Datenschutzerklärung
1. Verantwortlicher
Verantwortlich für die Datenbearbeitung auf dieser Website ist: Primos del Patrón GmbH, Gärbigasse 17, 6215 Beromünster, Schweiz. Für Datenschutzanliegen erreichen Sie uns unter info@primos-del-patron.ch.
2. Rechtsgrundlagen
Wir bearbeiten Personendaten, soweit dies zur Erfüllung eines Vertrags mit Ihnen nötig ist (Bestellung, Konto), soweit Sie eingewilligt haben (Newsletter, Kontaktformular, Analyse-Cookies), soweit uns das Gesetz dazu verpflichtet (Buchhaltung, Alterskontrolle) oder soweit wir ein überwiegendes berechtigtes Interesse haben (Betrieb, Sicherheit, Missbrauchsabwehr). Für Besucherinnen und Besucher aus dem EWR entsprechen diese Grundlagen Art. 6 Abs. 1 lit. a, b, c und f DSGVO.
3. Welche Daten wir bearbeiten
Konto & Profil: E-Mail-Adresse sowie die Angaben, die Sie freiwillig in Ihrem Konto hinterlegen (Name, Adresse, Telefon, Firma). Bestellungen: Bestell-, Liefer- und Zahlungsangaben. Kartendaten sehen wir nie; die Zahlung läuft direkt über Stripe. Bewertungen: der von Ihnen gewählte Anzeigename, Sterne und Kommentar; öffentlich sichtbar. Kontakt & Newsletter: Ihre Nachricht bzw. Ihre E-Mail-Adresse (Newsletter nur nach Bestätigung per Double-Opt-in). Technisch: beim Aufruf der Website fallen server- und sicherheitsbedingt IP-Adresse und Zugriffsdaten an. Nutzung: Mit Ihrer Einwilligung erfassen wir anonyme Statistiken über aufgerufene Seiten, Verweisquelle, ungefähre Region, Gerätetyp und Browser.
4. Zwecke der Bearbeitung
Wir bearbeiten Ihre Daten zur Abwicklung von Bestellungen und des Mitgliederkontos, zur Beantwortung von Anfragen, für den Newsletter und die anonyme Reichweitenmessung (beides nur mit Ihrer Einwilligung) sowie für Betrieb und Sicherheit der Website (Missbrauchs- und Bot-Abwehr, Altersprüfung). Wir betreiben kein Werbetracking und verkaufen keine Daten. Mit Ihrer Einwilligung messen wir zusätzlich die Reichweite unserer Seiten (Google Analytics), um Inhalte und Sortiment zu verbessern.
5. Konto & Einladung
Der Mitgliederbereich ist einladungsbasiert. Beim Einlösen eines Einladungscodes speichern wir den Code, den Zeitpunkt der Einlösung und das damit eröffnete Konto; so wird jeder Code nur einmal vergeben. Zum Konto gehören Ihre E-Mail-Adresse und entweder ein Passwort oder Ihre Google-Anmeldung; die Anmeldedaten verwaltet Firebase Authentication, Ihr Passwort sehen wir nie. Profilangaben (Name, Adresse, Telefon, Firma) hinterlegen Sie freiwillig, damit Bestellungen schneller gehen. Den Warenkorb speichern wir Ihrem Konto zugeordnet, damit er auf allen Geräten gleich aussieht.
6. Bestellungen & Zahlung
Bei einer Bestellung bearbeiten wir Kontakt- und Lieferangaben, die bestellten Artikel, Beträge, Zahlungsstatus und Bestellverlauf. Die Zahlung wickelt Stripe ab: Karten- und TWINT-Daten geben Sie direkt bei Stripe ein. Wir erhalten nur die Zahlungsbestätigung, die Zahlungsart, die letzten Kartenziffern und eine Transaktionsreferenz; vollständige Kartendaten sehen und speichern wir nie. Stripe bearbeitet Daten zusätzlich zur Betrugserkennung und zur Erfüllung eigener gesetzlicher Pflichten als Zahlungsdienstleisterin. Bestell- und Rechnungsdaten unterliegen der gesetzlichen Aufbewahrungspflicht.
