Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Bundleo, Inhaber Ralf Hermannski
Rapsweg 24
32051 Herford
E-Mail: info@bundleo.de
Bundleo ist ein Vermittlungs-Marktplatz: Du beschreibst ein Vorhaben, wir stellen dazu ein Bundle aus Produkten und Leistungen mehrerer Partner zusammen und vermitteln deine Bestellung an diese Partner. Wir verarbeiten dabei nur die Daten, die für diesen Zweck erforderlich sind. Eine Zahlungsabwicklung findet über Bundleo nicht statt; wir verarbeiten daher keine Zahlungs- oder Kontodaten.
Bei einer Bestellung: Name, E-Mail-Adresse, Liefer- bzw. Kontaktadresse, optional Telefonnummer sowie die Bestelldaten (Produkte, Mengen, Preise, gewählte Liefer- oder Abholoption). Dazu gehört auch, welche Bundle-Stufe erreicht war und welcher Rabatt bzw. Vorteil je Partner gewährt wurde – das ist Teil des Kaufvorgangs und für Rechnung, Gewährleistung und Buchhaltung erforderlich.
Bei einem Kundenkonto: zusätzlich die von dir gespeicherten Projekte, Merklisten und Terminanfragen.
Bei einem Partnerkonto: Name, E-Mail, optionale Kontakt-, Standort- und Öffnungszeitangaben sowie die eingestellten Produkte.
Bei Warteliste und Umfragen: E-Mail-Adresse und Postleitzahl (Warteliste) bzw. deine Antworten (Umfragen), jeweils mit der Kennung des Links, über den du gekommen bist – Einzelheiten in den Abschnitten 12a und 12b.
Beim Aufruf der Website: technisch bedingt IP-Adresse, Zeitpunkt und aufgerufene Seite (Server-Logs des Hosters). Diese Daten sind für den Betrieb erforderlich und werden nicht zu Profilen zusammengeführt.
Zur Abwicklung geben wir deine Bestell- und Kontaktdaten an die an deiner Bestellung beteiligten Partner weiter – jeweils nur die Positionen, die den betreffenden Partner betreffen. Bei Lieferung wird dazu deine Lieferadresse übermittelt, bei Abholung nur Name und – falls angegeben – Telefonnummer. Rechtsgrundlage ist die Vertragserfüllung bzw. -anbahnung (Art. 6 Abs. 1 lit. b DSGVO). Die Partner sind für die weitere Verarbeitung eigenständig Verantwortliche und wickeln Zahlung, Lieferung und Gewährleistung in eigener Verantwortung ab.
Damit Kundinnen und Kunden einen Anbieter erreichen und einschätzen können, zeigen wir auf der jeweiligen Partnerseite und in der Umkreissuche die vom Partner hinterlegten Angaben öffentlich an: Firmen- bzw. Anbietername, Anschrift, Öffnungs- zeiten sowie – soweit angegeben – Telefonnummer und E-Mail-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse und das der Partner an der Vermittlung von Aufträgen (Art. 6 Abs. 1 lit. f DSGVO); die Anzeige erfolgt mit Wissen und auf Wunsch der Partner im Rahmen ihres Auftritts auf dem Marktplatz.
Handelt es sich beim Partner um eine Einzelperson oder ein Einzelunternehmen, können diese Geschäftskontaktdaten zugleich personenbezogen sein.
Telefonnummer und E-Mail-Adresse eines Partners werden nur veröffentlicht, wenn er dies ausdrücklich freigibt. Die Freigabe erfolgt im Partner-Backoffice und ist standardmäßig deaktiviert. Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Zeitpunkt der Erteilung und eines etwaigen Widerrufs werden protokolliert (Art. 5 Abs. 2 DSGVO).
Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden – durch Entfernen des Hakens im Backoffice. Die Angaben verschwinden damit unmittelbar aus dem öffentlichen Schaufenster. Unabhängig davon bleiben Kontaktdaten für Kundinnen und Kunden sichtbar, die beim betreffenden Partner bestellt haben; Grundlage ist dort die Abwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).
Bitte beachte als Partner: Veröffentlichte Adressen können von Dritten automatisiert ausgelesen werden. Hinterlege daher möglichst eine geschäftliche Adresse, die für diesen Zweck vorgesehen ist.
