Datenschutzerklärung

Stand: 8. August 2026

1. Verantwortlicher

tobra GmbH & Co. KG
Im Rother Flur 6, 56288 Roth, Deutschland
Amtsgericht Bad Kreuznach, HRA 20864
vertreten durch die persönlich haftende Gesellschafterin tobra Verwaltungs GmbH (Amtsgericht Bad Kreuznach, HRB 22491), diese vertreten durch den Geschäftsführer Thomas Braun
Telefon: 06762 96276-0 · E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht besteht. Ansprechpartner für Datenschutzfragen: Thomas Braun, [email protected].

Diese Datenschutzerklärung gilt für die Webshops tobra.io und tobra.bio.

2. Hosting und technische Bereitstellung

Beim Aufruf unserer Seiten verarbeiten wir automatisch technische Daten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser-Typ und -Version, Betriebssystem) in Server-Logs. Zweck ist die technische Bereitstellung, Stabilität und Sicherheit der Webshops sowie die Frage, über welchen Weg uns eine bei uns eingegangene Anfrage erreicht hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb und an der Beurteilung, welche unserer Inhalte Anfragen auslösen). Die Logs werden nach 14 Tagen gelöscht.

Eingesetzte Dienstleister (Auftragsverarbeiter):

• Hetzner Online GmbH (Deutschland): Server-Hosting und Objektspeicher; Verarbeitung ausschließlich in Rechenzentren in Deutschland und Finnland.
• Cloudflare, Inc. (USA, mit EU-Niederlassung): DNS, Content Delivery Network und TLS-Proxy. Dabei wird Ihre IP-Adresse durch die Cloudflare-Infrastruktur geleitet. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework, hilfsweise der EU-Standardvertragsklauseln.

3. Cookies und Einwilligungsverwaltung

Wir verwenden das Open-Source-Tool Klaro zur Verwaltung Ihrer Einwilligungen. Technisch notwendige Speicherungen (z. B. Ihre Einwilligungsentscheidung selbst, Warenkorb- und Login-Funktionen) erfolgen auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO. Alle weiteren Cookies und vergleichbaren Technologien setzen wir nur mit Ihrer Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Auswahl jederzeit über den Link „Cookie-Einstellungen" im Footer ändern oder widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

4. Webanalyse: Google Analytics 4

Mit Ihrer Einwilligung setzen wir Google Analytics 4 ein (Anbieter: Google Ireland Limited, Irland; Mutterkonzern Google LLC, USA). Verarbeitet werden pseudonymisierte Nutzungsdaten (gekürzte IP, Geräteinformationen, Seitenaufrufe, Interaktionen). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, hilfsweise der EU-Standardvertragsklauseln. Speicherdauer der Analysedaten: 14 Monate. Widerruf jederzeit über die Cookie-Einstellungen.

Ebenfalls nur mit Ihrer Einwilligung merken wir uns für die Dauer Ihres Besuchs, über welchen Weg Sie zu uns gefunden haben: den Namen der zuvor besuchten Seite (etwa eine Suchmaschine), die erste von Ihnen aufgerufene Seite unseres Shops sowie Kampagnen-Kennzeichen aus der Adresszeile. Gespeichert wird dabei nur der Name der verweisenden Seite, nicht deren vollständige Adresse. Diese Angabe hängen wir ausschließlich an eine Anfrage an, die Sie selbst absenden, damit unser Vertrieb den Zusammenhang Ihrer Anfrage kennt. Eine Wiedererkennung bei späteren Besuchen findet nicht statt. Die Ablage erfolgt im Sitzungsspeicher Ihres Browsers und endet, sobald Sie den Tab schließen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Widerruf jederzeit über die Cookie-Einstellungen.

5. Bot-Schutz: Cloudflare Turnstile

Zum Schutz unserer Formulare vor Missbrauch und automatisierten Fake-Anfragen setzen wir Cloudflare Turnstile ein. Dabei verarbeitet Cloudflare technische Merkmale Ihres Endgeräts und Ihrer Interaktion, um zwischen Menschen und Bots zu unterscheiden; ein Rätsel müssen Sie in der Regel nicht lösen. Die Prüfung ist für die von Ihnen angeforderte Funktion (Absenden einer Anfrage) erforderlich; Rechtsgrundlagen sind § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse liegt darin, zu verhindern, dass über unsere Plattform unverlangte E-Mails an fremde Adressen ausgelöst werden. Zum US-Transfer siehe Ziffer 2.

