Datenschutz im Online-Shop

Stand: September 2026

Diese Datenschutzhinweise ergänzen die Datenschutzerklärung unserer Website um die Verarbeitungen, die beim Einkauf in unserem Online-Shop stattfinden. Für alles, was hier nicht geregelt ist (zum Beispiel Reichweitenmessung oder Kontaktformulare der Website), gilt die Datenschutzerklärung der Website.

1. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten im Online-Shop ist:

• Sahara Urban GmbH (Gesellschaft mit beschränkter Haftung)
• Sahara Urban GmbH, Teltower Damm 26, 14169 Berlin
• Vertreten durch: Mostafa Quanjuri
• E-Mail: info@saharaimbiss.de
• Telefon: 0151 29404197

2. Bestellung und Vertragsabwicklung

Wenn Sie bei uns bestellen, verarbeiten wir die Daten, die für die Abwicklung des Kaufvertrags erforderlich sind: Name, Liefer- und Rechnungsadresse, E-Mail-Adresse, gegebenenfalls Telefonnummer, die bestellten Artikel, Preise, gewählte Versand- und Zahlungsart sowie eine optionale Anmerkung zur Bestellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags).

Die Bestellung wird ohne Kundenkonto abgewickelt. Sie erhalten per E-Mail einen persönlichen Link, über den Sie Ihre Bestellung und deren Status einsehen können. Dieser Link enthält einen zufälligen Zugangsschlüssel; bitte geben Sie ihn nicht weiter.

Zu jeder Bestellung speichern wir aus Sicherheitsgründen die IP-Adresse, die Browserkennung (User-Agent) und den Zeitpunkt der Bestellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr von Betrug und Missbrauch und in der Nachweisbarkeit des Vertragsschlusses.

Ihre E-Mail-Adresse nutzen wir für Nachrichten zu Ihrer Bestellung (Eingangs- und Zahlungsbestätigung, Versandbenachrichtigung, Rückfragen). Werbe-E-Mails senden wir Ihnen nur, wenn Sie ausdrücklich eingewilligt haben (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO) oder die gesetzlichen Voraussetzungen für Bestandskundenwerbung (§ 7 Abs. 3 UWG) vorliegen; in jeder solchen E-Mail können Sie der weiteren Zusendung widersprechen.

3. Warenkorb und technisch notwendige Cookies

Damit Ihr Warenkorb beim Wechsel zwischen Seiten erhalten bleibt, setzen wir ein Cookie mit einer zufälligen Warenkorb-Kennung. Das Cookie enthält keine personenbezogenen Daten; der Inhalt des Warenkorbs wird auf unserem Server gespeichert. Es wird spätestens nach 30 Tagen ohne Aktivität gelöscht. Das Speichern und Auslesen dieses Cookies ist unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst – das Zusammenstellen und Bestellen von Waren – bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich. Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Cookies zu Werbe- oder Analysezwecken setzt der Shop nur, sofern er die in den Abschnitten 10 bis 12 beschriebenen Dienste nutzt, und nur mit Ihrer Einwilligung über den Cookie-Hinweis. Nutzt der Shop keinen dieser Dienste, zeigen wir keinen Cookie-Hinweis.

4. Zahlungsabwicklung über Stripe

Zahlungen werden über unseren Zahlungsdienstleister Stripe abgewickelt: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“). Je nach gewählter Zahlungsart geben Sie Ihre Zahlungsdaten (Kartennummer, Ablaufdatum, Prüfziffer, IBAN, Apple-Pay- oder Google-Pay-Bestätigung, PayPal-Konto) in ein von Stripe bereitgestelltes Formular ein. Diese Daten werden direkt an Stripe übermittelt und von uns nicht gespeichert. Wir übermitteln an Stripe zusätzlich den Rechnungsbetrag, die Währung, eine Bestellkennung, Ihre E-Mail-Adresse sowie – zur Betrugsprävention – Ihren Namen und Ihre Rechnungsadresse. Stripe verarbeitet außerdem technische Daten Ihres Geräts (zum Beispiel IP-Adresse und Browserkennung), um Betrug zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung als Teil der Vertragserfüllung) sowie, hinsichtlich der Betrugsprävention, Art. 6 Abs. 1 lit. f DSGVO. Stripe ist für die Zahlungsabwicklung teilweise eigenständig verantwortlich, insbesondere im Verhältnis zu Banken und Kartenorganisationen.

Stripe kann Daten an die Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, Kalifornien 94080, USA, und weitere Unternehmen der Stripe-Gruppe übermitteln. Für die Übermittlung in die USA stützt sich Stripe auf die Standardvertragsklauseln der Europäischen Kommission und auf seine Zertifizierung nach dem EU-US Data Privacy Framework. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe unter https://stripe.com/de/privacy.

