Datenschutzerklärung

Diese Datenschutzerklärung erläutert, welche Personendaten wir (Bunaroba AG, Zugerstrasse 6, 6330 Cham, Schweiz - «bunaroba», «wir») im Rahmen unserer Website bunaroba.ch sowie aller zugehörigen Subdomains (insbesondere des Online-Shops auf shop.bunaroba.ch) und des Partner- & Ambassadorprogramms bearbeiten. Sie gilt einheitlich für alle über diese Domains zugänglichen Dienste. Sie erfüllt die Informationspflichten des revidierten Schweizer Datenschutzgesetzes (revDSG) und - soweit anwendbar - der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortliche Stelle & Verantwortlich für Datenschutzfragen

1.1 Verantwortliche Stelle
Bunaroba AG
Zugerstrasse 6, 6330 Cham, Schweiz

1.2 Verantwortlich für Datenschutzfragen
Roger Giese

2. Kategorien betroffener Personen & Datenarten

Kunden & Shop-Nutzer

Name, Anschrift, E-Mail, Telefonnummer, Zahlungs- & Bestelldaten, IP-Adresse, Geräte- und Nutzungsdaten

Website-Besucher

IP-Adresse, Geräte- und Browserangaben, Kennungen in Cookies und im Browser-Speicher, besuchte Seiten und Klicks, Sitzungsaufzeichnungen

Affiliate-Partner / Ambassadoren

Name, Firma, E-Mail, Social-Handles, Auszahlungsdaten (Bank/PayPal), Steuer-ID, Affiliate-ID, Performance-Statistiken, UGC-Content

Newsletter-Abonnenten

E-Mail, Öffnungs- & Klickverhalten

Support-Anfragen

Kommunikationsinhalte, Meta-Daten

Umfrage-Teilnehmende

Umfrage-Antworten (Produkt-Nennungen, Bewertungen, Freitext-Antworten), freiwillige Angaben zu Altersgruppe und Geschlecht, technische Metadaten (Ausfülldauer); bei Wahl des Dankeschön-Guthabens zusätzlich Name und E-Mail-Adresse. Eine anonyme Teilnahme ohne Name und E-Mail ist möglich.

3. Zwecke & Rechtsgrundlagen der Bearbeitung

• Vertragsabwicklung (Käufe, Lieferungen, Partnerprovisionen) - Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. b DSGVO
• Betrieb & Sicherheit der Website / Betrugsprävention - Berechtigtes Interesse, Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. f DSGVO
• Marketing-E-Mails, Newsletter - Einwilligung, Art. 30 Abs. 1 revDSG / Art. 6 Abs. 1 lit. a DSGVO
• Affiliate-Tracking, Cookie-Setzung - Einwilligung (für nicht essenzielle Cookies) oder berechtigtes Interesse für rein technische Cookies
• Buchhaltung, Steuer- & Handelspflichten - Gesetzliche Verpflichtung, Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. c DSGVO
• Veröffentlichung von UGC auf unseren Kanälen - Lizenz gemäss Partner-AGB + berechtigtes Interesse an Marketing
• Markt-Umfragen, Marktforschung & Produktentwicklung - Berechtigtes Interesse, Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. f DSGVO; Zuweisung des Dankeschön-Guthabens auf Basis Vertragserfüllung, Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. b DSGVO

4. Affiliate-Programm - Besonderheiten

4.1 Registrierungsdaten - Zur Teilnahme erfassen wir Namen, Kontakt- und Zahlungsdaten sowie Social-Media-Profile.

4.2 Tracking - Beim Aufruf über einen Partner-Link wird die Partner-Kennung im Browser gespeichert und an Links in den Shop weitergegeben, damit eine Bestellung dem Partner zugeordnet werden kann. Bis zum Schliessen des Browsers geschieht das gestützt auf unser berechtigtes Interesse an der korrekten Provisionszuordnung, darüber hinaus auf bunaroba.ch nur nach Einwilligung in «Marketing». Für den Shop gilt der Abschnitt «Einwilligung im Shop».