6. Produktvideos: Vimeo

Auf einzelnen Produktseiten binden wir Produktvideos des Anbieters Vimeo.com, Inc. (New York, USA) ein. Wir nutzen eine zweistufige Einbindung: Beim Aufruf der Seite wird lediglich ein Vorschaubild angezeigt, das von unserem eigenen Server ausgeliefert wird; eine Verbindung zu Vimeo findet dabei nicht statt. Erst wenn Sie das Video aktiv per Klick starten, wird der Vimeo-Player geladen. Dabei erhält Vimeo Ihre IP-Adresse und technische Informationen Ihres Browsers. Wir verwenden den Player im Modus „Do Not Track“; Vimeo setzt dann nach eigenen Angaben keine Cookies und verzichtet auf Sitzungs-Tracking. Rechtsgrundlage ist Ihre durch den Klick zum Ausdruck gebrachte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, hilfsweise der EU-Standardvertragsklauseln. Weitere Informationen finden Sie in der Datenschutzerklärung von Vimeo unter vimeo.com/privacy.

7. Händlerkarte: OpenStreetMap

Auf unserer Händler-Übersichtsseite bieten wir eine Karte mit den Standorten unserer Partner an. Die Karte ist beim Seitenaufruf zunächst deaktiviert. Erst wenn Sie sie aktiv laden (Klick auf „Karte anzeigen“ oder auf einen Standort in der Liste), werden Karten-Kacheln von Servern der OpenStreetMap Foundation (Vereinigtes Königreich) abgerufen; dabei erhält die OpenStreetMap Foundation Ihre IP-Adresse und technische Informationen Ihres Browsers. Die Karten-Kacheln werden über ein Content Delivery Network ausgeliefert; dabei kann Ihre IP-Adresse auch durch den CDN-Betreiber Fastly, Inc. (USA) verarbeitet werden. Rechtsgrundlage ist Ihre durch den Klick zum Ausdruck gebrachte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission; eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, unter dem Fastly, Inc. zertifiziert ist, hilfsweise der EU-Standardvertragsklauseln. Weitere Informationen finden Sie in der Datenschutzerklärung der OpenStreetMap Foundation unter wiki.osmfoundation.org/wiki/Privacy_Policy.

8. Produktanfragen und Vermittlung an Werbeartikel-Partner (Kernfunktion)

8.1 Was passiert mit Ihrer Anfrage

Wenn Sie über unser Anfrageformular oder den Produktkonfigurator eine Anfrage stellen, läuft Folgendes ab:

1. Erhebung: Wir erheben die von Ihnen angegebenen Daten. Pflichtfelder sind Firma, Name, geschäftliche E-Mail-Adresse und Ort/PLZ; optional sind Telefon, Nachricht, Produktkonfiguration und eine Logo-Datei.
2. Prüfung: Ihre Anfrage wird automatisch auf Plausibilität und Missbrauch geprüft (Bot-Schutz siehe Ziffer 5).
3. Geocodierung: Ihre Ortsangabe wird in Geokoordinaten umgerechnet, um Partner in Ihrer Region zu finden. Hierzu übermitteln wir ausschließlich Ort/PLZ, ohne Ihren Namen, Ihre Firma oder Kontaktdaten, an den Geocoding-Dienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich; Angemessenheitsbeschluss der EU-Kommission).
4. Partnerauswahl (Routing): Unser System wählt automatisch einen geschulten, regionalen Werbeartikel-Fachhändler aus (Umkreissuche, bei Bedarf erweiterter Radius, gewichtete Verteilung). Haben Sie oder eine Person Ihres Unternehmens (gleiche E-Mail-Domain) in den letzten 90 Tagen bereits angefragt, ordnen wir die Anfrage demselben Partner zu, damit Sie einen festen Ansprechpartner behalten („Sticky-Zuordnung", 90 Tage rollierend).
5. Automatisiertes Angebot: Sie erhalten in der Regel innerhalb weniger Minuten ein automatisch erstelltes, freibleibendes Angebot per E-Mail, versendet im Namen des ausgewählten Partners (der Partner ist als Absender erkennbar, Ihre Antwort geht direkt an ihn). Parallel übermitteln wir Ihre Anfragedaten (Firma, Name, E-Mail, ggf. Telefon, Ort, Anfrageinhalt) an genau diesen Partner, der sich anschließend persönlich bei Ihnen melden kann.
6. Fallback: Kann kein Partner zugeordnet werden oder nutzen Sie das allgemeine Kontaktformular, bearbeitet unser eigener Vertrieb Ihre Anfrage; eine spätere Weitergabe an einen Partner erfolgt nur im oben beschriebenen Rahmen.