In der Aufbauphase richten wir das Schaufenster eines Partners auf Wunsch für ihn ein. Dafür verarbeiten wir Firmenname, Anschrift, Kontaktdaten, Angaben zum Betrieb sowie Produkt- und Preisangaben. Diese Daten stammen aus zwei Quellen: aus dem Erfassungsformular, das der Betrieb selbst ausfüllt, und aus öffentlich zugänglichen Quellen wie der Website, dem Onlineshop oder einem Brancheneintrag des Betriebs.
Rechtsgrundlage ist die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), soweit der Betrieb die Angaben selbst übermittelt, und unser berechtigtes Interesse an der Gewinnung regionaler Partner (Art. 6 Abs. 1 lit. f DSGVO), soweit wir sie recherchiert haben. Betriebe, deren Daten wir recherchiert haben, informieren wir spätestens bei der ersten Kontaktaufnahme und nennen dabei die Quelle.
Vor der Freigabe durch den Partner ist nichts öffentlich sichtbar – weder das Schaufenster noch Produkte oder Preise. Die Freigabe erfolgt durch den Partner selbst und wird mit Zeitpunkt dokumentiert.
Kommt keine Zusammenarbeit zustande, löschen wir die Erfassungsdaten: nach einer Absage innerhalb von drei Monaten, ohne Reaktion spätestens nach zwölf Monaten. Nach erfolgreicher Einrichtung löschen wir den Erfassungsdatensatz sechs Monate später – die für den Betrieb des Marktplatzes nötigen Daten stehen dann im Partnerkonto. Ein Widerspruch gegen die Verarbeitung ist jederzeit formlos an datenschutz@bundleo.de möglich.
Hosting: Vercel Inc. – Auslieferung der Website. Die serverseitigen Funktionen sind auf die Region Frankfurt am Main (EU) festgelegt.
Datenbank & Authentifizierung: Supabase – Speicherung von Konto-, Projekt-, Produkt- und Bestelldaten sowie Verwaltung der Anmeldung.
E-Mail-Versand: Resend – Versand der Bestell-, Termin- und Statusmails an dich und die beteiligten Partner.
Zahlungsabwicklung der Partner-Abonnements: Stripe Payments Europe, Ltd., Dublin, Irland. Betroffen sind ausschließlich Partner, die ein kostenpflichtiges Abonnement abschließen – nicht Kundinnen und Kunden des Marktplatzes. Verarbeitet werden Firmenname, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten. Die Zahlungsdaten selbst (Karten- oder Kontonummer) werden ausschließlich bei Stripe erhoben und gespeichert; Bundleo erhält sie nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bei Bundleo gespeichert werden lediglich die Kunden- und Abonnementkennung sowie Eckdaten der Rechnungen.
KI-Verarbeitung: Anthropic PBC, USA – für die Projektberatung (Abschnitt 7), den Hilfe-Chat (Abschnitt 7a) und Textvorschläge für Lösungsseiten (Abschnitt 7b).
Mit diesen Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit Daten in Drittländer übermittelt werden, erfolgt dies auf Grundlage der EU-Standardvertragsklauseln.
Der Projektdialog ist ein freiwilliges Angebot. Wenn du ihn nutzt, werden deine Eingaben – also deine Beschreibung des Vorhabens und die Antworten auf die Rückfragen, etwa zu Umfang, Budget, Zeitrahmen und gegebenenfalls Postleitzahl – zusammen mit unserem Produktkatalog an Anthropic PBC, USA übermittelt und dort verarbeitet, um einen Vorschlag zu erzeugen.
Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir vor der ersten Übermittlung im Dialogfenster einholen. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Deine Eingaben werden dort nicht zum Training von KI-Modellen verwendet.
Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die übrigen Funktionen des Marktplatzes bleiben davon unberührt. Bitte gib im Dialog keine Gesundheitsdaten oder andere besonders sensiblen Informationen im Sinne des Art. 9 DSGVO ein.
