Datenschutzerklärung
Stand: Oktober 2026
1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und an unseren Automaten ist:
Robin Knop, KiezVend (Einzelunternehmen) Pölnitzweg 65, 13125 Berlin Telefon: 0173 230 25 31 E-Mail: rknop@kiezvend.net
Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu gesetzlich nicht verpflichtet sind. Bei Fragen zum Datenschutz schreiben Sie uns einfach an die oben genannte Adresse.
2. Kurz zusammengefasst
Wir verarbeiten nur die Daten, die für unsere Website, Ihre Anfragen und den Betrieb unserer Automaten nötig sind.
Wir verkaufen keine Daten und nutzen sie nicht für Werbung.
An unseren Automaten erkennen Kameras, welche Produkte Sie entnehmen. Nach Angaben des Herstellers findet keine Gesichtserkennung und keine biometrische Identifizierung statt.
Teil A: Unsere Website
3. Hosting
Unsere Website wird bei Squarespace betrieben (Squarespace Ireland Limited, Le Pole House, Ship Street Great, Dublin 8, Irland). Beim Aufruf der Seiten verarbeitet Squarespace technische Daten wie IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Das ist nötig, um die Website sicher und stabil auszuliefern.
Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Squarespace verarbeitet die Daten als Auftragsverarbeiter in unserem Auftrag. Daten können auch an Squarespace, Inc. in den USA übermittelt werden. Grundlage dafür sind die EU-Standardvertragsklauseln und das EU-U.S. Data Privacy Framework, soweit das Unternehmen danach zertifiziert ist.
4. Cookies und Statistik
Wir setzen technisch notwendige Cookies, ohne die die Website nicht funktioniert, etwa für Sicherheit und Ihre Cookie-Einstellungen. Rechtsgrundlage ist § 25 Abs. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO.
Statistik- oder Marketing-Cookies setzen wir nur, wenn Sie im Cookie-Banner zustimmen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ihre Einwilligung können Sie jederzeit über die Cookie-Einstellungen am Seitenende widerrufen.
5. Kontakt- und Wunschformulare
Wenn Sie uns über ein Formular auf der Website oder über den QR-Code am Automaten schreiben, verarbeiten wir die Angaben, die Sie selbst machen. Das sind je nach Formular Ihr Anliegen, Ihre Nachricht, der Standort des Automaten sowie freiwillig Name und E-Mail-Adresse.
Wir nutzen diese Daten nur, um Ihre Anfrage zu bearbeiten, Ihnen zu antworten und unser Sortiment zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag oder dessen Anbahnung geht, sonst unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO).
Die Formulare werden über Squarespace verarbeitet. Wir löschen die Nachrichten, sobald die Anfrage erledigt ist, spätestens nach 12 Monaten, es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen.
6. Kontakt per E-Mail oder Telefon
Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Für E-Mails nutzen wir Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) als Auftragsverarbeiter. Eine Übermittlung in die USA ist möglich und durch die EU-Standardvertragsklauseln und das EU-U.S. Data Privacy Framework abgesichert. Rechtsgrundlagen und Löschfristen wie unter Punkt 5.
Teil B: Unsere Smart-Vending-Automaten
7. So funktioniert der Einkauf
Sie halten Ihre Karte oder Ihr Smartphone an das Terminal. Daraufhin wird ein Betrag auf Ihrer Karte vorgemerkt (Vorautorisierung) und die Tür entriegelt. Nach dem Schließen der Tür erkennt ein System anhand von Kamerabildern, welche Produkte Sie entnommen haben. Abgebucht wird nur der Preis dieser Produkte, die restliche Vormerkung gibt Ihre Bank wieder frei. Liegt Ihr Einkauf über dem vorgemerkten Betrag, wird die Differenz nachträglich abgebucht. [Mit HAHA bestätigen]
8. Bezahlung
Die Kartenzahlung läuft über ein Terminal vom Typ PAX IM30 und den Zahlungsdienstleister Shift4 Limited (ehemals Credorax Bank Limited), 80 Palazzo Homedes, Strait Street, Valletta VLT 1436, Malta, beaufsichtigt von der Malta Financial Services Authority. Dabei werden Kartendaten, Betrag und Zeitpunkt verarbeitet. Shift4 und die beteiligten Banken verarbeiten diese Daten in eigener Verantwortung, um die Zahlung abzuwickeln.
Wir selbst erhalten nur Betrag, Zeitpunkt, Kartentyp und eine gekürzte Kartennummer [im Portal prüfen], damit wir Umsätze zuordnen und Reklamationen klären können. Ihre vollständige Kartennummer sehen wir nicht. Rechtsgrundlage ist die Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO). Zahlungsdaten bewahren wir so lange auf, wie es steuer- und handelsrechtlich vorgeschrieben ist, in der Regel 6 bis 10 Jahre (§ 147 AO, § 257 HGB).
9. Kameras im Automaten
Im Inneren des Automaten sind Kameras oben im Gehäuse angebracht und zeigen senkrecht nach unten auf die Regale. Sie zeichnen nur auf, solange die Tür geöffnet ist. Die Aufnahmen dienen dazu, die entnommenen Produkte zu erkennen und richtig abzurechnen.