Ein etwaiger Vertrag über die angefragten Produkte kommt ausschließlich zwischen Ihnen und dem Partner zustande; tobra wird nicht Ihr Vertragspartner.

8.2 Rollen und Rechtsgrundlagen

Für die Schritte 1 bis 4 und 6 (Plattformbetrieb, Prüfung, Routing, Sticky-Verwaltung, eigener Vertrieb) ist tobra Verantwortlicher. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage als vorvertragliche Maßnahme auf Ihre Initiative) sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr, effiziente regionale Vermittlung, fester Ansprechpartner über die Sticky-Zuordnung).

Für Schritt 5 (Erstellung und Versand des Angebots im Namen des Partners, Datenübergabe an den Partner sowie die anschließende fristgerechte Speicherung und Löschung) verarbeitet tobra die Daten im Auftrag des jeweiligen Partners (Art. 28 DSGVO). Verantwortlicher für die weitere Bearbeitung Ihrer Anfrage ist ab diesem Zeitpunkt der Partner; seine Identität ergibt sich aus der Angebots-E-Mail. Auf Anfrage teilen wir Ihnen jederzeit mit, welcher Partner Ihre Daten erhalten hat.

Empfängerkategorie: regionale Werbeartikel-Fachhändler (Vertragspartner von tobra mit abgeschlossener Auftragsverarbeitungs- bzw. Datenschutzvereinbarung).

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO findet nicht statt; die automatische Partnerauswahl betrifft nur die interne Zuordnung Ihrer Anfrage.

8.3 E-Mail-Versand

Den Versand der Angebots- und Transaktions-E-Mails wickeln wir über Postmark (ActiveCampaign, LLC, USA) ab. Verarbeitet werden Empfängeradresse, Mail-Inhalt und Zustellmetadaten. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework, hilfsweise der EU-Standardvertragsklauseln. Unsere Geschäftspostfächer betreibt die Heinlein Hosting GmbH (mailbox.org) in Deutschland.

8.4 Logo-Upload

Laden Sie im Konfigurator eine Logo-Datei hoch, speichern wir diese im Objektspeicher (Hetzner, Deutschland) ausschließlich zur Erstellung Ihres Angebots und zur Übergabe an den Partner. Es gelten die Fristen der Ziffer 13.

9. Newsletter

Für unseren Newsletter nutzen wir Brevo (Sendinblue SAS, Frankreich) im Double-Opt-In-Verfahren. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Abmeldung jederzeit über den Link in jeder Ausgabe. Wichtig: Ihre Anfragedaten aus dem Anfrageformular oder Konfigurator werden nicht für den Newsletter verwendet und nicht an Brevo übertragen.

10. Händler-Konto (Login-Bereich für Wiederverkäufer)

Registrierte Fachhändler verarbeiten wir zur Vertragsdurchführung: Stammdaten, Zugangsdaten, Einkaufskonditionen, Margenprofile, Bestellhistorie (Art. 6 Abs. 1 lit. b DSGVO). Geschäfts- und Abrechnungsdaten bewahren wir nach handels- und steuerrechtlichen Vorgaben auf (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 257 HGB, § 147 AO).

Zur Betriebssteuerung und Betreuung des Händlerprogramms verarbeiten wir außerdem Nutzungsdaten Ihres Kontos (Zeitpunkt von Anmeldungen und der letzten Aktivität, Anzahl aktiver Nutzungstage) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. IP-Adressen speichern wir dabei nicht; die Daten sind nur für tobra einsehbar.

Zusätzlich führen wir ein Ereignisprotokoll über aktive Vorgänge in Ihrem Konto, etwa Anmeldungen, Änderungen von Konto- und Benachrichtigungseinstellungen, das Hochladen von Logos, das Speichern von Layouts, die Pflege von Lieferadressen sowie das Auslösen von Angeboten, Bestellungen und Musteranforderungen (jeweils mit Zeitpunkt und betroffenem Vorgang). Zweck ist die Nachvollziehbarkeit dieser Vorgänge, die Beantwortung von Rückfragen und die Fehlerdiagnose; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Ihr Surfverhalten (etwa besuchte Produktseiten) wird dabei nicht erfasst. Die Protokolleinträge sind nur für tobra einsehbar und werden spätestens 12 Monate nach ihrer Entstehung automatisch gelöscht.

