Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO), welche personenbezogenen Daten wir verarbeiten, wenn Sie myherball.de besuchen oder bei uns bestellen, zu welchen Zwecken und auf welcher Rechtsgrundlage das geschieht und welche Rechte Sie haben.

1. Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

A. Ghiorghiu — MyHerball.de
Unabhängiger Herbalife Berater
Schürbungertweg 10
8302 Kloten
Schweiz
Telefon: +41 44 554 91 91
E-Mail: [email protected]

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter [email protected].

2. Anwendbares Recht

Unser Online-Shop richtet sich an Kundinnen und Kunden in Deutschland. Für die Verarbeitung ihrer Daten gelten daher die DSGVO (Art. 3 Abs. 2 lit. a DSGVO) und ergänzend das Bundesdatenschutzgesetz (BDSG). Für das Speichern von Informationen auf Ihrem Endgerät — etwa Cookies oder Einträge im lokalen Speicher des Browsers — gilt zusätzlich § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

3. Übersicht: was wir wofür verarbeiten

4. Die Verarbeitungen im Einzelnen

Aufruf der Website und Server-Protokolle

Bei jedem Seitenaufruf verarbeitet unser Server die technisch notwendigen Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem). Ohne sie lässt sich die Seite nicht ausliefern und nicht gegen Angriffe schützen. Die Protokolle werden spätestens nach 90 Tagen gelöscht oder überschrieben.

Die Website wird über das Netzwerk von Cloudflare ausgeliefert, das sie vor Überlastung und automatisierten Angriffen schützt. Cloudflare verarbeitet dabei die Verbindungsdaten Ihres Browsers und setzt gegebenenfalls das technisch notwendige Cookie __cf_bm (30 Minuten).

Bestellung und Kundenkonto

Für eine Bestellung benötigen wir die im Bestellformular als Pflichtfelder gekennzeichneten Angaben. Ohne sie können wir den Vertrag nicht abschließen und die Ware nicht liefern. Ein Kundenkonto ist freiwillig; dort speichern wir Ihre Adressen, Ihre Bestellungen und Ihr Passwort ausschließlich als bcrypt-Hash — wir sehen es nie im Klartext. Sie können Ihre Angaben im Kundenkonto jederzeit selbst einsehen und ändern.

Die Ware wird direkt aus dem Lager von Herbalife versendet. Dafür übermitteln wir Herbalife Namen, Lieferadresse und — soweit für die Zustellung nötig — Telefonnummer und E-Mail-Adresse; Herbalife übergibt das Paket an den Paketdienst DPD, der Sie gegebenenfalls über die Zustellung informiert.

Bezahlung

Kartenzahlung, Klarna, PayPal, Apple Pay, Google Pay und Link wickeln wir über Stripe ab. Ihre Zahlungsdaten (z. B. Kartennummer) geben Sie direkt bei Stripe ein; sie gelangen nie auf unsere Server. Wir erhalten nur die Bestätigung, ob und wie bezahlt wurde. Wählen Sie Klarna oder PayPal, verarbeiten auch diese Anbieter Ihre Daten nach ihren eigenen Datenschutzbestimmungen und können dabei eine Identitäts- und Bonitätsprüfung vornehmen. Stripe setzt auf der Kassenseite die Cookies __stripe_mid und __stripe_sid zur Betrugserkennung.

Abonnement (Abo)

Wenn Sie Produkte im Abo bestellen, speichern wir zu Ihrem Kundenkonto die Abo-Daten: Produkte, Rhythmus, nächster Liefertermin, Abo-Rabatt, Liefer- und Rechnungsadresse sowie die bisherigen Lieferungen. Ihre Zahlungsmethode wird mit Ihrer Zustimmung bei der Abo-Bestellung bei Stripe (Stripe Payments Europe, Ltd., Irland) gespeichert; wir selbst speichern nur die Kundennummer bei Stripe, die Art der Zahlungsmethode, bei Karten die Marke, die letzten vier Ziffern und das Ablaufdatum. Mit diesen Angaben werden die weiteren Lieferungen automatisch belastet; wir schicken Ihnen vor jeder Lieferung eine Erinnerung und gegebenenfalls einen Zahlungslink per E-Mail. Rechtsgrundlage ist die Erfüllung des Abo-Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Abo-Daten löschen wir, sobald das Abo gekündigt ist und keine gesetzlichen Aufbewahrungspflichten mehr bestehen; die bei Stripe gespeicherte Zahlungsmethode wird mit der Kündigung nicht mehr verwendet.