4.3 Performance-Daten - Käufe, Wandlungsraten, Umsatz und Provisionsstatus des Partners werden in unserem Affiliate-Dashboard gespeichert.

4.4 Bestelldetails im Affiliate-Dashboard - Wird eine Bestellung über einen Affiliate-Link oder Rabattcode einem Partner zugeordnet, können im Partner-/Affiliate-Dashboard Bestelldetails zur Provisionsabrechnung sichtbar sein (insbesondere Vorname, Nachname, bestellte Produkte/Positionen und Mengen sowie Bestellwert und Provisionsstatus).

4.5 Wir übermitteln dabei keine Kontaktdaten wie E-Mail-Adresse, Telefonnummer oder Lieferadresse an den Affiliate-Partner.

4.6 Auszahlung - Für Banküberweisungen oder PayPal-Zahlungen übermitteln wir Zahlungsdaten an Finanz- oder Payment-Dienstleister.

4.7 UGC-Verwertung - Inhalte, die ein Partner im Rahmen des Programms erstellt, dürfen wir gemäss AGB zeitlich und räumlich unbeschränkt nutzen. Dabei nennen wir - soweit üblich - den Account-Namen des Erstellers.

4.8 Eigenverantwortung des Partners - Affiliates sichern zu, bei ihren Werbemassnahmen alle Datenschutz-, Lebensmittel- und Wettbewerbsvorgaben einzuhalten und Werbung als solche kenntlich zu machen. Verstösse können zur Sperrung des Partnerkontos führen.

5. Empfänger & Datenweitergabe

Wir geben Personendaten nur weiter, soweit dies für die Vertragserfüllung, den Betrieb unserer Dienste oder die Erfüllung gesetzlicher Pflichten erforderlich ist.

a) Shop-Plattform & Bestellabwicklung

Shopify Inc. (Kanada)
Zweck: Betrieb des Online-Shops, Bearbeitung von Bestell-, Kunden- und Zahlungsdaten.
Rechtsgrundlage: Vertragserfüllung (Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. b DSGVO).
Transfermechanismus: Standardvertragsklauseln (SCC).
Shopify verwendet die Kundendaten des Shops zudem zusammen mit Daten aus anderen Shopify-Shops, um Produkte, Werbung und Personalisierung zu verbessern (Shopify Network Intelligence).
Shopify Datenschutzerklärung

b) Fulfillment & Versand

Fulfillment-Dienstleister (Schweiz)
Zweck: Lagerhaltung, Kommissionierung und Verpackung von Bestellungen.
Daten: Name, Lieferadresse, Bestelldetails, ggf. Telefonnummer.
Rechtsgrundlage: Vertragserfüllung. Keine Drittstaatenübermittlung.

Die Schweizerische Post AG (Schweiz) und ggf. weitere Transportdienstleister (z.B. DPD)
Zweck: Pakettransport und Sendungsverfolgung.
Daten: Name, Lieferadresse, Bestellreferenz.
Rechtsgrundlage: Vertragserfüllung. Keine Drittstaatenübermittlung.

c) Abonnement-Verwaltung

Appstle Inc. (USA)
Zweck: Verwaltung von Lieferabos, Intervallen und Zahlungsdaten.
Rechtsgrundlage: Vertragserfüllung.
Transfermechanismus: Standardvertragsklauseln (SCC).
Appstle Datenschutzerklärung

d) Affiliate- & Partnerprogramm

UpPromote (Secomapp) (Vietnam/USA)
Zweck: Provisionsberechnung und Bestellzuordnung im Rahmen des Ambassador- und Active Lifestyle Partner-Programms. UpPromote wird auch für das Cookie-basierte Affiliate-Tracking eingesetzt (siehe Abschnitt 6).
Daten: Bestellwert, bestellte Produkte/Positionen und Mengen, Partnerzuordnung sowie - bei zugeordneten Bestellungen - Vorname und Nachname (keine E-Mail-Adresse, keine Lieferadresse, keine Telefonnummer).
Rechtsgrundlage: Vertragserfüllung / berechtigtes Interesse.
Transfermechanismus: Standardvertragsklauseln (SCC).
UpPromote Datenschutzerklärung