Auf unseren Seiten kannst du Fragen an einen Hilfe-Chat stellen. Er antwortet ausschließlich aus unseren Hilfeartikeln und hat keinen Zugriff auf dein Konto, deine Bestellungen oder Projekte. Deine Frage wird dazu an Anthropic PBC, USAübermittelt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir vor der ersten Frage einholen; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln. Bitte gib im Chat keine persönlichen oder sensiblen Daten ein.
Wir speichern Frage, Antwort, ob du an den Support übergeben wurdest, und gegebenenfalls die Kennung des Kanals, über den du kamst – ohne Konto und ohne IP-Adresse –, um die Hilfeartikel zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Diese Verläufe löschen wir nach 90 Tagen. Deine IP-Adresse wird nur kurzzeitig im Arbeitsspeicher genutzt, um Missbrauch zu begrenzen.
Partner und Bundleo können sich für Lösungsseiten Texte und Produktvorschläge erzeugen lassen. Dabei werden nur Produkt- und Partnernamen, Rollen und die bisherigen Seitentexte an Anthropic PBC, USA übermittelt – keine Daten von Kundinnen und Kunden. Rechtsgrundlage ist der Partnervertrag (Art. 6 Abs. 1 lit. b DSGVO). Lösungsseiten von Partnern prüfen wir vor der Veröffentlichung; dazu speichern wir Status, Zeitpunkte und gegebenenfalls die Begründung einer Rückgabe.
Partner mit mehreren Standorten können für jede Filiale einen eigenen Zugang anlegen. Dafür gibt der Partner Name, E-Mail-Adresse, Postleitzahl und Ort der Filiale an; wir erhalten diese Daten also nicht von der Person hinter der Filialadresse selbst (Art. 14 DSGVO). Wir legen damit ein Partnerkonto an und senden eine Einladung sowie einen Link zum Setzen des Passworts. Rechtsgrundlage ist der Vertrag mit dem Partner (Art. 6 Abs. 1 lit. b DSGVO) sowie unser und sein berechtigtes Interesse an eigenen Zugängen statt geteilter Passwörter (lit. f). Der Zahlungsdienstleister erhält nur die Anzahl der Filialen. Die Daten bleiben bis zur Löschung des Filialkontos gespeichert.
Lösungswelten, Schaufenster und Produkte können Videos von YouTube (Google Ireland Ltd., Dublin; Google LLC, USA) oder Vimeo (Vimeo.com Inc., USA) zeigen. Solange du ein Video nicht startest, wird nichts vom Anbieter geladen und keine Daten übertragen – du siehst nur einen Platzhalter. Erst wenn du auf „Video laden“ klickst, wird das Video eingebunden; dabei erhält der Anbieter deine IP-Adresse und technische Angaben zu deinem Gerät, kann Cookies setzen und Daten in die USA übermitteln.
YouTube binden wir im erweiterten Datenschutzmodus (youtube-nocookie.com) ein, Vimeo mit der Einstellung „Do Not Track“. Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie gilt nur für das jeweilige Video. Die Übermittlung in die USA stützen die Anbieter auf das EU-US Data Privacy Framework. Einzelheiten findest du in den Datenschutzhinweisen von Google und Vimeo.
Bundleo setzt keine Werbe- oder Tracking-Cookies und bindet keine Analysedienste ein. Ausnahme sind Videos, die du selbst startest (Abschnitt 7d). Für Kunden-, Partner- und Admin-Login werden technisch notwendige Sitzungs-Cookies verwendet; sie sind für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO).
Deine Entscheidung im Datenschutz-Banner sowie deine Einwilligung zur KI-Beratung werden lokal in deinem Browser gespeichert (localStorage), damit du nicht bei jedem Besuch erneut gefragt wirst. Das ist selbst kein Tracking. Bei angemeldeten Kunden wird der Zeitpunkt der KI-Einwilligung zusätzlich am Konto gespeichert, um sie nach Art. 7 Abs. 1 DSGVO nachweisen zu können.
Gibst du eine Postleitzahl ein (z. B. bei „Lokale Partner“ oder „Fertige Produktlösungen“), merkt sich dein Browser sie samt Umkreis im sessionStorage, damit du sie beim Seitenwechsel nicht erneut eingeben musst. Sie bleibt nur in diesem Tab, wird beim Schließen gelöscht und dafür nicht an uns übertragen (§ 25 Abs. 2 Nr. 2 TDDDG).
