unserem Geschäftskundenportal Namen, Anrede und E-Mail-Adressen von Empfänger:innen angeben, etwa von Beschäftigten oder Kund:innen. Damit erstellen wir personalisierte Zertifikate und Baum-Links und versenden auf Wunsch E-Mails im Namen der Firma. Den E-Mail-Versand übernimmt Postmark (siehe Abschnitt 8). Diese E-Mails enthalten keine Öffnungs- oder Klickverfolgung. Die Firma sieht im Portal, ob eine E-Mail zugestellt wurde oder nicht zustellbar war, und ob ein Baum-Link geöffnet und ein Baum gepflanzt wurde. Grundlage ist die Ausführung des Auftrags der Firma (Art. 6 Abs. 1 lit. b DSGVO gegenüber der Firma, für die Empfänger:innen unser berechtigtes Interesse nach Abschnitt 2). Die Firma ist dafür verantwortlich, diese Daten an uns weitergeben zu dürfen.
E-Mail-Adressen und Inhalte dieser Mails löschen wir spätestens 120 Tage nach dem Versand. Nach Abschluss eines Projekts kann die Firma die personenbezogenen Daten des Projekts im Portal selbst löschen. Dabei bleiben nur Angaben erhalten, die für die Baumpflanzung, das Zertifikat ohne Namen und die Rechnung nötig sind. Gesetzlich aufzubewahrende Belege und bereits erstellte Rechnungen bleiben bestehen. Aus unseren Datensicherungen werden gelöschte Daten mit dem regelmäßigen Überschreiben der Sicherungen entfernt, spätestens nach zwölf Monaten.
6. KI-Funktionen und Kundenservice
Unsere Gestaltung verwendet die OpenAI-API (OpenAI Ireland Limited, Irland, mit Verarbeitung durch verbundene Unternehmen und Dienstleister auch außerhalb des EWR). Bei KI-Text- und Motivfunktionen, etwa für Grußkarten, können die dafür verwendeten Stichworte, Namen, Anlässe, Texte und gegebenenfalls Bilder übertragen werden. Auch namensbezogene Gestaltungsvorschläge und die passende Anrede in der Baum-Botschaft können eine KI-Auswertung der eingegebenen Namen einbeziehen. Solche Vorschläge können unzutreffend sein und lassen sich bei der Gestaltung ändern. Die Verarbeitung dient den angebotenen Gestaltungsfunktionen und der Ausführung deiner Anfrage (Art. 6 Abs. 1 lit. b DSGVO); bei unterstützenden Vorschlagsfunktionen unserem Interesse an einer bedienbaren, hilfreichen Gestaltung (Art. 6 Abs. 1 lit. f DSGVO).
Unsere Support-Anwendung verwendet KI zur Zuordnung und Bearbeitung von Anfragen, zum Erstellen von Antwortentwürfen und zur Korrektur angefragter Dokumente. Dafür nutzen wir den KI-Dienst von Anthropic (Anthropic Ireland, Limited, Irland, mit Verarbeitung durch Anthropic PBC, USA). Dabei können relevante Nachrichten, Anhänge und zugehörige Kunden-, Bestell- und Zertifikatsdaten übermittelt werden. Sprachnachrichten werden mit Hilfe der OpenAI-API in Text umgewandelt. Antworten an dich prüft und versendet ein Mensch aus unserem Team. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, ansonsten unser berechtigtes Interesse an einer zügigen und sachgerechten Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dich jederzeit direkt per E-Mail an unser Team wenden.
OpenAI und Anthropic verwenden Inhalte aus der API-Nutzung nach ihren Standardbedingungen für Geschäftskunden nicht zum Training ihrer Modelle. Je nach Funktion können Inhalte und technische Protokolle beim Anbieter gespeichert werden, etwa für die Bearbeitung und Missbrauchsabwehr. Weitere Angaben zu Verarbeitung, Speicherfristen und Übermittlungsgrundlagen findest du in den Datenschutzhinweisen und Datenverarbeitungsbedingungen von OpenAI und Anthropic.