5. Versand über DHL

Zur Zustellung Ihrer Bestellung übermitteln wir Ihren Namen und Ihre Lieferadresse an unseren Versanddienstleister DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn („DHL“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ihre E-Mail-Adresse und Ihre Telefonnummer geben wir nicht an DHL weiter. Sendungsbenachrichtigungen (Versand, Sendungsnummer) erhalten Sie ausschließlich von uns.

Die Sendungsnummer speichern wir zu Ihrer Bestellung, damit wir und Sie den Zustellstatus verfolgen können.

6. E-Mail-Versand über Resend

Für den Versand von Bestell-, Zahlungs- und Versandbenachrichtigungen nutzen wir den Dienst Resend der Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA („Resend“). Resend erhält dafür Ihre E-Mail-Adresse sowie den Inhalt der jeweiligen Nachricht und verarbeitet technische Zustellinformationen (Zeitpunkt, Zustellstatus). Resend ist als Auftragsverarbeiter für uns tätig. Für die Übermittlung in die USA sind die Standardvertragsklauseln der Europäischen Kommission vereinbart. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Hosting und Sicherheit über Cloudflare

Unser Shop wird auf der Infrastruktur von Cloudflare betrieben: Cloudflare Germany GmbH, Rosental 7, 80331 München, als Vertragspartner in der EU, sowie Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA („Cloudflare“). Beim Aufruf des Shops verarbeitet Cloudflare technisch notwendige Verbindungsdaten, insbesondere Ihre IP-Adresse, die aufgerufene Adresse, Zeitpunkt, Browser- und Betriebssystemkennung. Cloudflare nutzt diese Daten, um den Shop auszuliefern, Angriffe abzuwehren und die Stabilität sicherzustellen. Die Bestell- und Warenkorbdaten werden in Datenbanken von Cloudflare gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, schnellen und ausfallsicheren Betrieb des Shops. Cloudflare ist als Auftragsverarbeiter für uns tätig. Für Übermittlungen in die USA sind die Standardvertragsklauseln der Europäischen Kommission vereinbart; Cloudflare, Inc. ist außerdem nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen finden Sie unter https://www.cloudflare.com/privacypolicy/.

Zum Schutz vor automatisierten Bestellungen kann in der Kasse Cloudflare Turnstile eingesetzt werden. Turnstile prüft anhand technischer Merkmale des Browsers, ob eine Anfrage von einem Menschen stammt, und speichert dazu vorübergehend Daten im Browser. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch); das Speichern im Browser ist für die Bereitstellung des Bestellvorgangs erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

8. Rabattcodes

Wenn Sie einen Rabattcode einlösen, speichern wir den Code zusammen mit Ihrer Bestellung und zählen die Einlösungen, um die Bedingungen des Codes (zum Beispiel eine Höchstzahl an Einlösungen) durchzusetzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Adressvorschläge in der Kasse

Sofern der Shop Adressvorschläge nutzt, ergänzt die Kasse bei deutschen Adressen zur eingegebenen Postleitzahl den Ort und schlägt beim Tippen der Straße passende Straßennamen vor; beim Absenden der Bestellung weist sie darauf hin, wenn Postleitzahl, Ort oder Straße nicht zueinander passen. Die Bestellung bleibt auch mit einer abweichenden Adresse möglich, und die Eingabe funktioniert auch ohne Vorschläge.

Die Daten stammen aus der offenen Datenbank OpenPLZ (openplzapi.org), die auf Servern der STRATO AG, Pascalstraße 10, 10587 Berlin, in Deutschland betrieben wird. Die Abfrage läuft über unseren Server: An den Dienst werden ausschließlich die Postleitzahl und das getippte Straßenfragment übermittelt – keine Namen, keine E-Mail-Adresse, keine Hausnummer und nicht Ihre IP-Adresse. Es werden dafür keine Cookies gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der richtigen Zustellung Ihrer Bestellung und in der Vermeidung von Fehlsendungen.

10. Cookies für Anzeigen und Statistik (Einwilligung)

Sofern der Shop Dienste für Anzeigen und Statistik nutzt (Meta und Google, Abschnitte 11 und 12), fragen wir Sie beim ersten Besuch in einem Cookie-Hinweis am unteren Seitenrand, ob Sie dem Einsatz dieser Dienste zustimmen. Die Seite bleibt dabei nutzbar; „Ablehnen“ und „Zustimmen“ stehen gleichwertig nebeneinander. Ohne Ihre Zustimmung werden keine Skripte dieser Anbieter geladen, keine Werbe- oder Statistik-Cookies gesetzt und keine Daten an Meta oder Google übermittelt; der Shop funktioniert dann uneingeschränkt.