E-Mails

Bestellbestätigungen, Versandinformationen, Antworten auf Anfragen und den Newsletter versenden wir über unseren eigenen Mailserver. Nachrichten an Adressen bei Apple (icloud.com, me.com, mac.com) leiten wir über den Versanddienst Brevo weiter, weil Apple sie sonst nicht zuverlässig zustellt.

Newsletter

Wenn Sie sich für den Newsletter anmelden, schicken wir Ihnen gelegentlich Angebote und Neuigkeiten aus unserem Shop sowie einmalig einen persönlichen Rabattcode. Wir werten nicht aus, ob Sie unsere E-Mails öffnen oder Links darin anklicken. Sie können sich jederzeit über den Link in jeder E-Mail oder per Nachricht an uns abmelden. Danach speichern wir Ihre Adresse nur noch auf einer Sperrliste, damit Sie keine weiteren Werbe-E-Mails erhalten (Art. 6 Abs. 1 lit. f DSGVO).

Erinnerung an den Warenkorb

Nur wenn Sie im Cookie-Banner der Kategorie „Marketing“ zugestimmt haben und an der Kasse Ihre E-Mail-Adresse eingeben, die Bestellung aber nicht abschließen, erinnern wir Sie höchstens dreimal per E-Mail daran. Ohne diese Zustimmung speichern wir einen nicht abgeschlossenen Warenkorb nicht.

Produktbewertungen und Erinnerung zum Nachbestellen

Wenn Sie nach der Bestellung auf der Danke-Seite zustimmen oder unseren Newsletter abonniert haben, schicken wir Ihnen nach dem Versand eine Einladung, die gekauften Produkte zu bewerten, und – bei Formula 1 – eine Erinnerung, bevor die Dose zur Neige geht (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Jede dieser E-Mails enthält einen Abmeldelink. Eine Bewertung speichern wir mit Name, Sternen, Text, Bestellnummer und E-Mail-Adresse; veröffentlicht werden nur Name, Sterne, Text und Datum, nach Prüfung durch uns. Die Daten liegen auf unserem eigenen Server (Directus-Instanz „hub“, gemeinsam mit unserem Schweizer Shop desselben Betreibers).

Benachrichtigung bei Wiederverfügbarkeit

Tragen Sie sich bei einem ausverkauften Produkt ein, speichern wir Ihre E-Mail-Adresse und das Produkt, bis wir Ihnen einmalig mitgeteilt haben, dass es wieder lieferbar ist (Art. 6 Abs. 1 lit. a DSGVO). Danach wird die Anfrage geschlossen.

Kundenfotos (Rezeptideen)

Fotos, die Sie über „Rezeptidee teilen“ senden, speichern wir mit Vorname, E-Mail-Adresse und Beschreibung. Nach unserer Freigabe zeigen wir Foto, Vorname und Beschreibung auf myherball.de (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit per E-Mail an [email protected] widerrufen; das Foto wird dann entfernt.

Freunde werben und Treuevorteile

Für „Freunde werben“ verknüpfen wir Ihren persönlichen Code mit Ihrer E-Mail-Adresse, um Ihnen nach der Bestellung Ihrer Empfehlung einen Einkaufsgutschein zu schicken. Für die Treuevorteile (Gratisversand ab der dritten, Geschenk bei der sechsten Bestellung in zwölf Monaten) zählen wir Ihre bezahlten Bestellungen unter derselben E-Mail-Adresse (Art. 6 Abs. 1 lit. b DSGVO).