Bei Kontakt per Formular, E-Mail oder Telefon bearbeiten wir deine Kontaktdaten, dein Anliegen und relevante Vorgangsdaten. Für E-Mails nutzen wir Microsoft 365/Outlook und für die Bearbeitung unsere eigene Support-Anwendung. Dabei werden die für den jeweiligen Vorgang erforderlichen Kontakt-, Nachrichten- und Bestelldaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, ansonsten unser berechtigtes Interesse an einer zuverlässigen Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO). Informationen zur E-Mail-Verarbeitung: Microsoft. Zur KI-Unterstützung siehe Abschnitt 6.
Wenn du uns über WhatsApp oder unsere Social-Media-Profile kontaktierst, verarbeiten wir die dort übermittelten Profil-, Kontakt- und Nachrichtenangaben zur Beantwortung. Die Plattformbetreiber verarbeiten Daten zusätzlich nach ihren eigenen Bedingungen. Für WhatsApp ist dies WhatsApp Ireland Limited; weitere Informationen stehen in der WhatsApp-Datenschutzerklärung.
Wenn du es im Warenkorb oder auf der Bestellseite auswählst, schicken wir dir Informationen zu deiner Bestellung per WhatsApp, etwa Bestellbestätigung, Rechnung, Zertifikate und den Versandstatus. Dafür speichern wir deine Telefonnummer, deine Auswahl mit Zeitpunkt und Textversion sowie die verschickten Nachrichten und ihren Zustellstatus. Den Versandstatus fragen wir mit der Sendungsnummer bei DHL bzw. Deutsche Post ab. Der Versand erfolgt über die WhatsApp Business Plattform von Meta (WhatsApp Ireland Limited). Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen, etwa indem du STOP antwortest.
7. Bestellung, Zahlung, Versand und Buchhaltung
Für Bestellungen und Kundenkonten verarbeiten wir insbesondere Name, Anschrift, E-Mail, gegebenenfalls Telefonnummer und Firma, bestellte Leistungen, Personalisierungen, Zahlungsstatus und Kommunikation. Das dient der Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Bei Geschäftskunden verarbeiten wir außerdem die für Portalzugang und betriebliche Abwicklung benötigten Ansprechpartner- und Firmendaten.
Zahlungen werden je nach gewählter Methode über Shopify Payments oder PayPal abgewickelt. Über Shopify Payments stehen unter anderem Kartenzahlungen, Apple Pay, Google Pay, Klarna und regionale Zahlungsverfahren zur Verfügung; die konkrete Auswahl hängt vom Checkout und dem jeweiligen Markt ab. Die beteiligten Zahlungsdienste erhalten die für die Zahlung, Authentifizierung, Betrugsabwehr und gegebenenfalls Bonitätsprüfung benötigten Transaktions- und Kundendaten. Grundlage unserer Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO. Zahlungsdienste können Daten für eigene gesetzliche und vertragliche Aufgaben verarbeiten; Einzelheiten einschließlich automatisierter Prüfungen erläutern Shopify, PayPal, Klarna, Apple und Google.
Für die Lieferung geben wir die notwendigen Empfänger-, Adress- und Sendungsdaten an DHL/Deutsche Post weiter. Für digitale Leistungen werden die benötigten Zustell- und Abrufdaten verarbeitet. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO. Datenschutzhinweise von DHL.
Bestellabläufe unterstützen Shopify Flow und Order Automator; für die Buchhaltung ist DATEV Buchhaltungsexport Pro von pathway solutions angebunden. Dabei werden je nach Aufgabe Bestell-, Kontakt-, Rechnungs- und Steuerdaten verarbeitet. Empfänger können unsere Steuerberatung, DATEV, Banken und zuständige Behörden sein. Grundlage sind die Vertragsabwicklung, gesetzliche Buchführungs- und Steuerpflichten (Art. 6 Abs. 1 lit. b und c DSGVO) sowie unser Interesse an einer zuverlässigen internen Organisation (lit. f).
Weitere eingebundene Shopfunktionen dienen dem B2B-Zugang (Wholesale Lock und unser eigenes Portal), der Anzeige von Zahlungsmethoden (HidePay) und Bestandsmeldungen (iAlert). Produktfeeds werden über Simprosys bereitgestellt; Zapier unterstützt verbundene Arbeitsabläufe. Je nach Funktion werden technische Nutzungsdaten, Kontozuordnungen oder die für den Vorgang erforderlichen Bestelldaten verarbeitet. Rechtsgrundlage ist der jeweilige in dieser Erklärung beschriebene Zweck. Die Installation einer App ersetzt keine für Analyse oder Werbung erforderliche Einwilligung.
