Datenschutzerklärung – „Kostenlose Umzugskartons von Vodafone“

1. Verantwortliche Stelle, Auftragsverarbeitung und Datenschutzbeauftragter

Verantwortlicher für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

Vodafone GmbH
Ferdinand-Braun-Platz 1
40549 Düsseldorf
Deutschland
E-Mail: datenschutz@vodafone.com

Der Datenschutzbeauftragte der Vodafone GmbH ist erreichbar unter: E-Mail: datenschutz@vodafone.com, Postanschrift wie oben, z. Hd. „Datenschutzbeauftragter“.

Auftragsverarbeiter nach Art. 28 DSGVO ist:

Promodoro GmbH
Taunusanlage 8
60329 Frankfurt am Main
Deutschland

Die Promodoro GmbH betreibt die Website technisch im Auftrag der Vodafone GmbH. Zwischen Vodafone und Promodoro besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Website umzugskartons-gratis.de sowie die unter dieser Domain durchgeführte Aktion „Gratis Umzugskartons von Vodafone“.

3. Datenverarbeitung beim Aufruf der Website (Server-Logfiles)

Lovable: Die Website wird über die Plattform Lovable (Lovable Labs Incorporated) gehostet und über Cloudflare ausgeliefert. Beim Aufruf dieser Website werden automatisch folgende Informationen erfasst:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite / abgerufene Datei
• Browsertyp, Browserversion und Betriebssystem
• Referrer-URL (zuvor besuchte Seite)

Zweck: Sicherstellung eines reibungslosen Verbindungsaufbaus, Auswertung der Systemsicherheit und -stabilität, Schutz vor Missbrauch (u. a. über Cloudflare Bot-Management und Cloudflare Turnstile, siehe Ziffer 10).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Bereitstellung und Sicherheit der Website).

Speicherdauer: bis zu 90 Tage.

Weitere Verarbeitungen beim Aufruf der Website (Statistik- und Marketing-Dienste wie Google Analytics und Meta Pixel) erfolgen ausschließlich nach vorheriger Einwilligung über das Cookie-Banner und sind gesondert in Ziffer 9 sowie Ziffer 11.3/11.4 beschrieben.

4. Bestellung des Umzugskartons (Bestellformular)

Wenn Sie über das Bestellformular kostenlose Umzugskartons anfordern, verarbeiten wir folgende Daten:

• Vor- und Nachname
• bisherige Adresse (Straße, Hausnummer, Adresszusatz, PLZ, Ort)
• neue Adresse (Straße, Hausnummer, Adresszusatz, PLZ, Ort)
• E-Mail-Adresse
• Handynummer
• Umzugsdatum

Zweck: Prüfung Ihrer Berechtigung im Rahmen der Aktion, Versand der Kartons an die angegebene Adresse, Kontaktaufnahme bei Rückfragen zur Bestellung, Kundensegmentierung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zusätzlicher Zweck der Handynummer: Erkennung von Mehrfachbestellungen derselben Person zur Sicherstellung der einmaligen Teilnahme (siehe Teilnahmebedingungen Ziffer 3). Rechtsgrundlage hierfür: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Missbrauch und Mehrfachteilnahme).

Kundenstatus (Angabe, ob bereits Vodafone-Kunde, Festnetz/Mobilfunk/TV/mehrere Produkte/kein Kunde): Wird erhoben, um die spätere werbliche Ansprache passend danach auszurichten, ob es sich um einen Neu- oder Bestandskunden handelt und welche Produkte bereits genutzt werden. Diese Angabe wird auf Grundlage Ihrer Einwilligung zur werblichen Kontaktaufnahme erhoben und verarbeitet; zu den Details vgl. weiter unten unter Ziffer 7 und 8. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Empfänger der Daten:

• Vodafone GmbH und Vodafone West GmbH (Verantwortliche)
• Promodoro GmbH (Auftragsverarbeitung)
• Cella GmbH (Versanddienstleister, siehe Ziffer 5)

Speicherdauer:

Die reinen Bestell-/Versanddaten (Adressen, Umzugsdatum) werden vier Wochen nach erfolgtem Versand gelöscht. Kann eine Bestellung mangels Kapazitäten nicht abgeschlossen werden, werden die für den Versand benötigten Daten (vgl. Ziffer 4) für die Dauer von 14 Tagen auf einer Warteliste vorgehalten und anschließend gelöscht. Die Einwilligungsnachweise (E-Mail- und Telefonwerbung-Einwilligung, siehe Ziffer 6 und Ziffer 7) werden davon getrennt und eigenständig aufbewahrt; die Einwilligungen in E-Mail-Werbung für 3 Jahre und die Einwilligung für Telefonwerbung für mind. 5 Jahre, wobei diese Frist bei jedem Anruf neu beginnt (Nachweispflicht nach Art. 7 Abs. 1 DSGVO).

5. Versand der Umzugskartons

Zum Versand der Umzugskartons übermitteln wir Ihre Adress- und Kontaktdaten an den Versanddienstleister.

Versanddienstleister:
Cella GmbH
Mendelstraße 8
48488 Emsbüren
Deutschland
Handelsregister: HRB 201434, Amtsgericht Osnabrück

Mit der Cella GmbH besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Datenkategorien: Name, Lieferadresse, ggf. E-Mail-Adresse für Versandbenachrichtigungen.

6. E-Mail-Kommunikation und Double-Opt-In

6.1 Brevo (E-Mail-Versand und Double-Opt-In)

Anbieter: Sendinblue SAS, 9–17 rue Salneuve, 75017 Paris, Frankreich, firmiert unter der Marke „Brevo“.

Funktion: Versand der Bestätigungs-E-Mail (Double-Opt-In). Nach Ihrer Bestellung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach dem Anklicken dieses Links gilt Ihre Einwilligung zur werblichen E-Mail-Kommunikation als erteilt.

Verarbeitete Daten: E-Mail-Adresse, Vorname, IP-Adresse zum Zeitpunkt der Einwilligungserteilung (Bestellung), Zeitpunkt des Versands der Bestätigungs-E-Mail, Zeitpunkt des Klicks auf den Bestätigungslink, IP-Adresse zum Zeitpunkt dieses Klicks (alle Zeitstempel inkl. Zeitzone, UTC).

Sitz und Drittland: Brevo verarbeitet die Daten in EU-Rechenzentren. Eine Übermittlung in Drittländer findet derzeit nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (werbliche Kommunikation), Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung). Diese E-Mail wird ausschließlich versandt, wenn die optionale E-Mail-Marketing-Einwilligung erteilt wurde; sie ist keine für die Bestellabwicklung erforderliche transaktionale E-Mail und unabhängig vom Versand der Umzugskartons.

Datenschutzerklärung des Anbieters: brevo.com/de/legal/privacypolicy

6.2 Supabase (Datenbank- und Backend-Hosting)

Anbieter: Supabase, Inc., USA.

Funktion: Speicherung sämtlicher im Rahmen der Aktion erhobenen Daten (Bestelldaten, Nachweise für E-Mail- und Telefon-Einwilligung, Verifizierungsstatus (Abschluss der SMS-Verifizierung nach Ziffer 7, maßgeblich für die Freigabe der Bestellung zum Versand)) sowie Ausführung der serverseitigen Verarbeitungslogik. Die Datenbank ist auf eine EU-Region (Frankfurt) konfiguriert.

Verarbeitete Daten: Alle in Ziffer 4, Ziffer 6 und Ziffer 7 genannten Daten.

Sitz und Drittland: Supabase, Inc. hat seinen Sitz in den USA; die Datenspeicherung erfolgt in der ausgewählten EU-Region (Frankfurt). Ein Zugriff im Rahmen technischer Konzernadministration durch die US-Muttergesellschaft kann nicht vollständig ausgeschlossen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. f DSGVO (Nachweispflichten nach Art. 7 Abs. 1, Art. 5 Abs. 2 DSGVO).

Drittlandtransfer: Standardvertragsklauseln nach Art. 46 DSGVO.

Datenschutzerklärung des Anbieters: supabase.com/privacy

7. Telefonwerbung-Einwilligung und SMS-Verifizierung

Wenn Sie im Bestellformular der Telefonwerbung-Einwilligung zustimmen, verifizieren wir Ihre Handynummer per SMS-Code-Verfahren. Dies ist erforderlich, um Ihre Inhaberschaft der Rufnummer nachweisen zu können.

