Letzte Aktualisierung: 11. Oktober 2026
Diese Mitteilung beschreibt, wie NBS SRL („OniGrow“ oder der „Verantwortliche“) mit Sitz in Via Francia 5D, 37135 Verona (Italien), USt-IdNr. IT01563280294, E-Mail info@onigrow.com, personenbezogene Daten von Nutzern von onigrow.com und Kunden unserer Dienstleistungen gemäß der Verordnung (EU) 2016/679 (DSGVO) und dem geltenden nationalen Recht verarbeitet.
Verantwortlicher und Kontakte
Verantwortlicher:
NBS SRL – Via Francia 5D, 37135 Verona (Italien)
Datenschutzkontakt:
info@onigrow.com (für Anfragen oder zur Ausübung von Rechten)
Verarbeitete Datenkategorien
- Identifikations- und Kontaktdaten: Vor- und Nachname, E‑Mail, Telefon, Abrechnungsdaten.
- Zahlungsdaten: über zertifizierte Anbieter (z. B. Stripe, PayPal) verarbeitet. OniGrow speichert keine vollständigen Kartendaten.
- Technische Nutzungsdaten: IP‑Adressen, Geräte-IDs, technische Protokolle, Browserinformationen und besuchte Seiten, Cookies und ähnliche Technologien (siehe „Cookies“).
- Kommunikation: Anfragen per E‑Mail, Kontaktformulare oder Supportkanäle.
- Soziale Zugangsdaten (falls bereitgestellt): Instagram‑Benutzername und ‑Passwort, ausschließlich zur Erbringung der Dienstleistung erforderlich.
- Daten zum Rewards-Programm: persönlicher Empfehlungscode, Guthabenverlauf (verdient und verwendet), beim Checkout eingegebene Empfehlungscodes, Anzahl aktiver Abonnements (für die Berechnung des Mengenrabatts), anonymisierte Beziehung zwischen Empfehler und empfohlenem Kunden.
Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Bestellabwicklung, Leistungserbringung, Kundensupport, Aktivierungen | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Verwaltung des OniGrow Rewards Programms: Berechnung und Gutschrift von Empfehlungsguthaben, Anwendung von Mengenrabatten, Guthabenrücknahme bei Erstattung, Versand von transaktionalen E-Mail-Benachrichtigungen zum Guthaben. | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Steuer- und Buchhaltungspflichten, gesetzliche Verpflichtungen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
| Websicherheit, Betrugsprävention, Rechtsverteidigung, Serviceverbesserung, cookielose aggregierte Besuchszählung | Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) |
| Marketing, Newsletter, nicht essenzielle Cookies | Einwilligung der Nutzer (Art. 6 Abs. 1 lit. a DSGVO) |
Eine Einwilligung kann jederzeit widerrufen werden, ohne die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung zu beeinträchtigen.
Verarbeitung von Zugangsdaten
- Freiwillig und nur angefordert, wenn für die Dienstleistung erforderlich.
- Ausschließlich zur Ermöglichung des Zugriffs auf das Konto des Kunden verwendet.
- Verschlüsselt und sicher gespeichert, mit beschränktem und protokolliertem Zugriff.
- Sofortige Löschung nach Ende der Dienstleistung oder auf Kundenwunsch.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Verarbeitungsmethoden und Sicherheit
Daten werden rechtmäßig, fair und transparent mittels IT‑Systemen verarbeitet und durch folgende Sicherheitsmaßnahmen geschützt:
- Verschlüsselung im Ruhezustand und bei der Übertragung,
- rollenbasierter und protokollierter Zugriff,
- regelmäßige Backups und Monitoring,
- interne Incident‑Response‑Verfahren.
Aufbewahrung
| Datenkategorie | Aufbewahrungsfrist |
|---|---|
| Abrechnungsdaten | 10 Jahre (gesetzliche Pflicht) |
| Soziale Zugangsdaten | Nur für die Dauer der Dienstleistung, danach sofortige Löschung |
| Nutzungsprotokolle | Bis zu 24 Monate (vorbehaltlich gesetzlicher oder sicherheitsbedingter Gründe) |
| Sitzungen der internen Messung (Statistik-Einwilligung) | 90 Tage nach der letzten Aktivität |
| Aggregierte Besuchszählung (ohne Cookies) | 13 Monate |
| Marketing/Newsletter | Bis zum Widerruf der Einwilligung |
| Rewards- und Empfehlungsdaten | Werden für die Dauer des Vertragsverhältnisses und 10 Jahre nach Beendigung aufbewahrt (steuerliche und buchhalterische Pflichten, da sie die Vergütung beeinflussen) |
Empfänger
Daten können offengelegt werden an:
- Zahlungsanbieter (Stripe, PayPal) – eigenständige Verantwortliche;
- Technische Dienstleister (Hosting, E‑Mail, CRM, Analytics, WordPress‑Plugins) – als Auftragsverarbeiter gem. Art. 28 DSGVO benannt;
- Werbe- und Analyseplattformen (Google, Meta, Microsoft, OpenAI), nur mit deiner Einwilligung in Statistik oder Marketing – je nach Dienst eigenständige Verantwortliche oder Auftragsverarbeiter;
- Berater und Auftragnehmer mit Vertraulichkeitsverpflichtung;
- Zuständige Behörden, sofern gesetzlich erforderlich.