Hinweis: Bestelldetails zu zugeordneten Bestellungen können im Partner-Dashboard dem jeweils zugeordneten Affiliate-Partner angezeigt werden, damit Provisionen nachvollziehbar abgerechnet werden können.

e) Produktbewertungen

Judge.me Ltd (Grossbritannien)
Zweck: Erfassung und Anzeige von Produktbewertungen. Daten: Name, E-Mail-Adresse, Bewertungsinhalt.
Rechtsgrundlage: Berechtigtes Interesse an Produkttransparenz.
Transfermechanismus: Gleichwertigkeitsbeschluss (UK als angemessenes Datenschutzniveau anerkannt).
Judge.me Datenschutzerklärung

f) Web-Analyse & Suchmaschinenoptimierung

Google Search Console - Google Ireland Ltd (Irland)
Zweck: Aggregierte Suchperformance-Daten. Es werden keine persönlichen Besucherdaten übermittelt.
Google Datenschutzerklärung

g) Marketing & Werbung

Google Merchant Center / Google Shopping - Google Ireland Ltd (Irland)
Zweck: Übermittlung von Produktkatalogdaten für Google Shopping-Anzeigen. Es werden keine Kundendaten übermittelt.
Google Datenschutzerklärung

Meta Commerce Manager / Produktkatalog - Meta Platforms Ireland Ltd (Irland)
Zweck: Übermittlung von Katalogdaten für dynamische Anzeigen auf Facebook und Instagram. Es werden keine Kundendaten übermittelt.
Meta Datenschutzerklärung

h) Weitere Empfänger

Je nach Situation können Personendaten auch an weitere Empfänger weitergegeben werden, beispielsweise:

• Payment-Dienstleister zur Zahlungsabwicklung
• Steuer- und Buchhaltungsdienstleister
• Rechtsberater bei rechtlichen Angelegenheiten
• Behörden bei gesetzlichen Pflichten

i) Hosting & Content Delivery

Vercel Inc. (USA)
Zweck: Hosting der Website, Content Delivery, Edge-Funktionen.
Daten: IP-Adresse, HTTP-Request-Metadaten, Server-Logs.
Transfermechanismus: Data Processing Addendum (DPA) mit Standardvertragsklauseln (SCC).
Vercel Datenschutzerklärung

Content-Delivery-Netzwerke
Beim Aufruf des Shops werden einzelne Programmbibliotheken über Content-Delivery-Netzwerke geladen, etwa von Google, jsDelivr und Cloudflare.
Daten: IP-Adresse sowie Browser- und Geräteangaben des Abrufs.
Rechtsgrundlage: Berechtigtes Interesse am technischen Betrieb (Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. f DSGVO).

j) E-Mail-Versand & Newsletter

Klaviyo Inc. (USA)
Zweck: Versand von Newslettern und E-Mail-Marketing-Kampagnen (Flows, Kampagnen, Transaktions-E-Mails), Verwaltung der Abonnentenliste sowie Messung von Öffnungs- und Klickverhalten zur Kampagnenoptimierung.
Daten: E-Mail-Adresse, ggf. Vorname, Einwilligungsstatus und -zeitpunkt, Öffnungs- und Klickverhalten, Bestell- und Produktinteraktionsdaten zur Segmentierung.
Rechtsgrundlage: Einwilligung (Art. 30 Abs. 1 revDSG / Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung kann jederzeit über den Abmeldelink in jeder E-Mail widerrufen werden.
Transfermechanismus: Data Processing Addendum (DPA) mit Standardvertragsklauseln (SCC).
Klaviyo Datenschutzerklärung