Ablauf: Nach Anklicken der Einwilligungs-Checkbox senden wir einen 6-stelligen Code per SMS an die angegebene Nummer. Erst nach korrekter Eingabe dieses Codes im Formular gilt die Einwilligung als erteilt und dokumentiert.

Anbieter der SMS-Verifizierung: Twilio Inc., 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA (EU-Niederlassung: Twilio Ireland Limited, 78 Sir John Rogerson’s Quay, Dublin 2, D02 R296, Irland).

Verarbeitete Daten: Handynummer, Zeitpunkt der Verifizierung (= Zeitpunkt der erfolgreichen Eingabe des SMS-Codes), IP-Adresse, technische Verifizierungskennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 7 Abs. 2 Nr. 2/3 UWG (Telefonwerbung). Die IP-Adresse und der Verifizierungszeitpunkt werden zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 7 Abs. 1 DSGVO (Nachweispflicht) verarbeitet.

Drittlandtransfer: Twilio Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln und konzerninterne Binding Corporate Rules.

Datenschutzerklärung des Anbieters: twilio.com/en-us/legal/privacy

Speicherdauer: Der Nachweis der Telefonwerbeeinwilligung einschließlich der für die Zuordnung und Verifizierung erforderlichen Angaben wird für fünf Jahre ab Erteilung der Einwilligung bzw. nach jeder Verwendung der Einwilligung aufbewahrt (siehe Ziffer 4). Maßgeblich ist dabei jeweils die zuletzt erfolgte Verwendung. Die Verwendung der Einwilligung wird zu diesem Zweck dokumentiert. Rein technische Daten, die für den Nachweis nicht erforderlich sind, werden gelöscht, sobald sie für die Durchführung und technische Abwicklung der Verifizierung nicht mehr benötigt werden.

Der Text der Einwilligungs-Checkbox lautet:

„Ja, ich willige ein, dass die Vodafone-Unternehmen¹, auch wechselseitig füreinander, mich telefonisch und per elektronischer Post (z. B. E-Mail, Messenger, SMS) bezüglich Produkten und Dienstleistungen² zu Werbezwecken und zur Marktforschung kontaktieren.“

¹ Vodafone-Unternehmen: Vodafone GmbH und Vodafone West GmbH, beide: Ferdinand-Braun-Platz 1, 40549 Düsseldorf.

² Produkte und Dienstleistungen: Aus den Bereichen Mobilfunk, Internet & Festnetz, TV, Multimedia und Entertainment, Internet of Things (IoT), Versicherung und Messenger-/E-Mail-/Cloud-/Hosting-/Payment- und Finanzierungsdienste sowie dazugehörige Hardware und Software.

Direkt darunter, als erläuternder Text:

„Mir ist bekannt, dass ich die Umzugskartons nur dann kostenfrei erhalte, wenn ich gleichzeitig – als Gegenleistung – diese Einwilligung in die Nutzung meiner im Bestellprozess eingegebenen Daten (Name, Vorname, alte Adresse, neue Adresse, Handynummer, Kundenstatus und Umzugsdatum) zur werblichen tel. Kontaktierung durch Vodafone erteilt habe. Weitere Hinweise finde ich in den Datenschutzhinweisen, die ich zur Kenntnis genommen habe.“

Diese Einwilligung ist Voraussetzung für den Erhalt der kostenfreien Umzugskartons. Vodafone-Unternehmen, die mich kontaktieren können, sind die Vodafone GmbH und Vodafone West GmbH, beide Ferdinand-Braun-Platz 1, 40549 Düsseldorf (vgl. dazu auch die Teilnahmebedingungen unter Ziffer 4).

Widerruf: Sie können Ihre Telefonwerbung-Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über die eigene Widerrufs-Seite auf dieser Website (Eingabe per E-Mail oder Handynummer, dann Auswahl der zu widerrufenden Einwilligung) oder formlos per E-Mail an datenschutz@vodafone.com.

8. Werbliche Kommunikation (E-Mail)

Für E-Mail-Marketing fragen wir über eine eigene, ausdrücklich optionale zweite Checkbox – unabhängig von der Telefonwerbung-Einwilligung aus Ziffer 7 und ohne Einfluss auf den Erhalt der kostenfreien Umzugskartons – Ihre Einwilligung in werbliche Kommunikation per E-Mail ab.