OniGrow verkauft keine personenbezogenen Daten an Dritte.
Übermittlungen außerhalb des EWR
Einige Anbieter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA. Google, Meta und Microsoft nehmen am EU-US Data Privacy Framework teil, das die Europäische Kommission mit Beschluss vom 10. Juli 2023 als angemessen anerkannt hat. Für andere Anbieter treffen wir geeignete Garantien (z. B. EU‑Standardvertragsklauseln und zusätzliche Maßnahmen) gemäß Art. 44–49 DSGVO.
Betroffenenrechte
Nutzer können folgende Rechte ausüben:
- Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit (Art. 15–22 DSGVO);
- Widerruf der Einwilligung, soweit anwendbar;
- Beschwerde bei der italienischen Datenschutzaufsichtsbehörde (www.garanteprivacy.it), die den Verantwortlichen beaufsichtigt, oder bei der Aufsichtsbehörde deines Wohnsitzlandes.
Anfragen können an info@onigrow.com gesendet werden.
Minderjährige
Der Dienst richtet sich an Volljährige. Wir erheben nicht wissentlich Daten von Minderjährigen; etwaige übermittelte Daten werden gelöscht.
Cookies und ähnliche Technologien
Wir verwenden Cookies und Browserspeicher für den Betrieb der Website und mit deiner Einwilligung für Statistik und Marketing. Kategorien kannst du im Banner auswählen und über „Cookie-Einstellungen“ im Footer ändern.
Kategorien und Dienste
- Notwendig: Sitzung, Warenkorb und Sprache. Der Cookie og_consent speichert Einstellungen und die Auswahlreferenz 180 Tage. Der Cookie onigrow_ref speichert den Code des Empfehlungslinks 30 Tage.
- Aggregierte Besuchszählung: Ohne Cookies und ohne etwas in deinem Browser zu speichern, zählen wir Seitenaufrufe nach Tag, Seite, Herkunftskanal (zum Beispiel Suchmaschine oder Anzeige), Gerätetyp, Land und Sprache. Wir speichern weder deine IP-Adresse noch Kennungen oder andere Daten, mit denen du erkannt werden kannst, und diese Summen sind nicht mit Bestellungen verknüpft. Das Land wird bei der Anfrage aus der IP-Adresse abgeleitet, ohne sie zu speichern. Es handelt sich um eine aggregierte Statistik, die technischen Cookies gleichgestellt ist (italienische Datenschutzbehörde, Leitlinien vom 10. Juni 2021), auf Grundlage unseres berechtigten Interesses zu wissen, wie viele Menschen die Seite besuchen; sie erfordert keine Einwilligung. Die Summen werden 13 Monate aufbewahrt.
- Statistik: Google Analytics 4, Microsoft Clarity und die interne OniGrow-Messung analysieren Besuche, Interaktionen, Käufe und Besuchsverläufe. Clarity verwendet auch Heatmaps und Sitzungsaufzeichnungen. Sie werden mit Statistik-Einwilligung aktiviert und können pseudonyme Kennungen verwenden, auch wenn Berichte zusammengefasst sind.
- Marketing: Google Ads, Meta Pixel / Conversions API und OpenAI / ChatGPT messen die Werbewirkung anhand von Besuchen, angesehenen oder in den Warenkorb gelegten Produkten, Bestellvorgang und tatsächlich bezahlten Käufen. Google Ads und Meta unterstützen auch Werbung und passende Inhalte. Microsoft-Werbefunktionen folgen Marketing. Die Dienste werden mit Marketing-Einwilligung aktiviert; ihre Pixel werden vorher nicht geladen.
Messdaten und Technologien
Messdaten können Produkte und Mengen, Beträge und EUR-Währung, Ereignis- und Werbeklickreferenzen, pseudonyme Browserkennungen sowie technische Verbindungs- und Gerätedaten umfassen. UTM-Herkunftsparameter können mit Statistik oder Marketing gespeichert werden; Google- und Meta-Klickreferenzen nur mit Marketing. Diese Daten sind nicht unbedingt anonym.