Mailjet SAS (Frankreich)
Zweck: Versand von E-Mails.
Daten: E-Mail-Adresse, ggf. Name, Inhalt der E-Mail.
Rechtsgrundlage: je nach Zweck der E-Mail (siehe Abschnitt 3).
Speicherort der Daten: Europäische Union.
Mailjet Datenschutzerklärung

k) Markt-Umfragen

Supabase Inc. (Datenbank-Hosting, Region Zürich/Schweiz)
Zweck: Speicherung und Auswertung der Antworten unserer Markt-Umfragen in unserer internen Auswertungsanwendung.
Daten: Umfrage-Antworten; bei Wahl des Dankeschön-Guthabens zusätzlich Name und E-Mail-Adresse.
Rechtsgrundlage: Berechtigtes Interesse an Marktforschung; Vertragserfüllung für das Guthaben.
Supabase Datenschutzerklärung

Bei Wahl des Dankeschön-Guthabens wird zusätzlich ein Ereignis an Klaviyo (siehe Buchstabe j) übermittelt, um die Abwicklung des Guthabens auszulösen. Bei anonymer Teilnahme erfolgt keine solche Übermittlung.

Übermittlungen in Drittstaaten (z.B. USA, Kanada) erfolgen auf Basis von Standardvertragsklauseln (SCC) oder Gleichwertigkeitsbeschlüssen. Wir weisen darauf hin, dass US-Behörden unter Umständen auf Daten zugreifen können (Art. 17 revDSG).

6. Cookies & Tracking-Technologien

Essenzielle Cookies

Für den Betrieb von Website und Shop verwenden wir technisch notwendige Cookies und Einträge im Browser-Speicher, etwa für Spracheinstellung, Cookie-Wahl, Warenkorb, Kasse und Kundenkonto. Sie werden auf Basis unseres berechtigten Interesses am Betrieb von Website und Shop bearbeitet.

Analyse-Cookies (mit Einwilligung)

Analyse-Dienste setzen Cookies erst nach ausdrücklicher Einwilligung in «Analyse».

Google Analytics 4
Wir verwenden Google Analytics 4 zur Webanalyse. Das Google-Tag kann bereits beim Seitenaufruf geladen werden und übermittelt dabei technische Verbindungsdaten, insbesondere die IP-Adresse sowie Angaben zu Browser und Bildschirmauflösung. Ohne Einwilligung setzt es keine Cookies, und es werden keine Daten für Werbezwecke verwendet; erst nach Einwilligung erfolgt die Analyse mit Cookies. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenübermittlung in die USA auf Basis des EU-US Data Privacy Framework (DPF).
Google Datenschutzerklärung

PostHog
Mit PostHog werten wir aus, wie bunaroba.ch und der Shop unter shop.bunaroba.ch genutzt werden: Seitenaufrufe, Klicks, Scrolltiefe und Heatmaps sowie Sitzungsaufzeichnungen, die Mausbewegungen, Klicks und Scrollen eines Besuchs wiedergeben. PostHog wird erst nach Einwilligung in «Analyse» geladen. In den Aufzeichnungen sind Eingaben unkenntlich. Bearbeitet werden eine zufällige Kennung, die im Browser gespeichert wird, die besuchten Seiten, die verweisende Seite, Klicks, Angaben zu Gerät und Browser sowie der aus der IP-Adresse abgeleitete ungefähre Standort. Die IP-Adresse selbst wird nicht gespeichert. Speicherort der Daten: Frankfurt am Main, Deutschland. Anbieter: PostHog, Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA. Eine Übermittlung in die USA stützt sich auf das Swiss-US und das EU-US Data Privacy Framework (DPF) sowie auf Standardvertragsklauseln (SCC).
PostHog Datenschutzerklärung