Der Text lautet:

„Ja, ich möchte zusätzlich auch per E-Mail über passende Angebote der Vodafone-Unternehmen informiert werden.“

Vodafone-Unternehmen, die mich per E-Mail kontaktieren können, sind die Vodafone GmbH und Vodafone West GmbH, beide Ferdinand-Braun-Platz 1, 40549 Düsseldorf (vgl. dazu auch die Teilnahmebedingungen unter Ziffer 4).

Zusätzlich zur Checkbox bestätigen Sie die Nutzung Ihrer E-Mail-Adresse für werbliche Kommunikation über einen Double-Opt-In-Link, den Sie nach der Bestellung per E-Mail erhalten, sofern Sie die Checkbox aktiviert haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 7 Abs. 2 Nr. 3 UWG.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über die eigene Widerrufs-Seite auf dieser Website, über den Abmeldelink in jeder E-Mail oder formlos per E-Mail an datenschutz@vodafone.com.

9. Cookies und ähnliche Technologien

Auf dieser Website werden Cookies und vergleichbare Technologien eingesetzt. Wir unterscheiden drei Kategorien:

• Notwendige Cookies: Werden ohne Einwilligung gesetzt, weil sie unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG).
• Statistik-Cookies: Anonyme bzw. pseudonyme Reichweitenmessung (Google Analytics). Nur nach Einwilligung.
• Marketing-Cookies: Anzeigenmessung und -personalisierung (Meta Pixel). Nur nach Einwilligung.

Rechtsgrundlage für nicht notwendige Cookies: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

Rechtsgrundlage für notwendige Cookies: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

Widerrufsmöglichkeit: Über das Symbol unten links auf jeder Seite ist die getroffene Auswahl jederzeit änderbar. Der Widerruf wirkt für die Zukunft.

Ihre Auswahl wird lokal in Ihrem Browser (localStorage) gespeichert. Statistik- und Marketing-Skripte (Google Analytics, Meta Pixel) werden technisch erst nachgeladen, je nachdem, welche Kategorie Sie ausgewählt haben. Eine Übersicht der eingesetzten Cookies finden Sie unter Ziffer 15.

10. Notwendige Cookies – Begründung der unbedingten Erforderlichkeit

• _cfuvid, __cf_bm (Cloudflare; Firmierung, Drittlandtransfer, konkret verarbeitete Daten und Speicherdauer siehe Ziffer 11.2): Unterscheidung legitimer Nutzer von Bots, Rate-Limiting. Ohne diese Cookies wären die Verfügbarkeit und Sicherheit der Seite gefährdet.
• Cloudflare Turnstile (Missbrauchsschutz im Formular): Verhindert automatisierte Formular-Einreichungen. Technisch erforderlich, um den Formular-Versand vor Missbrauch zu schützen.
• Eigener Consent-Speicher (localStorage-Eintrag „cookie_consent“): Speichert Ihre Cookie-Auswahl; erforderlich zur Erfüllung der Nachweispflicht aus Art. 7 Abs. 1 DSGVO.

11. Im Einzelnen eingesetzte Dienste

11.1 Lovable (Hosting der Website)

Anbieter: Lovable Labs Incorporated, USA (EU-Vertretung: Lovable Labs AB, Regeringsgatan 25, 111 53 Stockholm, Schweden).

Funktion: Hosting und Auslieferung der Website.

Rechtsgrundlage: Die Datenverarbeitung erfolgt durch Lovable als Auftragsverarbeiter der Vodafone GmbH auf Grundlage einer Vereinbarung gemäß Art. 28 DSGVO.

Drittlandtransfer: EU-Standardvertragsklauseln (Modul 2).

Datenschutzerklärung: lovable.dev/privacy

11.2 Cloudflare (Content Delivery Network, Bot-Schutz, Turnstile)

Anbieter: Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München, Deutschland; Mutterunternehmen Cloudflare, Inc., USA.

Funktion: Ausspielung statischer Ressourcen, Schutz vor Bots/DDoS/Missbrauch sowie Cloudflare Turnstile als CAPTCHA-Ersatz im Bestellformular.