Gratis-Zugang zu HealthyAndTasty.ch

Zu einer bezahlten Bestellung mit berechtigten Produkten erhalten Sie einen kostenlosen, zeitlich begrenzten Zugang zur Rezept-App HealthyAndTasty.ch. Dafür übermitteln wir nach dem Zahlungseingang Ihre E-Mail-Adresse, die Bestellnummer, die bestellten Produkte (Artikelnummer, Bezeichnung, Menge), die Sprache und die Dauer des Zugangs an HealthyAndTasty.ch; Ihre Adresse und Ihre Zahlungsdaten übermitteln wir nicht. HealthyAndTasty.ch legt damit ein Benutzerkonto an (oder verlängert ein bestehendes) und schickt Ihnen per E-Mail einen Link, mit dem Sie Ihr Passwort festlegen. Die App wird vom selben Betreiber (A. Ghiorghiu, Kloten, Schweiz) betrieben; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Rechtsgrundlage ist die Erfüllung des beim Kauf zugesagten Gratis-Zugangs (Art. 6 Abs. 1 lit. b DSGVO). Für die Nutzung der App gilt deren eigene Datenschutzerklärung. Eine E-Mail mit Rezeptideen aus der App schicken wir Ihnen nach dem Versand nur mit Ihrer Einwilligung; jede dieser E-Mails enthält einen Abmeldelink.

Cookies, lokaler Speicher und Einwilligung

Technisch notwendige Speicherungen — Warenkorb, Rabattcode, Anmeldung, Bezahlung, Ihre Auswahl im Cookie-Banner — setzen wir ohne Einwilligung ein (§ 25 Abs. 2 TDDDG). Alles andere wird erst geladen, wenn Sie im Banner ausdrücklich zustimmen. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite ändern oder widerrufen. Die einzelnen Cookies und Speichereinträge sind in der Cookie-Richtlinie aufgelistet.

Statistik: Google Analytics 4 und Ahrefs Web Analytics

Nur mit Ihrer Einwilligung in die Kategorie „Statistik“ laden wir Google Analytics 4 (Google Ireland Limited). Google Analytics setzt die Cookies _ga und _ga_* (bis zu 2 Jahre) und wertet pseudonym aus, welche Seiten wie genutzt werden; vollständige IP-Adressen speichert Google Analytics 4 nicht. Ebenfalls nur mit dieser Einwilligung laden wir Ahrefs Web Analytics (Ahrefs Pte. Ltd., Singapur), eine Reichweitenmessung ohne Cookies, die aufgerufene Seiten, Herkunftsseite, Gerätetyp und Land zählt. Zusätzlich merken wir uns im lokalen Speicher Ihres Browsers (mh_herkunft), über welchen Weg Sie zu uns gekommen sind (z. B. Suchmaschine oder Newsletter), und ordnen diese Angabe einer späteren Bestellung zu.

Marketing

Derzeit setzen wir keine Werbe-Cookies und keine Werbe-Tracker ein. Die Einwilligung in die Kategorie „Marketing“ nutzen wir ausschließlich für die oben beschriebene Erinnerung an einen nicht abgeschlossenen Warenkorb. Setzen wir künftig Werbewerkzeuge ein, ergänzen wir diese Erklärung vorher und fragen Ihre Einwilligung erneut ab.

Eingebettete Videos

Einige Seiten enthalten Videos von YouTube (Google Ireland Limited). Bis Sie auf „Abspielen“ klicken, zeigen wir nur ein Vorschaubild von unserem eigenen Server; YouTube erhält bis dahin keine Daten. Erst nach dem Klick wird der Player im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen; dabei wird Ihre IP-Adresse an YouTube übermittelt.

5. Empfänger

Wir verkaufen Ihre Daten nicht. Wir geben sie nur weiter, soweit es für die genannten Zwecke nötig ist. Dienstleister, die in unserem Auftrag tätig sind, sind nach Art. 28 DSGVO vertraglich gebunden.