Ihre Entscheidung speichern wir in dem Cookie „shop_consent“ (Laufzeit zwölf Monate); es enthält nur, ob Sie zugestimmt oder abgelehnt haben. Sie können Ihre Entscheidung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile des Shops ändern; ein Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO).

Nur mit Ihrer Zustimmung merken wir uns außerdem in dem Cookie „shop_ref“ (Laufzeit 30 Tage), über welche Anzeige oder Kampagne Sie in den Shop gekommen sind: die Kampagnenangaben aus der aufgerufenen Adresse (utm-Parameter) und die Klick-Kennungen der Anbieter (fbclid von Meta, gclid von Google). Bei einer Bestellung speichern wir diese Herkunft zusammen mit der Bestellung und halten fest, ob Sie eingewilligt hatten, um zu wissen, welche Anzeige zu welchem Kauf geführt hat; ebenfalls nur mit Ihrer Zustimmung speichern wir die in Abschnitt 11 genannten technischen Merkmale für die Zuordnung bei Meta.

Rechtsgrundlage für das Speichern und Auslesen dieser Cookies ist § 25 Abs. 1 TDDDG, für die damit verbundene Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

11. Meta Pixel und Conversions API

Sofern der Shop den Meta Pixel nutzt und Sie eingewilligt haben, binden wir den Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“) ein. Der Pixel erfasst, welche Seiten Sie im Shop aufrufen, welche Produkte Sie ansehen, in den Warenkorb legen und kaufen (mit Artikelnummer, Betrag und Währung), und setzt die Cookies „_fbp“ und „_fbc“. Meta kann diese Angaben Ihrem Facebook- oder Instagram-Konto zuordnen, um Ihnen passende Anzeigen zu zeigen und uns die Wirkung unserer Anzeigen zu berichten; wir selbst sehen nur zusammengefasste Auswertungen.

Zusätzlich melden wir einen abgeschlossenen Kauf über die Conversions API von unserem Server an Meta: Bestellkennung, Betrag, Währung und Artikelnummern sowie – ausschließlich als SHA-256-Hashwerte, nicht im Klartext – E-Mail-Adresse, Telefonnummer, Vor- und Nachname, Ort, Postleitzahl und Land aus der Rechnungsadresse, dazu die IP-Adresse, die Browserkennung und die Werte der Cookies „_fbp“ und „_fbc“. Diese Meldung erfolgt nur, wenn Sie beim Bestellen eingewilligt hatten; über die Bestellkennung wird sie mit der Meldung des Pixels zusammengeführt, damit ein Kauf nur einmal zählt.

Ebenso melden wir über unsere eigenen Server an Meta, wenn Sie ein Produkt ansehen, es in den Warenkorb legen oder die Kasse beginnen. Übermittelt werden dabei die Art des Ereignisses, die Artikelnummern, die Menge, der Betrag und die Währung – diese Angaben ermittelt unser Server selbst aus unserem Katalog und Ihrem Warenkorb, nicht Ihr Browser –, dazu die Adresse der aufgerufenen Seite (ohne interne Kennungen; aus der Adresse gehen nur die Kampagnenangaben mit), Ihre IP-Adresse, die Browserkennung (User-Agent), die Werte der Cookies „_fbp“ und „_fbc“ sowie, wenn Sie über eine Meta-Anzeige zu uns gekommen sind, die in Abschnitt 10 genannte Klick-Kennung (fbclid) aus dem Cookie „shop_ref“. Angaben zu Ihrer Identität wie Name, Anschrift, Telefonnummer oder E-Mail-Adresse werden dabei nicht übermittelt, auch nicht als Hashwert. Ihre IP-Adresse speichern wir für diese Meldungen nicht dauerhaft; um die Zahl der Aufrufe zu begrenzen, verarbeiten wir sie kurzzeitig. Auch diese Meldungen erfolgen ausschließlich mit Ihrer Einwilligung. Jede von ihnen trägt dieselbe zufällige Ereigniskennung wie die entsprechende Meldung des Pixels in Ihrem Browser, damit ein Ereignis bei Meta nur einmal zählt. Der Weg über unseren Server besteht, weil Meldungen aus dem Browser häufig durch Werbeblocker, Browser-Einstellungen oder Einschränkungen des Betriebssystems nicht ankommen.

Wir und Meta sind für die Erhebung und Übermittlung dieser Daten gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu ist unter https://www.facebook.com/legal/controller_addendum abrufbar. Meta kann Daten an die Meta Platforms, Inc., 1 Meta Way, Menlo Park, CA 94025, USA, übermitteln; Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen. Weitere Informationen: https://www.facebook.com/privacy/policy/.