7. Kontaktformular & Newsletter
Kontaktformular: Wir bearbeiten Name, E-Mail-Adresse, Betreff und Nachricht sowie Ihre Zustimmung zu dieser Datenschutzerklärung mit Zeitstempel, Letzteres als Nachweis der Einwilligung. Die Angaben dienen ausschliesslich der Beantwortung Ihrer Anfrage. Newsletter: Die Anmeldung läuft im Double-Opt-in-Verfahren. Ihre Adresse bleibt unbestätigt, bis Sie den Link in unserer Bestätigungsmail anklicken; Anmelde- und Bestätigungszeitpunkt werden protokolliert. Jede Ausgabe enthält einen Abmeldelink, der sofort wirkt; ein Widerruf gilt für die Zukunft. Der Versand aller System- und Newsletter-Mails erfolgt über die Firebase-Erweiterung «Trigger Email» und den SMTP-Dienst von Infomaniak (Schweiz).
8. Altersprüfung
Tabakwaren dürfen wir nur an Personen ab 18 Jahren abgeben (Bundesgesetz über Tabakprodukte und elektronische Zigaretten, TabPG). Beim ersten Besuch bestätigen Sie Ihr Alter selbst; diese Bestätigung wird 30 Tage lang ausschliesslich lokal in Ihrem Browser gespeichert und nicht an uns übermittelt. Bei Bestellungen behalten wir uns eine Alterskontrolle vor: bei der Bestellung und bei der Übergabe der Sendung.
9. Bewertungen
Veröffentlichen Sie eine Bewertung, sind der von Ihnen gewählte Anzeigename, die Sterne, der Text und das Datum für alle Besucher sichtbar und können von Suchmaschinen erfasst werden. Sie können eigene Bewertungen jederzeit selbst löschen; beim Löschen des Kontos werden sie mit entfernt.
10. Auftragsbearbeiter & Drittanbieter
Google Firebase (Google Ireland Ltd. / Google LLC): Hosting, Datenbank, Anmeldung, Dateispeicher und die Server-Funktion dieser Website. Google Analytics (Google Ireland Ltd. / Google LLC): anonyme Reichweitenmessung, nur nach Ihrer Einwilligung im Cookie-Banner. Stripe Payments Europe Ltd. / Stripe Inc.: Zahlungsabwicklung für Karte und TWINT. Cloudflare Inc. (Turnstile): Bot-Abwehr in unseren Formularen; dabei fallen IP-Adresse und technische Merkmale Ihres Browsers an. Turnstile setzt keine Werbe-Cookies und erstellt kein geräteübergreifendes Profil. Google Analytics 4 über Firebase (Google Ireland Ltd.): anonyme Reichweitenmessung, nur nach Ihrer Einwilligung. E-Mail-Zustellung: Die Firebase-Erweiterung «Trigger Email» übergibt Bestell-, System- und Newsletter-Mails an den SMTP-Dienst von Infomaniak Network SA (Genf), der sie versendet; die Server stehen in der Schweiz. Schriften, Bilder und Skripte liefern wir von unserer eigenen Domain aus; es besteht keine Verbindung zu Google Fonts oder einem fremden CDN. Alle Anbieter sind vertraglich als Auftragsbearbeiter verpflichtet und bearbeiten Daten nur nach unserer Weisung.
11. Bekanntgabe ins Ausland
Unsere Daten liegen primär in der Schweiz und im EWR; Datenbank und Server-Funktion dieser Website laufen in der Region europe-west6 (Zürich). Bei Google, Stripe und Cloudflare ist eine Bearbeitung in den USA oder weiteren Staaten nicht ausgeschlossen. Solche Bekanntgaben stützen wir auf die Standardvertragsklauseln der EU-Kommission mit Schweizer Anpassungen und, soweit die Anbieter zertifiziert sind, auf das Swiss-U.S. beziehungsweise EU-U.S. Data Privacy Framework.