8. Waldpost und Newsletter
Mit deiner Einwilligung senden wir dir Waldpost mit Neuigkeiten, Geschenkideen und Angeboten, einschließlich einer Willkommensserie (Art. 6 Abs. 1 lit. a DSGVO). Neue Anmeldungen werden per Bestätigungslink bestätigt (Double Opt-in), auch wenn die Anmeldung aus dem Shopify-Checkout übernommen wird. Wir speichern E-Mail-Adresse, Anmeldequelle, Einwilligungstext und -version, Anmelde- und Bestätigungszeitpunkte sowie einen kryptografisch abgeleiteten IP-Nachweis. Der Nachweis und die Missbrauchsabwehr beruhen auf Art. 6 Abs. 1 lit. f DSGVO.
Die Verwaltung erfolgt in unserer eigenen Anwendung bei Hetzner; der Versand über Postmark (ActiveCampaign, LLC, USA). Dabei werden Empfängeradresse, Mailinhalt und Zustell-, Fehler- und Abmeldedaten verarbeitet. Unsere Waldpost verwendet keine Öffnungs- oder Klickverfolgung. Bestätigte Newsletter- und Abmeldestatus werden mit Shopify abgeglichen. Für einen angebotenen Willkommensrabatt kann geprüft werden, ob zu deiner Adresse bereits eine Bestellung vorliegt.
Du kannst dich jederzeit über den Link in jeder Newsletter-Mail oder per Nachricht an uns abmelden. Unbestätigte neue Anmeldungen werden nach sieben Tagen gelöscht. Nach der Abmeldung bleiben Nachweise zur Abwehr möglicher Ansprüche bis zu drei Jahre gespeichert; notwendige Sperrinformationen verhindern einen erneuten unerwünschten Versand. Näheres einschließlich der Übermittlung in die USA: Datenschutz zur Waldpost und Postmark EU-Datenschutzhinweise.
9. Analyse der Shopnutzung
Mit deiner Analyse-Einwilligung verwenden wir unsere eigene Planet-Tree-Analyse sowie Shopify-Analysefunktionen und Google Analytics 4. Dabei können besuchte Seiten, Zeitpunkt, Herkunftsseite, Kampagneninformationen, Geräte-/Browserdaten, IP-Adresse, pseudonyme Besucher- und Sitzungskennungen sowie Interaktionen mit Produkten, Gestaltung, Warenkorb und Checkout verarbeitet werden. Ziel ist, Nutzung und technische Probleme zu verstehen und den Shop zu verbessern. Grundlage ist Art. 6 Abs. 1 lit. a DSGVO und für entsprechende Endgerätezugriffe § 25 Abs. 1 TDDDG.
Bei unserer eigenen Analyse erfassen wir beispielsweise, dass eine Namenseingabe begonnen oder abgeschlossen wurde, die Feldart und die Länge der Eingabe. Das Analyseereignis enthält nicht den eingegebenen Namen oder Widmungstext. Die Daten zur eigentlichen Gestaltung werden getrennt nach Abschnitt 5 verarbeitet. Einzelereignisse unserer eigenen Analyse werden bis zu 180 Tage aufbewahrt; zusammengefasste Auswertungen können länger bestehen. Pseudonyme Kennungen sind nicht gleichbedeutend mit anonymen Daten.
Google Analytics wird von Google Ireland Limited, Irland, unter Einbindung der Google-Unternehmensgruppe betrieben. Google erhält die über die eingebundene Messfunktion erhobenen Nutzungs- und Gerätedaten. Ergänzende Informationen stehen in den Google-Datenschutzhinweisen. Du kannst die Analyse über unsere Cookie-Einstellungen widerrufen.
Für unsere interne betriebswirtschaftliche Auswertung fassen wir außerdem Bestellungen, Umsätze und Erstattungen nach Kampagnen beziehungsweise Anzeigen zusammen. Dafür verwenden wir Kampagnenangaben, die bereits an der jeweiligen Shopify-Bestellung vorhanden sind, sowie gegebenenfalls rechtmäßig erhobene Analyseangaben. Grundlage dieser internen Auswertung ist unser berechtigtes Interesse, Werbeausgaben und Verkaufserfolg nachvollziehen zu können (Art. 6 Abs. 1 lit. f DSGVO). Für diese Auswertung setzen wir keine zusätzlichen Cookies oder Gerätekennungen; aus einer Ablehnung entsteht kein neuer Besucherverlauf. Fehlen verlässliche Angaben oder widersprechen sie sich, bleibt eine Bestellung unzugeordnet. Die Auswertungen enthalten zusammengefasste Zahlen statt Kunden- oder Bestelldetails und werden nicht als zusätzliche Kaufereignisse an Werbeanbieter übertragen. Hinweise zu deinem Widerspruchsrecht findest du in Abschnitt 14.