Findet die Projektberatung für eine offene Position keinen passenden Partner, zeigen wir dir gelegentlich externe Produktvorschläge, die als „Anzeige · extern" gekennzeichnet sind. Die dahinterliegenden Links sind Provisionslinks: Kaufst du nach einem Klick beim externen Anbieter, können wir eine Provision erhalten. Für dich ändert sich am Preis nichts.
Bundleo bindet für diese Vorschläge keine Tracking-Skripte oder Cookies der Anbieter ein. Erst wenn du aktiv auf einen solchen Link klickst, verlässt du unsere Seite; ab diesem Zeitpunkt gelten die Datenschutzbestimmungen des jeweiligen Anbieters, der dann unter Umständen eigene Cookies setzt, um den Kauf der Empfehlung zuzuordnen. Auf diese Verarbeitung haben wir keinen Einfluss.
Partner können Produktfotos und digitale Dateien hochladen; diese werden bei Supabase Storage abgelegt. Links zu digitalen Produkten stellen wir dir per E-Mail und in deinem Kundenkonto bereit.
Um nachvollziehen zu können, ob Bestell-, Termin- und Statusmails zugestellt wurden, protokollieren wir den Versand einschließlich Empfänger, Betreff und Inhalt der Nachricht. Das dient der Dokumentation gegenüber dir und den Partnern sowie der Fehlersuche bei nicht zugestellten Mails (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll ist ausschließlich für den Betreiber einsehbar, wird nach sechs Monaten automatisch gelöscht und bei einer Kontolöschung sofort entfernt.
Damit ein Partner den zugesagten Rabatt oder Vorteil gewähren kann, halten wir zu jeder Position fest, zu welchem Projekt sie gehört, bei welchem Partner sie eingelöst wird, welcher Betrag und welche Warengruppe betroffen sind und welchen Status die Position hat (freigegeben, eingelöst, verfallen, storniert). Dazu gehört ein Einlösecode, den der Partner beim Kauf prüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO – ohne diese Angaben lässt sich der Vorteil nicht einlösen.
Der Partner sieht ausschließlich die Positionen, die bei ihm eingelöst werden. Er erfährt nicht, was du bei anderen Partnern gekauft hast. Ihm wird lediglich angezeigt, welche Stufe dein Bundle erreicht hat, weil davon abhängt, welchen Vorteil er zu gewähren hat.
Kein Verhaltensprofil. Wir werten dein Kauf- oder Stornoverhalten nicht aus und leiten daraus keine Bewertung deiner Person ab. Es gibt keine Sperre wegen zu häufiger Stornierungen und keinen Punktestand. Nicht eingelöste Reservierungen verfallen nach Ablauf einer festen Frist von selbst – dafür ist keine Beobachtung deines Verhaltens nötig.
Zu jedem Vorhaben führen wir für dich ein Projekt. Darin stehen deine Merkliste, eine Checkliste, Notizen und Termine sowie – sobald du bestellst – die gekauften Positionen und die beteiligten Betriebe als Momentaufnahme, dazu Kaufdaten, Garantiefristen, Wartungstermine und die Unterlagen, die du hochlädst (Rechnungen, Fotos). Grundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Bestellst du mit Kundenkonto, ordnen wir die Bestellung automatisch einem Projekt zu – dem, aus dem dein Warenkorb stammt, einem offenen Projekt mit denselben Produkten oder einem neuen. Positionen und Betriebe werden dabei in dein Projekt kopiert; spätere Änderungen beim Partner verändern deinen Projektpass nicht.
Partner haben keinen Zugriff auf dein Projekt. Sie erfahren nur von einer Anfrage, die du selbst auslöst. Rechnungen und Fotos liegen in einem privaten Speicherbereich und sind ausschließlich über kurzlebige, signierte Links erreichbar. Du kannst ein Projekt jederzeit als ZIP exportieren oder vollständig löschen – hochgeladene Dateien werden dabei mitgelöscht. Aus einer Bestellung übernommene Positionen lassen sich nicht einzeln entfernen, damit der Pass zeigt, was tatsächlich gekauft wurde; mit dem Projekt verschwinden auch sie. Archivierte Projekte löschen wir 24 Monate nach der letzten Änderung.
