Datenschutzerklaerung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Personalized Nutrition Systems GmbH
Rosental 4
53332 Bornheim

E-Mail: info@suppify.io

Bei Fragen zum Datenschutz oder zur Ausuebung Ihrer Betroffenenrechte erreichen Sie uns jederzeit unter der oben genannten E-Mail-Adresse.

2. Hosting und technische Bereitstellung

Fuer den Betrieb unserer Plattform setzen wir die folgenden Infrastruktur-Dienstleister ein:

• Vercel Inc. — App-Hosting und Auslieferung ueber EU Edge-Server. Vercel verarbeitet dabei technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene Seiten) zur Bereitstellung der Webanwendung.
• Supabase Inc. — PostgreSQL-Datenbank-Hosting. Alle persistenten Anwendungsdaten werden in einer von Supabase verwalteten Datenbank gespeichert.
• Amazon Web Services (AWS) — Ausfuehrung von Lambda-Funktionen in der Region eu-central-1 (Frankfurt). Diese serverless Functions verarbeiten unter anderem Webhooks, Bestellsynchronisation und PDF-Generierung.

Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und performanten Bereitstellung unserer Plattform). Mit allen Hosting-Anbietern bestehen Auftragsverarbeitungsvertraege gemaess Art. 28 DSGVO.

3. Registrierung und Kundenkonto

Die Authentifizierung auf unserer B2B-Plattform erfolgt ueber die Shopify Customer Account API. Shopify fungiert hierbei als Identitaetsprovider und uebermittelt nach erfolgreicher Anmeldung ein verifiziertes Authentifizierungstoken an unsere Plattform.

Im Rahmen des Onboarding-Prozesses erheben wir folgende Stammdaten:

• Firmenname und Rechtsform
• Geschaeftsadresse
• Umsatzsteuer-Identifikationsnummer (USt-IdNr.)
• Name und Kontaktdaten des Ansprechpartners (Vor- und Nachname, E-Mail-Adresse, ggf. Telefonnummer)

Darueber hinaus erfassen wir im Rahmen der B2B-Selbstauskunft Consent-Daten, die IP-Adresse, den User-Agent sowie den Zeitstempel der Einwilligung, um die Nachweisbarkeit der abgegebenen Erklaerungen sicherzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung). Die Verarbeitung ist erforderlich fuer die Begruendung und Durchfuehrung der Geschaeftsbeziehung.

Speicherdauer: Ihre Stammdaten werden fuer die Dauer der Geschaeftsbeziehung gespeichert. Nach Beendigung der Geschaeftsbeziehung bewahren wir die Daten fuer weitere 6 bzw. 10 Jahre auf, soweit dies zur Erfuellung handelsrechtlicher (Paragraph 257 HGB) und steuerrechtlicher (Paragraph 147 AO) Aufbewahrungspflichten erforderlich ist.

4. Produktkonfiguration und Rezepturen

Im Rahmen der Nutzung unserer Plattform verarbeiten wir Daten, die im Zusammenhang mit der Produktkonfiguration stehen. Dazu gehoeren insbesondere:

• Rezepturen (Zusammensetzung, Dosierungen und Rohstoffauswahl)
• Produktspezifikationen (Verpackungsoptionen, Portionierungen, Kennzeichnungsvorgaben)
• Labeldaten (Naehrwerttabellen, Zutatenlisten, Branding-Informationen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung). Die Verarbeitung dieser Daten ist unmittelbar erforderlich fuer die Erbringung unserer Dienstleistung.

Ihre Rezepturdaten unterliegen dem Vertraulichkeitsschutz gemaess unseren Allgemeinen Geschaeftsbedingungen. Wir stellen durch technische und organisatorische Massnahmen sicher, dass Rezepturdaten streng kundenbezogen verarbeitet und nicht an Dritte weitergegeben werden.

Speicherdauer: Rezeptur- und Produktkonfigurationsdaten werden fuer die Dauer der Geschaeftsbeziehung gespeichert. Nach Beendigung der Geschaeftsbeziehung werden diese Daten geloescht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5. Bestellungen und Zahlungsabwicklung

Bei Bestellungen ueber unsere Plattform verarbeiten wir folgende Daten:

• Bestelldaten (Produkte, Mengen, Preise, Bestellzeitpunkt)
• Rechnungsadressen
• Bestellhistorie

Die Zahlungsabwicklung erfolgt ueber Stripe Inc. Stripe agiert hierbei als eigenstaendiger datenschutzrechtlich Verantwortlicher und nicht als Auftragsverarbeiter von Suppify. Vollstaendige Kreditkartendaten werden zu keinem Zeitpunkt auf unseren Systemen gespeichert oder verarbeitet. Naehere Informationen zum Datenschutz bei Stripe finden Sie unter https://stripe.com/de/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung). Die Verarbeitung ist zur Durchfuehrung und Abwicklung Ihrer Bestellungen erforderlich.