Marketing-Cookies (mit Einwilligung)

Folgende Marketing-Dienste können eingesetzt werden, jeweils nur nach ausdrücklicher Einwilligung in «Marketing»:

Meta Pixel (Facebook/Instagram)
Das Meta Pixel dient dem Conversion-Tracking für Facebook- und Instagram-Werbung. Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Datenübermittlung in die USA möglich.
Meta Datenschutzerklärung

Google Ads
Google Ads dient dem Conversion-Tracking und dem Remarketing. Anbieter: Google Ireland Limited. Datenübermittlung in die USA auf Basis des EU-US Data Privacy Framework (DPF).
Google Datenschutzerklärung

UpPromote Affiliate Tracking
UpPromote ermöglicht das Tracking von Affiliate-Partnern und deren Provisionen. Dabei findet ein Cross-Domain Tracking zwischen bunaroba.ch und shop.bunaroba.ch statt. Für den Shop gilt zusätzlich der Abschnitt «Einwilligung im Shop».
UpPromote Datenschutzerklärung

Klaviyo Onsite-Tracking
Klaviyo setzt ein Cookie zur Wiedererkennung von Website-Besuchern und zur Zuordnung von Browse-Verhalten zu Newsletter-Profilen. Damit können personalisierte E-Mail-Flows (z.B. Produkt-Erinnerungen, Content-basierte Empfehlungen) sowie Cross-Domain-Profile zwischen bunaroba.ch und shop.bunaroba.ch ausgelöst werden. Anbieter: Klaviyo Inc., 125 Summer Street, Boston, MA 02110, USA. Datenübermittlung in die USA auf Basis von Standardvertragsklauseln (SCC).
Klaviyo Datenschutzerklärung

Bot-Schutz (ohne Einwilligung, berechtigtes Interesse)

Cloudflare Turnstile
Wir verwenden Cloudflare Turnstile als Schutz vor automatisiertem Missbrauch unserer Newsletter-Formulare. Das Schutzmodul wird erst nachgeladen, sobald ein Nutzer in das E-Mail-Feld klickt. Wer kein Formular benutzt, baut keine Verbindung zu Cloudflare auf. Beim Nachladen werden technische Daten (u.a. IP-Adresse, Browser-Signale, Interaktions-Muster) an Cloudflare Inc. übermittelt und bearbeitet. Turnstile setzt keine Tracking-Cookies. Rechtsgrundlage ist unser berechtigtes Interesse an Missbrauchs-Prävention (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 2 lit. d revDSG). Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Datenübermittlung in die USA auf Basis von Standardvertragsklauseln (SCC).
Cloudflare Datenschutzerklärung

Einwilligung im Shop (shop.bunaroba.ch)

Im Shop fragt das Cookie-Banner von Shopify nach der Einwilligung; ein Entscheid auf bunaroba.ch gilt auch dort. Analyse- und Marketing-Dienste werden im Shop erst nach der entsprechenden Einwilligung aktiv, mit folgenden Ausnahmen:

• Das Skript von Klaviyo wird beim Seitenaufruf geladen und übermittelt dabei die IP-Adresse und Angaben zum Browser an Klaviyo. Cookies setzt Klaviyo erst nach Einwilligung.
• Das Messpixel von UpPromote speichert bei jedem Seitenaufruf eine Kennung und bei Aufrufen über einen Partner-Link die Partner-Kennung im Browser, auch ohne Einwilligung.