In deinem Projekt schlagen wir dir auf Wunsch Projektmanager vor, die dein Vorhaben begleiten können. Angezeigt werden höchstens drei Anbieter, deren Einsatzgebiet deinen Projektstandort umfasst; dafür berechnen wir aus der Postleitzahl deines Projekts die Entfernung. Der Anbieter erfährt davon nichts, solange du ihn nicht auswählst und beauftragst. Danach gelten dieselben Regeln wie für jede andere Bestellung (Abschnitt 4); Vertragspartner ist der Projektmanager, nicht Bundleo.
Wenn die Bundle AI für dein Vorhaben keine passenden Partnerprodukte findet, halten wir die offene Position zusammen mit dem Themenbereich und – falls angegeben – Postleitzahl und Ort fest. So erkennen wir, für welche Leistungen uns regional noch Partner fehlen (Art. 6 Abs. 1 lit. f DSGVO). Diese Angaben werden nicht mit deinem Konto verknüpft und nach zwölf Monaten gelöscht.
Auf /mitmachen kannst du dich benachrichtigen lassen, sobald Bundleo in deiner Region startet. Wir verarbeiten dafür deine E-Mail-Adresse und deine Postleitzahl, dazu – je nachdem, was du angibst – dein Vorhaben oder Firmenname und Branche sowie die Kennung des Links, über den du gekommen bist (z. B. „instagram“). Die Kennung beschreibt den Kanal, nicht dich.
Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie gilt erst, wenn du den Link in unserer Bestätigungsmail anklickst (Double-Opt-in); vorher schreiben wir dir nicht. Abmelden kannst du dich jederzeit über den Link in jeder Mail – dein Eintrag wird dann vollständig gelöscht, nicht nur stillgelegt. Bestätigst du nicht, löschen wir den Eintrag nach sieben Tagen; bestätigte Einträge löschen wir spätestens nach 24 Monaten.
Unsere Umfragen (z. B. unter /umfrage/…) sind anonym: Wir fragen weder Namen noch E-Mail-Adresse ab und verknüpfen die Antworten nicht mit deinem Konto. Gespeichert werden deine Antworten und die Kennung des Links, über den du zur Umfrage gekommen bist. Grundlage ist unser berechtigtes Interesse daran, die Plattform am tatsächlichen Bedarf auszurichten (Art. 6 Abs. 1 lit. f DSGVO).
Partner können andere Betriebe werben. Registriert sich ein Betrieb über den Einladungslink, speichern wir, wer ihn geworben hat, sowie Zeitpunkt, Prämienbetrag, Fälligkeit, Status und die Kennung der Gutschrift beim Zahlungsdienstleister. Grundlage ist die Durchführung der Teilnahmebedingungen (Art. 6 Abs. 1 lit. b DSGVO). Der werbende Partner sieht nur den Namen des geworbenen Betriebs und den Status der Prämie, keine Rechnungsdaten. Verfallene und abgelehnte Prämien löschen wir zwölf Monate nach dem Statuswechsel; gutgeschriebene bleiben aus buchhalterischen Gründen erhalten.
Bestelldaten bewahren wir für die Dauer der gesetzlichen Aufbewahrungsfristen auf (in der Regel bis zu zehn Jahre, § 147 AO, § 257 HGB). Darüber hinaus löschen wir automatisiert:
Konten bestehen bis zur Löschung durch dich oder uns.
Erfassungsdaten von Partnerbetrieben (Abschnitt 5a): nach einer Absage drei Monate, nach erfolgreicher Einrichtung sechs Monate, ohne Reaktion zwölf Monate.
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
Als angemeldeter Kunde kannst du deine Daten in deinem Konto direkt herunterladen und dein Konto dort selbst löschen. Bestelldaten werden dabei nicht gelöscht, sondern anonymisiert, weil für sie gesetzliche Aufbewahrungspflichten bestehen. Alternativ erreichst du uns unter info@bundleo.de.
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere im Mitgliedstaat deines Aufenthaltsorts oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist: [ZUSTÄNDIGE LANDESDATENSCHUTZBEHÖRDE – nach Bundesland eintragen].
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert.
Stand: 1. Oktober 2026.