Im Rahmen der Auftragsabwicklung speichern wir außerdem Korrekturabzüge sowie die über den Freigabe-Link abgegebenen Erklärungen (freigegebener Stand, Zeitpunkt) zu Vertrags- und Nachweiszwecken (Art. 6 Abs. 1 lit. b und f DSGVO); sie werden wie die zugehörigen Auftragsdaten aufbewahrt.

11. Sendungsverfolgung (UPS)

Für den Versand unserer Waren setzen wir unter anderem UPS (United Parcel Service) ein. Dazu übergeben wir UPS die für die Zustellung erforderlichen Daten (Empfängername bzw. Firma und Lieferadresse). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Damit registrierte Händler den Lieferstatus ihrer Aufträge im Händler-Konto einsehen können und wir Rückfragen zur Zustellung beantworten können, fragen wir den UPS-Sendungsverfolgungsdienst regelmäßig anhand der Sendungsnummer ab und speichern das Ergebnis zusammen mit den Auftragsdaten: Sendungsstatus, voraussichtliches bzw. tatsächliches Zustelldatum und -uhrzeit sowie Zustelladresse (Ort der Zustellung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Händler). Den von UPS erfassten Namen der annehmenden Person („angenommen von“) speichern wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Nachweis der ordnungsgemäßen Zustellung und der Beantwortung von Rückfragen. Diese Angabe erhalten wir aus dem Sendungsverfolgungsdienst von UPS; sie betrifft in der Regel eine Person beim Empfänger, die die Sendung entgegennimmt (z. B. Mitarbeitende des Händlers oder des Empfängers). Den Namen der annehmenden Person löschen wir spätestens 12 Monate nach der Zustellung; die übrigen Sendungsstatus-Daten speichern wir wie die zugehörigen Auftragsdaten.

Einen Zustellnachweis (Unterschrift oder Zustellfoto) rufen wir nur auf Ihre ausdrückliche Anforderung im Händler-Konto direkt bei UPS ab und zeigen ihn an; wir speichern ihn nicht. UPS hält diese Nachweise nach eigenen Angaben nur für einen begrenzten Zeitraum (etwa 120 Tage) bereit.

Auf Wunsch informieren wir per E-Mail über die Zustellung von Sendungen. Die Benachrichtigung wird nur versendet, wenn sie in den Einstellungen des Händler-Kontos aktiviert wurde, und geht an die für den jeweiligen Vorgang hinterlegte Ansprechperson. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Information des Händlers über die Vertragsabwicklung) und, soweit die Ansprechperson nicht selbst Konto-Inhaber ist, Art. 6 Abs. 1 lit. f DSGVO (Information der im Unternehmen des Händlers zuständigen Person). Die Einstellung kann jederzeit deaktiviert werden.

UPS ist ein Unternehmen mit Hauptsitz in den USA; unser Vertragspartner für den Versand ist die deutsche UPS-Gesellschaft. Soweit bei der Sendungsverfolgung Daten in die USA übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln sowie der konzernweiten verbindlichen internen Datenschutzvorschriften von UPS (UPS Privacy Code, Binding Corporate Rules). Eine Kopie der jeweils eingesetzten Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

12. Pflicht zur Bereitstellung

Die als Pflichtfelder gekennzeichneten Angaben benötigen wir, um Ihre Anfrage bzw. Registrierung zu bearbeiten; ohne sie ist eine Bearbeitung nicht möglich. Alle weiteren Angaben sind freiwillig.

13. Speicherfristen

14. Ihre Rechte

Sie haben gegenüber dem jeweils Verantwortlichen (siehe Ziffer 8.2) das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an [email protected]. Betrifft Ihr Anliegen die Verarbeitung durch einen Partner, leiten wir es unverzüglich an diesen weiter und nennen Ihnen den Partner.

Sie haben zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, z. B. beim für uns zuständigen Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

15. Übermittlungen in Drittländer (Übersicht)

Eine Kopie der jeweils eingesetzten Garantien (insbesondere der Standardvertragsklauseln) stellen wir Ihnen auf Anfrage über die in Ziffer 1 genannten Kontaktdaten zur Verfügung.

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich Verarbeitungen, Dienstleister oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Stand-Datum finden Sie oben.