Speicherdauer: Bestelldaten und Rechnungen werden fuer 10 Jahre aufbewahrt, um den gesetzlichen Aufbewahrungspflichten nach Paragraph 147 AO und Paragraph 257 HGB zu entsprechen.

6. Fulfillment und Endkundendaten

Im Rahmen des Fulfillment-Prozesses verarbeitet Suppify Endkundendaten (insbesondere Name und Lieferadresse) im Auftrag unserer B2B-Kunden. Suppify handelt hierbei als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Die entsprechende Auftragsverarbeitungsvereinbarung (AVV) ist Bestandteil der Vertragsanlagen.

Die Endkundendaten werden ausschliesslich zum Zweck der Versandabwicklung verarbeitet und nicht fuer eigene Zwecke von Suppify verwendet.

Zur Durchfuehrung des Versands uebermitteln wir die Lieferinformationen an Versanddienstleister. Aktuell arbeiten wir mit DHL zusammen; zukuenftig koennen weitere Dienstleister wie GLS, UPS und DPD hinzukommen. Diese Versanddienstleister handeln als eigenstaendige datenschutzrechtlich Verantwortliche.

Speicherdauer: Endkundendaten aus dem Fulfillment-Prozess werden 90 Tage nach Versand geloescht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Cookies und Consent Management

Unsere Plattform verwendet Cookies und aehnliche Technologien. Zur Verwaltung Ihrer Einwilligungen setzen wir Cookiebot als Consent Management Platform (CMP) ein.

Essenzielle Cookies

Essenzielle Cookies sind fuer den Betrieb der Plattform technisch erforderlich. Dazu gehoeren insbesondere Session-Cookies und Authentifizierungstoken (Auth-Token). Diese Cookies werden ohne gesonderte Einwilligung gesetzt, da sie fuer die Bereitstellung des von Ihnen angeforderten Dienstes unbedingt erforderlich sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Bereitstellung der Plattform).

Nicht-essenzielle Cookies

Alle weiteren Cookies (z.B. fuer Analyse- und Marketingzwecke) werden erst nach Ihrer ausdruecklichen Einwilligung ueber das Cookiebot-Cookie-Banner gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie koennen Ihre Einwilligung jederzeit mit Wirkung fuer die Zukunft ueber die Cookiebot-Einstellungen widerrufen.

8. Marketing und Analyse (nur nach Einwilligung)

Die folgenden Dienste werden ausschliesslich nach Ihrer ausdruecklichen Einwilligung ueber unser Consent Management aktiviert:

• Google Tag Manager — Tag-Management-System zur Verwaltung und Ausspielung von Tracking-Tags. Der Tag Manager selbst setzt keine Cookies und erhebt keine personenbezogenen Daten.
• Google Analytics — Erstellung von Nutzungsstatistiken mit aktivierter IP-Anonymisierung. Die Daten werden in die USA uebermittelt; Google ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert.
• Google Ads Remarketing — Ausspielung personalisierter Werbeanzeigen basierend auf Ihrem bisherigen Nutzungsverhalten. Datenuebermittlung in die USA auf Grundlage des DPF.
• Meta Pixel — Conversion-Tracking und Zielgruppenbildung fuer Werbeanzeigen auf Meta-Plattformen (Facebook, Instagram). Datenuebermittlung in die USA auf Grundlage des DPF.
• TikTok Pixel — Conversion-Tracking und Zielgruppenbildung fuer Werbeanzeigen auf TikTok. Datenuebermittlung in die USA auf Grundlage des DPF sowie ergaenzender Standard Contractual Clauses (SCCs).
• Klaviyo — Tracking des E-Mail-Marketing-Verhaltens (Oeffnungsraten, Klicks). Datenuebermittlung in die USA auf Grundlage des DPF.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie koennen Ihre Einwilligung jederzeit mit Wirkung fuer die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen ueber das Cookiebot-Banner anpassen.

9. Kommunikation

Transaktionale E-Mails

Im Rahmen der Vertragsabwicklung versenden wir transaktionale E-Mails, insbesondere Bestellbestaetigungen und Versandstatus-Benachrichtigungen. Der Versand dieser E-Mails erfolgt ueber Klaviyo.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung). Der Versand transaktionaler E-Mails ist erforderlich fuer die ordnungsgemaesse Abwicklung Ihrer Bestellungen.

Kontaktformular und Feedback

Unsere Plattform bietet ein Kontaktformular sowie eine Feedback-Funktion. Wenn Sie diese nutzen, verarbeiten wir die von Ihnen eingegebenen Daten (Name, E-Mail-Adresse, Nachrichteninhalt) zur Bearbeitung Ihrer Anfrage.