Zur Zuordnung von Conversions kann Google Ads E-Mail und Telefon als SHA-256-Hash erhalten. Meta und OpenAI können auch Vor- und Nachnamen als Hash erhalten. Das OpenAI-Pixel kann verfügbare Daten auf der Website, auch in Formularen, erkennen und Land, Stadt, Region und Postleitzahl normalisiert, ohne Hash, übermitteln. Meta kann Ortsangaben und Kundenkennung als Hash sowie IP-Adresse und Browserinformationen ohne Hash erhalten. Hashwerte machen Daten nicht anonym.
Die Zeiten unten betreffen den Browser, nicht die Aufbewahrung auf Anbieterservern. Es sind konfigurierte oder geprüfte Zeiten; Browser und Datenlöschung können sie verkürzen. Manche Fristen werden bei Nutzung erneuert.
| Cookie | Dienst und Zweck | Dauer im Browser |
|---|---|---|
og_session_count |
OniGrow: Sitzungsanzahl | 365 Tage |
og_tracking |
OniGrow: UTM-Herkunft mit Statistik oder Marketing; Klickreferenzen mit Marketing | 30 Tage |
_ga, _ga_* |
Google Analytics: Besuche und Interaktionen | Bis zu zwei Jahre angefordert; etwa 400 Tage im geprüften Browser |
_clck; _clsk |
Microsoft Clarity: Nutzungserlebnis | 365 Tage; 1 Tag |
| Cookie | Dienst und Zweck | Dauer im Browser |
|---|---|---|
_fbp |
Meta: Browserkennung | 90 Tage |
_fbc; _gcl_* |
Meta / Google: Klickreferenzen falls vorhanden | Vorhandensein und Ablauf hängen von Klickparametern, Dienst und Browser ab; die tatsächliche Frist ist im Browser einsehbar. |
__oppref |
OpenAI: Werbeklickreferenz der Einstiegsseite | 30 Tage nach dem Schreiben; erneute Erfassung des Klickparameters erneuert die Frist, bloßes Lesen nicht. |
__obref |
OpenAI: zufällige pseudonyme Browserreferenz | 365 Tage ab Erstellung; gültige Wiederverwendung erneuert die Frist nicht. |
__oaiq_consent |
OpenAI: Einwilligungseinstellung des Pixels | 30 Tage nach dem Schreiben. |
MUID; MR; SM; ANONCHK; SRM_B |
Microsoft: gemeinsame Cookies auf Clarity/Bing-Domains, Statistik / Marketing je nach Funktion und Auswahl | MUID und SRM_B etwa 390 Tage; MR 7 Tage; SM Sitzung; ANONCHK etwa 10 Minuten |
Sitzungsspeicher halten Besuchsverläufe und technische Referenzen bis zum Sitzungsende, etwa og_* von OniGrow und _cltk von Clarity. Dienste verwenden auch localStorage, etwa lastExternalReferrer von Meta und oaiq_consent von OpenAI: ohne automatische Ablaufzeit, bis zur Löschung oder Aktualisierung durch den Dienst. OpenAI nutzt auch Einwilligungsmarker für den Besuch in sessionStorage. Diese Speicher kannst du in den Browsereinstellungen löschen.
Einstellungen, Widerruf und Anbieterhinweise
Du kannst Statistik und Marketing über „Cookie-Einstellungen“ im Footer akzeptieren, verweigern oder ändern. Die Deaktivierung einer Kategorie stoppt künftige Übermittlungen für diese Auswahl. Ein Marketing-Widerruf entfernt Marketing-Kennungen von Erstanbietern aus dem Browser; Einstellungen können zur Speicherung der Ablehnung bestehen bleiben. Cookies auf Drittanbieterdomains lassen sich über Browser- und Anbietereinstellungen verwalten. Bereits erfolgte Verarbeitungen werden nicht rückgängig gemacht.
Unsere serverseitige Aufzeichnung der Einwilligung wird 24 Monate aufbewahrt, getrennt vom Cookie-Ablauf. Deine Rechte kannst du über die Kontakte in dieser Mitteilung und bei den Anbietern ausüben.
Datenschutzhinweise der Anbieter: Google, Meta, Microsoft, OpenAI.
Drittplattformen
Die Nutzung des Dienstes kann Interaktionen mit Plattformen Dritter (z. B. Instagram) umfassen.
Diese agieren eigenständig als Verantwortliche mit eigenen Richtlinien und Nutzungsbedingungen.
OniGrow wird nicht von Instagram™ gesponsert oder zertifiziert.
Änderungen an dieser Datenschutzrichtlinie
Wesentliche Änderungen werden mit einer Frist von 30 Tagen per Hinweis auf der Website oder per E‑Mail angekündigt.
Die fortgesetzte Nutzung der Website/Dienste nach diesem Zeitraum gilt als Zustimmung zur aktualisierten Fassung.