Verarbeitete Daten: IP-Adresse, Geräte-/Browserkennung und Zeitstempel der Anfrage (zur Bot-Erkennung); bei Turnstile-Einsatz zusätzlich ein anonymisiertes Herausforderungs-Token.

Speicherdauer: siehe Cookie-Übersicht in Ziffer 15 (Session-Cookies _cfuvid, __cf_bm).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG.

Datentransfer: EU-US Data Privacy Framework, ergänzende Standardvertragsklauseln.

Datenschutzerklärung: cloudflare.com/de-de/privacypolicy

11.3 Google Analytics 4 (Reichweitenmessung)

Anbieter: Google Ireland Limited, Dublin, Irland; Google LLC, USA.

Funktion: Pseudonyme Analyse des Nutzerverhaltens über die Property G-K7N44GLNS3. Das Skript wird technisch erst nach Einwilligung in die Kategorie „Statistik“ nachgeladen.

Cookies: _ga, _ga_K7N44GLNS3 (13 Monate).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

Datentransfer: EU-US Data Privacy Framework, ergänzende Standardvertragsklauseln.

Speicherdauer: GA4-Daten 14 Monate.

Datenschutzerklärung: policies.google.com/privacy

11.4 Meta Pixel (Marketing)

Anbieter: Meta Platforms Ireland Limited, Dublin, Irland; Meta Platforms, Inc., USA.

Funktion: Messung der Wirksamkeit von Werbeanzeigen, Bildung pseudonymer Zielgruppen, Retargeting. Pixel-ID: 1080501810975741. Das Skript wird erst nach Einwilligung in die Kategorie „Marketing“ nachgeladen.

Cookies: _fbp (3 Monate).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG.

Datentransfer: EU-US Data Privacy Framework, ergänzende Standardvertragsklauseln.

Hinweis: Vodafone und Meta sind hinsichtlich der Pixel-Integration gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO („Controller Addendum“: facebook.com/legal/controller_addendum).

Datenschutzerklärung: facebook.com/privacy/policy

11.5 Twilio (SMS-Verifizierung)

Siehe Ziffer 7.

12. Drittlandübermittlungen

Bei den einzelnen oben benannten Diensten findet eine Übermittlung personenbezogener Daten in Drittländer, insbesondere in die USA, statt (Lovable, Supabase, Twilio, Google, Meta, Cloudflare). Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework, ergänzender Standardvertragsklauseln nach Art. 46 DSGVO und/oder Ihrer ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, sofern Sie der Aktivierung eines Dienstes über das Cookie-Banner zustimmen.

13. Speicherdauer (Übersicht)

• Bestell-/Versanddaten: 4 Wochen nach Versand
• Einwilligungsnachweis E-Mail-Werbung: 3 Jahre; Einwilligungsnachweis Telefonwerbung (inkl. SMS-Verifizierungsnachweis): mindestens 5 Jahre, verlängert sich bei jeder Nutzung der Einwilligung
• Einwilligungsentscheidung (Cookie-Banner): 13 Monate
• Google Analytics 4 (GA4): Nutzungsdaten werden 14 Monate gespeichert (Standard-Aufbewahrungsfrist der Property, siehe Ziffer 11.3)
• Nutzung meiner Daten inkl. der Telefonnummer und ggf. auch E-Mail-Adresse für Werbezwecke: bis zum Widerruf der jeweiligen Einwilligung

14. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet im Rahmen dieser Maßnahme nicht statt.

16. Ihre Rechte als betroffene Person

Sie haben nach den Vorschriften der DSGVO insbesondere folgende Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21), Widerruf erteilter Einwilligungen (Art. 7 Abs. 3).

Wenden Sie sich zur Ausübung Ihrer Rechte an: datenschutz@vodafone.com.

17. Beschwerderecht bei der Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Telefon: +49 211 38424-0, E-Mail: poststelle@ldi.nrw.de, Web: ldi.nrw.de

18. Aktualisierung dieser Datenschutzerklärung

Diese Datenschutzerklärung wird regelmäßig angepasst. Die jeweils aktuelle Fassung kann jederzeit auf dieser Seite eingesehen werden.