Einwilligung verwalten

Die Cookie-Einstellungen können jederzeit geändert werden. Hierzu auf den folgenden Link klicken:

Cookie-Einstellungen ändern

7. Speicherdauer

• Vertrags- & Buchhaltungsdaten: 10 Jahre (gesetzliche Aufbewahrung)
• Affiliate-Performance-Protokolle: 10 Jahre nach Programmende (Steuer-/Nachweispflichten)
• Cookies und Kennungen im Browser: 13 Monate (Google Analytics); 1 Jahr (PostHog); 2 Jahre (Klaviyo); bis zu 60 Tage (Partner-Kennung)
• Analysedaten bei PostHog: Ereignisse 1 Jahr, Sitzungsaufzeichnungen höchstens 30 Tage
• Newsletter-Einwilligungen: bis zum Widerruf, danach 3 Jahre zur Beweissicherung
• Cookie-Einstellungen: 6 Monate, ausschliesslich im Browser der Nutzerin oder des Nutzers gespeichert; von uns nicht zentral protokolliert
• Support-Tickets: 3 Jahre nach Fallabschluss
• Umfrage-Antworten: für die Dauer der Auswertung, danach gelöscht oder anonymisiert; Name und E-Mail bis zur Abwicklung des Guthabens bzw. bis zum Widerruf

8. Datensicherheit

Wir schützen Personendaten durch technische und organisatorische Massnahmen nach dem Stand der Technik. Dazu gehören die verschlüsselte Übertragung sämtlicher Inhalte über TLS, die verschlüsselte Speicherung bei unseren Dienstleistern, eine rollenbasierte Zugriffskontrolle sowie Zwei-Faktor-Authentifizierung für administrative Zugänge.

Bei einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, melden wir dies dem EDÖB so rasch als möglich (Art. 24 Abs. 1 revDSG). Die betroffenen Personen informieren wir, wenn es zu ihrem Schutz erforderlich ist oder der EDÖB es verlangt (Art. 24 Abs. 4 revDSG).

9. Betroffenenrechte

Gemäss dem Schweizer Datenschutzgesetz (revDSG) und der DSGVO stehen dem Nutzer folgende Rechte zu:

• Auskunftsrecht: Der Nutzer hat das Recht, Auskunft über die von bunaroba bearbeiteten Personendaten zu erhalten.
• Berichtigungsrecht: Der Nutzer kann die Berichtigung unrichtiger oder unvollständiger Daten verlangen.
• Löschungsrecht: Der Nutzer kann die Löschung seiner Personendaten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung: Der Nutzer kann unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung seiner Daten verlangen.
• Datenportabilität: Der Nutzer hat das Recht, seine Daten in einem gängigen, maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht: Der Nutzer kann der Verarbeitung seiner Daten zu Direktwerbezwecken jederzeit widersprechen.
• Widerruf: Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Beschwerderecht: Der Nutzer hat das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen. Für Personen mit Wohnsitz im Fürstentum Liechtenstein ist zusätzlich die Datenschutzstelle Liechtenstein zuständig (Kirchstrasse 8, Postfach 684, FL-9490 Vaduz).

Zur Ausübung der Betroffenenrechte ist eine Anfrage zu richten an:

10. Profiling & automatisierte Entscheidungen

Wir führen kein Profiling mit Rechtswirkung durch. Affiliate-Tracking dient lediglich der Provisionszuordnung, nicht der automatisierten Entscheidung.

11. Daten von Kindern

Unser Angebot richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Daten Minderjähriger.

12. Änderungen dieser Erklärung

Wir aktualisieren diese Datenschutzerklärung bei Bedarf. Wesentliche Änderungen kommunizieren wir per Banner oder E-Mail. Die aktuelle Version ist stets unter bunaroba.ch/legal/datenschutz abrufbar.

13. Kontakt

Verantwortlich für Datenschutzfragen:
Roger Giese, Verantwortlich für Datenschutzfragen

Bunaroba AG, Zugerstrasse 6, 6330 Cham, Schweiz

Massgebliche Sprachfassung

Diese rechtlichen Bestimmungen wurden in deutscher Sprache verfasst. Im Falle von Übersetzungen in andere Sprachen ist bei Abweichungen oder Unklarheiten ausschliesslich die deutsche Fassung massgeblich und verbindlich.