Damit wir nachvollziehen können, über welchen Weg eine Bestellung zu uns gefunden hat, merkt sich der Shop beim Aufruf für die Dauer des geöffneten Browser-Tabs (Session Storage) einige Angaben zur Herkunft: die in der aufgerufenen Adresse enthaltenen Kampagnenangaben (utm_source, utm_medium, utm_campaign), ob die Adresse eine Klickkennung eines Werbedienstes enthielt (nur deren Art, z. B. „gclid“ oder „fbclid“, nicht deren Wert), den Namen der verweisenden Website, die Einstiegsseite, das Datum, deine Cookie-Auswahl sowie die Geräteart (Handy, Tablet oder Computer), das Betriebssystem und ob du einen normalen Browser oder den Browser einer App wie Instagram nutzt. Liegt ein Artikel im Warenkorb, werden diese Angaben als ausgeblendeter Warenkorbhinweis übernommen und gelangen so in die Bestellung. Das geschieht unabhängig von deiner Cookie-Auswahl, enthält keine Besucher- oder Gerätekennung, wird nicht an Werbeanbieter übermittelt und dient ausschließlich der oben beschriebenen internen Auswertung (Art. 6 Abs. 1 lit. f DSGVO; der Zugriff auf den Browserspeicher erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG im Zusammenhang mit dem von dir genutzten Warenkorb). Die Angaben werden mit der Bestellung nach den dafür geltenden Fristen aufbewahrt. Du kannst dieser Verarbeitung nach Abschnitt 14 widersprechen.
10. Werbemessung und personalisierte Werbung
Mit deiner Marketing-Einwilligung messen wir Werbeerfolge, ordnen Besuche und Bestellungen Kampagnen zu und bilden Zielgruppen für interessenbezogene Werbung. Hierzu verwenden wir Pixel, Tags und teilweise serverseitige Ereignisübermittlungen. Verarbeitet werden je nach Integration aufgerufene Seiten, Produkte, Interaktionen, Warenkorb-/Kaufereignisse, Bestellwert und Währung, Zeitpunkte, IP-Adresse, Browserdaten sowie Cookie-, Klick- und Ereigniskennungen. Unterstützte Abgleichfunktionen der Shopintegrationen können außerdem Kontaktangaben wie E-Mail-Adressen in gehashter Form übertragen. Auch gehashte Daten können personenbezogen sein.
Die Werbepartner können diese Angaben mit Informationen aus ihren eigenen Diensten verbinden, insbesondere wenn du dort angemeldet bist. Für diese Zwecke gilt Art. 6 Abs. 1 lit. a DSGVO und für Endgerätezugriffe § 25 Abs. 1 TDDDG. Eine Ablehnung wird nicht durch eine serverseitige Übermittlung ersetzt. Die folgenden Partner sind im Shop angebunden:
Kommst du über eine Anzeige zu uns, enthält die Adresse oft eine Klickkennung des Werbedienstes. Erst wenn du Marketing freigibst, speichern wir sie bis zu 90 Tage in deinem Browser und übernehmen sie in deinen Warenkorb, damit eine spätere Bestellung der richtigen Anzeige zugeordnet werden kann. Ziehst du die Freigabe zurück, löschen wir diese Angaben aus Browser und Warenkorb. Serverseitige Ereignisübermittlungen an die Werbepartner laufen zum Teil über den Dienst wetracked.io und nur mit deiner Marketing-Einwilligung.