12. Hosting & Server-Protokolle
Die Website wird über Firebase Hosting ausgeliefert; die Serverlogik läuft als einzelne Cloud-Function in europe-west6 (Zürich). Beim Aufruf protokolliert die Infrastruktur technisch bedingt IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, Statuscode und Browserkennung. Diese Protokolle dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen, werden nicht mit Ihrem Konto zusammengeführt und nach kurzer Zeit automatisch gelöscht. Zur Missbrauchsabwehr begrenzen wir zudem die Zahl der Anfragen pro IP-Adresse.
14. Analyse mit Google Analytics
Nur wenn Sie im Cookie-Banner «Alle akzeptieren» wählen, laden wir Google Analytics 4 (über Firebase, Google Ireland Ltd.). Gemessen werden Seitenaufrufe mit Seitentitel, URL, Verweisquelle und Pfad sowie ungefähre Region, Gerätetyp und Browser; daraus entsteht eine anonyme Nutzungsstatistik. Ihre IP-Adresse verwendet Google Analytics 4 nur zur groben Standortbestimmung und speichert sie nicht. Wir nutzen keine Werbefunktionen, kein Remarketing und geben die Statistiken nicht an Dritte weiter. Ohne Ihre Einwilligung wird der Analyse-Code gar nicht erst geladen. Ihre Wahl können Sie jederzeit über «Cookie-Einstellungen» im Seitenfuss ändern; ein Widerruf wirkt sofort und für die Zukunft.
15. Datensicherheit
Alle Verbindungen sind mit TLS verschlüsselt, ergänzt um eine strenge Content-Security-Policy. Öffentliche Besucher schreiben nie direkt in unsere Datenbank: Formulare laufen über geprüfte Server-Endpunkte, und die Datenbankregeln sind standardmässig geschlossen. Zugriff auf Konto-, Bestell- und Nachrichtendaten haben nur ausdrücklich berechtigte Personen. Passwörter liegen ausschliesslich gehasht bei Firebase Authentication, Zahlungsdaten ausschliesslich bei Stripe.
16. Aufbewahrung
Konto- und Profildaten bleiben gespeichert, bis Sie Ihr Konto löschen. Bestell- und Buchhaltungsdaten bewahren wir aufgrund der gesetzlichen Aufbewahrungspflicht 10 Jahre auf (Art. 958f OR). Newsletter-Adressen bleiben bis zur Abmeldung gespeichert, Kontaktanfragen bis zur Erledigung und höchstens zwei Jahre darüber hinaus. Einladungscodes bleiben gespeichert, solange das damit eröffnete Konto besteht. Server-Protokolle werden nach kurzer Zeit automatisch gelöscht. Analysedaten in Google Analytics werden gemäss der dort eingestellten Aufbewahrungsdauer (standardmässig 14 Monate) automatisch gelöscht.
17. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Herausgabe Ihrer Daten sowie auf Widerruf erteilter Einwilligungen; ein Widerruf gilt für die Zukunft. Ihr Konto samt Profil, Warenkorb und Bewertungen können Sie jederzeit selbst im Konto-Bereich löschen; Bestelldaten bleiben wegen der gesetzlichen Aufbewahrungspflicht bestehen. Für alles Weitere genügt eine E-Mail an info@primos-del-patron.ch; wir dürfen dabei Ihre Identität überprüfen. Sind Sie der Ansicht, dass wir Ihre Daten nicht rechtmässig bearbeiten, können Sie sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Bern) melden; im EWR bei der für Sie zuständigen Aufsichtsbehörde.
18. Keine automatisierten Einzelentscheide
Wir treffen keine automatisierten Einzelentscheidungen mit Rechtsfolge und betreiben kein Profiling zu Werbezwecken. Automatisiert laufen einzig die Bot-Prüfung der Formulare (Cloudflare Turnstile) und die Betrugsprüfung der Zahlungsdienstleisterin. Wird eine Zahlung dabei abgelehnt, melden Sie sich bei uns; ein Mensch schaut sich das an.
19. Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unsere Dienstleister oder die Rechtslage ändern. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der letzten Änderung steht am Ende der Seite.
Stand: August 2026
Allgemeine Geschäftsbedingungen