12. Google Ads und Google Analytics 4

Sofern der Shop Google Ads Conversion-Tracking oder Google Analytics 4 nutzt und Sie eingewilligt haben, binden wir das Google Tag der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“) ein.

Google Ads Conversion-Tracking erfasst, ob Sie über eine Google-Anzeige in den Shop gekommen sind und ob daraus ein Kauf entstanden ist (Bestellnummer, Betrag, Währung); dafür wird die Klick-Kennung der Anzeige (gclid) in einem Cookie gespeichert. Wir erfahren nur die Zahl der Käufe je Anzeige, keine Personen.

Google Analytics 4 misst, wie der Shop genutzt wird (aufgerufene Seiten, angesehene Produkte, Warenkorb, Kasse, Käufe, Gerät und ungefähre Region), und setzt dafür Cookies mit einer zufälligen Kennung („_ga“, „ga…“, Laufzeit bis zu zwei Jahre). Ihre IP-Adresse wird von Google Analytics 4 nur zur Bestimmung der ungefähren Region verwendet und nicht gespeichert (Kürzung bzw. Verwerfen der IP-Adresse durch Google). Die Berichte enthalten keine Personen, nur Summen. Die Speicherdauer der Nutzerdaten bei Google Analytics haben wir auf 14 Monate eingestellt; danach werden sie gelöscht.

Google kann Daten an die Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission. Für Google Analytics ist Google als Auftragsverarbeiter für uns tätig. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen. Weitere Informationen: https://policies.google.com/privacy und https://policies.google.com/technologies/partner-sites.

13. Speicherdauer

Bestelldaten einschließlich Rechnungs- und Zahlungsdaten bewahren wir so lange auf, wie es die handels- und steuerrechtlichen Aufbewahrungspflichten verlangen: Buchungsbelege und Rechnungen acht Jahre, Handels- und Geschäftsbriefe sechs Jahre (§ 147 Abgabenordnung, § 257 Handelsgesetzbuch). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Bestellung aufgegeben wurde. Nach Ablauf der Fristen löschen wir die Daten, sofern nicht noch Gewährleistungs- oder sonstige Ansprüche offen sind.

Warenkorbdaten ohne Bestellung löschen wir spätestens 30 Tage nach der letzten Aktivität. Die zu einer Bestellung gespeicherte IP-Adresse und Browserkennung löschen wir spätestens nach zwölf Monaten. Protokolle des E-Mail-Versands löschen wir spätestens nach zwölf Monaten. Verbindungsdaten bei Cloudflare werden nach kurzer Zeit gelöscht oder anonymisiert.

Ihre Entscheidung zum Cookie-Hinweis bleibt zwölf Monate im Cookie „shop_consent“, die Herkunft eines Besuchs 30 Tage im Cookie „shop_ref“. Die zu einer Bestellung gespeicherte Herkunft (Quelle, Medium, Kampagne) bleibt Teil der Bestelldaten; die darin enthaltenen Klick-Kennungen (fbclid, gclid) und die für die Conversions API gespeicherten technischen Merkmale löschen wir spätestens nach zwölf Monaten. Die Speicherdauer bei Meta und Google richtet sich nach deren Datenschutzhinweisen; für Google Analytics 4 ist sie auf 14 Monate eingestellt.

14. Empfänger

Ihre Daten erhalten nur die in diesen Hinweisen genannten Dienstleister (Stripe, DHL, Resend, Cloudflare sowie – sofern der Shop Adressvorschläge nutzt – der Betreiber der OpenPLZ-Datenbank, der nur Postleitzahl und Straßenfragment erhält, sowie – sofern der Shop diese Dienste nutzt und Sie eingewilligt haben – Meta und Google, Abschnitte 11 und 12) und, soweit gesetzlich erforderlich, Behörden wie das Finanzamt. Innerhalb unseres Unternehmens haben nur die Personen Zugriff, die mit der Bearbeitung von Bestellungen betraut sind.

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO),
• Recht auf Berichtigung (Art. 16 DSGVO),
• Recht auf Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen,
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
• Recht auf Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine E-Mail an info@saharaimbiss.de. Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder bei der für uns zuständigen Behörde.

16. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten. Die Betrugsprüfung durch Stripe kann dazu führen, dass eine einzelne Zahlung abgelehnt wird; in diesem Fall können Sie eine andere Zahlungsart wählen oder uns kontaktieren.

17. Pflicht zur Bereitstellung

Die Angabe der für die Bestellung erforderlichen Daten (Name, Adresse, E-Mail-Adresse, Zahlungsdaten) ist für den Vertragsschluss notwendig; ohne sie können wir Ihre Bestellung nicht ausführen. Alle übrigen Angaben (Telefonnummer, Anmerkung) sind freiwillig.