Ohne Marketing-Einwilligung sendet dein Browser beim Seitenaufruf und nach einem Kauf ein Signal ohne Cookies und ohne Werbe- oder Klickkennungen an Google (Google Consent Mode). Es enthält die aufgerufene Seite, beim Kauf Bestellwert, Währung und Bestellnummer sowie technisch bedingt deine IP-Adresse und Browserdaten. Google nutzt diese Signale nur zusammengefasst, um die Wirkung von Werbung zu schätzen, und ordnet sie nach eigenen Angaben keinem Profil zu. Grundlage ist unser berechtigtes Interesse, die Wirtschaftlichkeit unserer Werbung zu beurteilen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst nach Abschnitt 14 widersprechen.
- Google Ads und Google-Tags – Google Ireland Limited, Irland / Google LLC, USA: Conversion-Messung, Kampagnenzuordnung und Remarketing. Datenschutz.
- Meta (Facebook und Instagram) – Meta Platforms Ireland Limited, Irland / Meta Platforms, Inc., USA: Meta-Pixel und Conversions API zur Ereignismessung und Zielgruppenbildung. Datenschutz; für die gemeinsam verantwortete Erhebung und Übermittlung gelten die Meta-Zusatzbedingungen. Deine Rechte kannst du bei uns und bei Meta geltend machen.
- TikTok – TikTok Technology Limited, Irland, und TikTok Information Technologies UK Limited, Vereinigtes Königreich: Pixel-/Ereignismessung und Werbezuordnung. Datenschutz.
- Microsoft Advertising – Microsoft Ireland Operations Limited, Irland / Microsoft Corporation, USA: Universal Event Tracking (UET), Conversion-Messung und Remarketing, angebunden unter anderem über Conversios. Datenschutz.
- Pinterest – Pinterest Europe Ltd., Irland / Pinterest, Inc., USA: Tag und Conversion-Messung für Pinterest-Werbung. Datenschutz.
- Reddit – Reddit, Inc., USA und die zuständige europäische Konzerngesellschaft: Ereignismessung und Zuordnung zu Reddit-Werbung. Datenschutz.
- Taboola – Taboola Europe Limited, Vereinigtes Königreich, und verbundene Unternehmen unter anderem in Israel und den USA: Pixel, Conversion-Messung und interessenbezogene Werbung. Datenschutz.
Ein Widerruf über Cookie-Einstellungen stoppt die entsprechende künftige Verarbeitung aus unserem Shop. Bei Daten, die Anbieter bereits in eigener Verantwortung verarbeiten, kannst du zusätzlich die Datenschutz- und Werbeeinstellungen des jeweiligen Anbieters nutzen.
11. Karten, Videos, Schriften und Bewertungen
Einige Seiten enthalten Google Maps, Vimeo-/YouTube-Videos oder extern geladene Google-Schriften. Optionale externe Einbettungen werden über „Optionale Inhalte“ freigegeben. Beim Laden erhalten die Anbieter insbesondere IP-Adresse, Browser-/Geräteinformationen, die besuchte Seite und gegebenenfalls Interaktionsdaten. Bestehende Nutzerkonten oder Cookies können eine Zuordnung ermöglichen. Grundlage der optionalen Einbindung ist Art. 6 Abs. 1 lit. a DSGVO, bei Endgerätezugriffen zusätzlich § 25 Abs. 1 TDDDG.
OpenStreetMap-Karten zeigen unsere Büro- und Pflanzstandorte und werden auch bei „Nur notwendige“ geladen. Dazu ruft dein Browser Kartenkacheln von OpenStreetMap ab. Der Kartenanbieter erhält dabei insbesondere deine IP-Adresse sowie technische Browser- und Verbindungsdaten. Die Kartenfreigabe aktiviert keine Analyse- oder Werbedienste von Planet Tree; deine Auswahl für diese Dienste gilt weiterhin.
Anbieterinformationen: Google (Maps, YouTube und Schriften), Vimeo, USA, OpenStreetMap Foundation, Vereinigtes Königreich. Ein normaler Link zu einer externen Karte oder einem Social-Media-Profil überträgt erst beim Aufruf des Ziels Daten an dessen Betreiber.
Wir zeigen außerdem öffentliche Bewertungen und Bewertungskennzahlen, unter anderem aus Google. Eine Veröffentlichung umfasst den jeweils öffentlich verwendeten Namen, Bewertungstext und die Bewertung. Für die Darstellung nutzen wir eigene Shopinhalte und die angebundene App Google Reviews Trust Badges HP. Rechtsgrundlage ist unser Interesse an nachvollziehbaren Kundenbewertungen (Art. 6 Abs. 1 lit. f DSGVO). Eine gesondert angebotene Bewertungsanfrage wird auf Grundlage der dafür erteilten Einwilligung versandt.