Behörden und Gerichten übermitteln wir Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

6. Übermittlung in Länder außerhalb der EU

Schweiz: Der Verantwortliche hat seinen Sitz in der Schweiz. Für die Schweiz hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen (Art. 45 DSGVO); Ihre Daten genießen dort ein mit der EU vergleichbares Schutzniveau.

USA: Cloudflare, Google und Stripe können Daten auch in den USA verarbeiten. Diese Unternehmen sind nach dem EU-U.S. Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht; ergänzend gelten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Vereinigtes Königreich: Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Singapur (Ahrefs): Für Singapur besteht kein Angemessenheitsbeschluss; dort ist kein mit der EU gleichwertiges Datenschutzniveau festgestellt. Ahrefs Web Analytics arbeitet nach Angaben des Anbieters ohne Cookies und ohne Speicherung vollständiger IP-Adressen. Die Messung wird nur geladen, wenn Sie der Kategorie „Statistik“ zustimmen; die Übermittlung stützt sich auf diese ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

7. Speicherdauer

• Bestellungen, Rechnungen und Buchhaltungsunterlagen: Rechnungen und Buchungsbelege 8 Jahre, Bücher und Aufzeichnungen 10 Jahre, jeweils ab Ende des Kalenderjahres (§ 147 AO); darüber hinaus nur, solange sie für ein laufendes Verfahren oder einen Gewährleistungsfall benötigt werden.
• Kundenkonto: bis Sie es löschen lassen. Danach bleiben nur die Unterlagen erhalten, die wir aufbewahren müssen.
• Anfragen: bis zu 24 Monate nach der letzten Nachricht, sofern sie nicht zu einem Vertrag gehören.
• Newsletter: bis zu Ihrer Abmeldung; danach nur noch die E-Mail-Adresse auf der Sperrliste.
• Nicht abgeschlossener Warenkorb: Wir senden höchstens drei Erinnerungen; den gespeicherten Eintrag löschen wir, sobald Sie Ihre Einwilligung widerrufen oder die Löschung verlangen.
• Server-Protokolle: höchstens 90 Tage.
• Statistik: Google Analytics bewahrt Ereignisdaten 14 Monate auf; die Cookie-Laufzeiten stehen in der Cookie-Richtlinie.

8. Ihre Rechte

Sie haben nach der DSGVO das Recht auf

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeitungen, die wir auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f) stützen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Gegen die Verwendung Ihrer Daten für Direktwerbung können Sie jederzeit und ohne Begründung Widerspruch einlegen.

Schreiben Sie dafür an [email protected]. Wir antworten innerhalb eines Monats. Damit keine Daten an Unbefugte gelangen, können wir Sie bitten, Ihre Identität nachzuweisen.

Beschwerde bei der Aufsichtsbehörde: Wenn Sie der Meinung sind, dass wir Ihre Daten nicht rechtmäßig verarbeiten, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Aufsichtsbehörde des Bundeslandes, in dem Sie wohnen oder arbeiten. Eine Übersicht der zuständigen Stellen finden Sie beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit unter www.bfdi.bund.de.

9. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO), und erstellen keine Profile. Zahlungsanbieter können im Rahmen der Zahlung eigene Betrugsprüfungen durchführen.

10. Datensicherheit

Die Website wird ausschließlich verschlüsselt übertragen (TLS/HTTPS). Der Zugang zur Shop-Datenbank und zur Verwaltung ist auf berechtigte Personen beschränkt und durch eine Zwei-Faktor-Anmeldung geschützt. Trotz dieser technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) kann bei einer Übertragung über das Internet keine absolute Sicherheit garantiert werden.

11. Minderjährige

Unser Shop richtet sich an Erwachsene. Wir erheben nicht wissentlich Daten von Kindern; erfahren wir davon, löschen wir sie.

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn wir neue Dienste einsetzen oder sich die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: November 2026