Die Kameras sind nicht auf Personen gerichtet. Es kann aber vorkommen, dass Hände, Kleidung oder in seltenen Fällen ein Gesicht ins Bild geraten. Nach Angaben des Herstellers werden versehentlich erfasste Gesichter automatisch unkenntlich gemacht. Eine Gesichtserkennung oder biometrische Identifizierung findet nach Angaben des Herstellers nicht statt, und auch wir nutzen die Aufnahmen nicht dafür.
Zwecke und Rechtsgrundlagen:
Abrechnung Ihres Einkaufs (Art. 6 Abs. 1 lit. b DSGVO)
Klärung von Reklamationen, zum Beispiel bei einer falschen Abbuchung (Art. 6 Abs. 1 lit. f DSGVO)
Schutz vor Diebstahl und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO)
Aufnahmen werden 30 Tage gespeichert und dann automatisch gelöscht. Länger bewahren wir sie nur auf, wenn wir sie für eine konkrete Reklamation oder einen Vorfall benötigen. Am Automaten weist ein Schild auf die Kameras hin.
10. Beleg per E-Mail
Wenn Sie am Automaten einen Beleg anfordern, verarbeiten wir Ihre E-Mail-Adresse nur, um Ihnen diesen Beleg zu schicken (Art. 6 Abs. 1 lit. b DSGVO). Den Beleg verschickt das System von HAHA in unserem Auftrag (siehe Punkt 11). Wir nutzen Ihre E-Mail-Adresse nicht für Werbung.
11. Technik-Dienstleister und Übermittlung in Drittländer
Automaten, Software und Bilderkennung stammen von HAHA Vending. Für uns ist die Wuhan Haha Convenience Technology Co., Ltd. (Wuhan, China) als Auftragsverarbeiter tätig. Mit ihr haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. [Erst veröffentlichen, wenn der DPA unterschrieben ist] Ihr Vertreter in der EU ist die FIFTY INNOVATION S.L., Calle Princesa 29, 28008 Madrid, Spanien.
Die Daten aus den Automaten (Kamerabilder, Verkaufs- und Zahlungsdaten wie Betrag und Zeitpunkt, Gerätedaten) werden in Rechenzentren von Tencent Cloud in Virginia, USA, gespeichert. Autorisierte Support-Mitarbeitende von HAHA in China können bei Bedarf darauf zugreifen, etwa zur Fehlerbehebung oder zur Prüfung einer Reklamation.
Für die USA und China gibt es keinen Angemessenheitsbeschluss der EU-Kommission, der diese Übermittlungen abdeckt. Grundlage sind deshalb die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), ergänzt um technische und organisatorische Schutzmaßnahmen wie Zugriffsbeschränkungen. Eine Kopie der Standardvertragsklauseln können Sie bei uns anfordern.
Teil C: Geschäftskontakte und Ihre Rechte
12. Standortpartner und Lieferanten
Wenn Sie für einen Standort, einen Lieferanten oder einen Dienstleister mit uns zusammenarbeiten, verarbeiten wir die Kontaktdaten Ihrer Ansprechpersonen (Name, Funktion, Telefon, E-Mail) und den Verlauf unserer Absprachen. Das dient der Anbahnung und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. unserem berechtigten Interesse an der Geschäftsbeziehung (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Daten, wenn die Zusammenarbeit endet und keine Aufbewahrungspflichten mehr bestehen.
13. Empfänger
Ihre Daten erhalten nur die in dieser Erklärung genannten Dienstleister, soweit sie für den jeweiligen Zweck nötig sind, sowie bei Bedarf unsere Steuerberatung im Rahmen der gesetzlichen Pflichten. Die Abrechnung am Automaten erfolgt automatisch anhand der Bilderkennung. Das ist für den Kaufvertrag erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Halten Sie eine Abbuchung für falsch, prüfen wir den Einkauf auf Ihren Hinweis hin persönlich anhand der Aufnahmen und korrigieren ihn. Ein Profiling findet nicht statt.
14. Pflicht zur Bereitstellung
Am Automaten sind Kartendaten nötig, um einzukaufen. Die Kameraaufnahmen sind technisch notwendig, damit der Automat abrechnen kann. Alle Angaben in Formularen und E-Mails sind freiwillig. Ohne Kontaktdaten können wir Ihnen allerdings nicht antworten.
15. Ihre Rechte
Sie haben das Recht auf:
Auskunft über die Daten, die wir über Sie verarbeiten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung Ihrer Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Widerspruchsrecht: Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).
Für alle Anliegen genügt eine E-Mail an rknop@kiezvend.net. Wenn Sie Auskunft zu einem bestimmten Einkauf möchten, nennen Sie bitte Datum, Uhrzeit und Standort des Automaten, damit wir die Daten zuordnen können.
16. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59–61, 10555 Berlin www.datenschutz-berlin.de
17. Änderungen
Wir passen diese Erklärung an, wenn sich unsere Angebote, Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf kiezvend.net/datenschutz veröffentlichte Fassung.