12. Empfänger und internationale Übermittlungen
Innerhalb von Planet Tree erhalten die mit dem jeweiligen Vorgang befassten Personen Zugriff. Hinzu kommen die oben genannten technischen, Zahlungs-, Versand-, Kommunikations- und Buchhaltungsdienstleister. Soweit sie als Auftragsverarbeiter handeln, verarbeiten sie Daten für die vereinbarten Aufgaben; Zahlungsdienste und Plattformanbieter können daneben eigenständig verantwortlich sein.
Bei internationalen Anbietern sind Verarbeitungen außerhalb der EU bzw. des EWR möglich, insbesondere in den USA, Kanada, dem Vereinigten Königreich und – je nach Anbieter und Unterauftragnehmer – weiteren Ländern. Für Empfänger in Ländern oder Sektoren mit einem einschlägigen Angemessenheitsbeschluss kann Art. 45 DSGVO die Übermittlungsgrundlage sein. Dazu gehört für teilnehmende US-Unternehmen das EU-US Data Privacy Framework. Soweit kein entsprechender Beschluss greift, sehen die Anbieterbedingungen insbesondere EU-Standardvertragsklauseln nach Art. 46 DSGVO und gegebenenfalls ergänzende Maßnahmen vor. Die konkret für den Dienst vorgesehenen Garantien und Unterauftragnehmer sind in den verlinkten Datenschutz- und Datenverarbeitungsbedingungen erläutert; Informationen oder eine Kopie der einschlägigen Garantien kannst du auch bei uns anfordern.
13. Wie lange Daten gespeichert bleiben
Die Speicherdauer richtet sich nach dem Zweck, gesetzlichen Pflichten und gegebenenfalls der Abwehr oder Durchsetzung konkreter Ansprüche. Geschäftliche Korrespondenz und steuerlich relevante Unterlagen unterliegen je nach Dokumentart unterschiedlichen gesetzlichen Aufbewahrungspflichten. Soweit Daten nur noch deswegen benötigt werden, wird ihre Verwendung auf diesen Zweck beschränkt. Technische Protokolle werden nach dem Sicherheits- und Fehlerbehebungsbedarf aufbewahrt; Vorfälle können eine längere Beweissicherung erfordern.
Besondere Angaben für Zertifikate, Newsletter und unsere eigene Analyse stehen in den jeweiligen Abschnitten. Kundenkonten und wiederverwendbare B2B-Vorlagen bleiben für die Nutzung der entsprechenden Funktionen bestehen; eine Löschung kannst du anfordern. Cookies haben eigene Laufzeiten, Sitzungsspeicher endet in der Regel mit der Sitzung; Local Storage hat technisch nicht zwingend ein automatisches Ablaufdatum. Browserfunktionen ermöglichen dir, diese Speicherungen zu entfernen. Unsere eigene Anwendung sichern wir täglich; Sicherungen werden nach festen Fristen überschrieben, spätestens nach zwölf Monaten. Dienstleister können Daten für eigene gesetzliche Aufgaben nach ihren verlinkten Hinweisen länger aufbewahren.
14. Deine Rechte
Nach Maßgabe der DSGVO hast du Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Information über Empfänger von Berichtigungen oder Löschungen (Art. 19) und Datenübertragbarkeit (Art. 20). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).
Widerspruch: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21). Wir beenden sie dann, sofern keine zwingenden vorrangigen Gründe oder erforderlichen Verarbeitungen für Rechtsansprüche entgegenstehen. Gegen Direktwerbung einschließlich damit zusammenhängenden Profilings kannst du jederzeit ohne Angabe besonderer Gründe widersprechen.
Schreibe dafür an kontakt@planet-tree.de oder nutze die Informationen auf unserer Seite für Datenschutzanfragen. Zur Zuordnung können wir angemessene zusätzliche Angaben benötigen. Unsere KI-Unterstützung und Werbeauswertungen treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung über dich. Eigenständige Zahlungs- oder Bonitätsentscheidungen eines Zahlungsdienstes richten sich nach dessen Hinweisen.
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des vermuteten Verstoßes. Für unseren Sitz ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit eine zuständige Anlaufstelle.