Marketing-E-Mails

Sofern Sie in den Empfang von Marketing-E-Mails eingewilligt haben, nutzen wir ebenfalls Klaviyo fuer den Versand von Newslettern und Werbekommunikation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie koennen Ihre Einwilligung jederzeit mit Wirkung fuer die Zukunft widerrufen, beispielsweise ueber den Abmeldelink in jeder Marketing-E-Mail.

10. Weitergabe an Dritte

Im Rahmen unserer Geschaeftstaetigkeit arbeiten wir mit den folgenden Drittanbietern zusammen, an die personenbezogene Daten uebermittelt werden koennen:

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsvertraege gemaess Art. 28 DSGVO. Eigenstaendige Verantwortliche verarbeiten Ihre Daten auf Grundlage eigener Datenschutzerklaerungen.

11. Datenuebermittlung in Drittlaender

Einige der von uns eingesetzten Drittanbieter haben ihren Sitz ausserhalb der Europaeischen Union, insbesondere in den USA. Fuer diese Datenuebermittlungen gelten folgende Schutzmechanismen:

• EU-US Data Privacy Framework (DPF): Fuer Datenuebermittlungen an zertifizierte Unternehmen in den USA besteht ein Angemessenheitsbeschluss der Europaeischen Kommission. Die von uns eingesetzten US-Anbieter (Google, Meta, Stripe, Shopify, Klaviyo) sind unter dem DPF zertifiziert.
• Standard Contractual Clauses (SCCs): Als ergaenzende oder alternative Schutzmassnahme setzen wir die von der Europaeischen Kommission genehmigten Standardvertragsklauseln ein, um ein angemessenes Datenschutzniveau sicherzustellen.
• TikTok: Fuer die Datenuebermittlung an TikTok kommen neben dem DPF ergaenzend Standard Contractual Clauses (SCCs) sowie ein Transfer Impact Assessment zur Anwendung, um den Schutz Ihrer Daten umfassend zu gewaehrleisten.

12. Betroffenenrechte

Ihnen stehen im Zusammenhang mit der Verarbeitung Ihrer personenbezogenen Daten folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht, Auskunft ueber die von uns verarbeiteten personenbezogenen Daten zu verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollstaendigung unvollstaendiger personenbezogener Daten zu verlangen.
• Recht auf Loeschung (Art. 17 DSGVO): Sie haben das Recht, die Loeschung Ihrer personenbezogenen Daten zu verlangen, sofern die Voraussetzungen hierfuer vorliegen.
• Recht auf Einschraenkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschraenkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Recht auf Datenuebertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gaengigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gruenden, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen, sofern die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht.

Widerruf von Einwilligungen: Sofern Sie eine Einwilligung zur Datenverarbeitung erteilt haben, koennen Sie diese jederzeit mit Wirkung fuer die Zukunft widerrufen. Die Rechtmaessigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberuehrt.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehoerde ueber die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die fuer uns zustaendige Aufsichtsbehoerde ist die Landesbeauftragte fuer Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Recht auf Loeschung des Kundenkontos: Sie haben jederzeit das Recht, die Loeschung Ihres Kundenkontos zu verlangen. Bitte beachten Sie, dass gesetzliche Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Fristen) der sofortigen vollstaendigen Loeschung einzelner Datenkategorien entgegenstehen koennen. In diesem Fall wird die Verarbeitung auf die Erfuellung der gesetzlichen Pflichten beschraenkt und das Konto fuer die weitere Nutzung gesperrt.

Zur Ausuebung Ihrer Rechte wenden Sie sich bitte an: info@suppify.io

13. Speicherdauer

Die folgende Uebersicht zeigt die Speicherdauer fuer die verschiedenen Datenkategorien:

Nach Ablauf der jeweiligen Speicherdauer werden die Daten routinemaessig geloescht oder anonymisiert, sofern sie nicht mehr fuer den urspruenglichen Verarbeitungszweck oder die Erfuellung gesetzlicher Aufbewahrungspflichten erforderlich sind.

14. Aktualitaet und Aenderungen

Diese Datenschutzerklaerung hat den Stand vom 10. April 2026. Wir behalten uns vor, diese Datenschutzerklaerung anzupassen, um sie an geaenderte Rechtslagen, technische Neuerungen oder Aenderungen unserer Datenverarbeitungsprozesse anzugleichen. Die jeweils aktuelle Fassung ist stets auf unserer Plattform abrufbar.

Wir empfehlen Ihnen, diese Datenschutzerklaerung regelmaessig einzusehen, um ueber den aktuellen Stand der Datenverarbeitung informiert zu bleiben.