feat: Rechtstexte nennen alle Empfaenger, denen tatsaechlich Daten zugehen

Die Datenschutzerklaerung beschrieb Hosting, Bestellung, Konto, Newsletter,
Kontaktformular und Google-Rezensionen — drei Empfaenger fehlten, obwohl
Daten an sie gehen. Abgeglichen wurde gegen die Content-Security-Policy in
next.config.ts: sie listet abschliessend, wohin der Browser ueberhaupt
Verbindungen aufbauen darf, und ist damit ein belastbares Inventar.

Neu aufgenommen:

- Cloudflare Turnstile als eigener Abschnitt 8. Das Skript laedt auf jeder
  Seite mit Formular aus dem Browser des Besuchers nach; IP-Adresse und
  Geraetemerkmale gehen dabei an Cloudflare in den USA. Bisher stand davon
  nirgends etwas — weder in der Datenschutzerklaerung noch unter "Externe
  Inhalte" in der Cookie-Richtlinie, wo Stripe bereits korrekt beschrieben
  ist. Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, Drittlandtransfer ueber
  EU-US Data Privacy Framework.
- DHL in Abschnitt 4: Name und Lieferanschrift, bei Packstationen zusaetzlich
  die Standortnummer, und bei der Packstationssuche im Bestellvorgang der
  eingegebene Ort.
- Microsoft Entra ID in Abschnitt 5. Die Anmeldung damit ist kundenseitig auf
  /konto verlinkt, tauchte aber in keinem Rechtstext auf.

Die bisherigen Abschnitte 8 bis 10 ruecken auf 9 bis 11.

Ausserdem zwei Korrekturen am Bestand:

- Der Verweis auf die EU-Plattform zur Online-Streitbeilegung entfaellt in
  Impressum UND AGB. Die ODR-Verordnung ist aufgehoben, die Plattform
  eingestellt; ein Link auf einen abgeschalteten Dienst ist schlechter als
  keiner. Die Erklaerung nach § 36 Abs. 1 Nr. 1 VSBG bleibt und ist jetzt
  ausdruecklich als solche benannt.
- Die Cookie-Richtlinie zitierte das TTDSG. Das Gesetz heisst seit Mai 2024
  TDDDG.

Unveraendert bleibt der Cookie-Banner: er bietet eine Auswahl, die derzeit
nichts schaltet, weil keine einwilligungspflichtigen Cookies gesetzt werden —
das ist Absicht, damit spaeter hinzukommende Cookies den Mechanismus schon
vorfinden.

Alle Texte auch auf Englisch. Kein Ersatz fuer eine anwaltliche Pruefung.

tsc: 0 Fehler. vitest: 359/359 gruen. eslint: 0 Warnungen. next build: gruen.

Co-Authored-By: Claude Opus 5 (1M context) <[email protected]>

src/i18n/dictionaries/de.ts

@@ -225,7 +225,12 @@ export const de: Dictionary = {
       {
         heading: "Streitschlichtung",
         paragraphs: [
-          "Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung (OS) bereit: https://ec.europa.eu/consumers/odr. Wir sind nicht verpflichtet und nicht bereit, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.",
+          // Der frühere Verweis auf die EU-Plattform zur Online-Streitbeilegung
+          // (ec.europa.eu/consumers/odr) ist entfallen: die zugrunde liegende
+          // ODR-Verordnung wurde aufgehoben und die Plattform eingestellt. Ein
+          // Link auf einen abgeschalteten Dienst ist schlechter als keiner. Die
+          // Erklärung nach § 36 VSBG bleibt dagegen Pflicht und steht hier.
+          "Wir sind nicht verpflichtet und nicht bereit, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§ 36 Abs. 1 Nr. 1 VSBG).",
         ],
       },
     ],
@@ -254,6 +259,7 @@ export const de: Dictionary = {
       {
         heading: "4. Bestellung und Vertragsabwicklung",
         paragraphs: [
+          "Für den Versand übermitteln wir deinen Namen und die Lieferanschrift an unseren Versanddienstleister DHL (DHL Paket GmbH, Bonn). Wählst du die Lieferung an eine Packstation oder Filiale, kommt die von dir gewählte Standortnummer hinzu. Suchst du im Bestellvorgang nach einer Packstation, wird dein eingegebener Ort beziehungsweise deine Postleitzahl zur Abfrage an DHL weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.",
           "Bei einer Bestellung erheben wir die für die Vertrags-, Zahlungs- und Versandabwicklung notwendigen Daten (Name, Adresse, E-Mail, ggf. Telefonnummer sowie die bestellten Artikel). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).",
           "Zahlungen werden über unseren Zahlungsdienstleister Stripe Payments Europe, Ltd. abgewickelt. Dabei werden die für die Zahlungsabwicklung notwendigen Daten an Stripe übermittelt. Es gelten zusätzlich die Datenschutzhinweise von Stripe (stripe.com/de/privacy). Soweit dabei Daten an mit Stripe verbundene Unternehmen außerhalb der EU/des EWR (insbesondere Stripe, Inc. in den USA) übermittelt werden, erfolgt dies auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO.",
           "Bestell- und Rechnungsdaten werden aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten (§ 257 HGB, § 147 AO) für die gesetzlich vorgeschriebene Dauer gespeichert.",
@@ -262,6 +268,7 @@ export const de: Dictionary = {
       {
         heading: "5. Kundenkonto",
         paragraphs: [
+          "Alternativ kannst du dich mit einem Microsoft-Konto anmelden (Microsoft Entra ID). Dabei wirst du zu Microsoft weitergeleitet und meldest dich dort an; wir selbst erhalten kein Passwort, sondern nur deine E-Mail-Adresse und deinen Namen, um dein Kundenkonto zuzuordnen. Welche Daten Microsoft bei der Anmeldung selbst verarbeitet, richtet sich nach den Datenschutzhinweisen von Microsoft. Anbieter ist die Microsoft Ireland Operations Limited; eine Übermittlung an die Microsoft Corporation in die USA kann stattfinden. Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.",
           "Legst du ein Kundenkonto an, speichern wir die von dir angegebenen Daten (Name, E-Mail, Passwort verschlüsselt als Hash) sowie optional hinterlegte Lieferadressen, um dir Bestellhistorie, Rechnungseinsicht und eine schnellere Kasse zu ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst dein Konto und die zugehörigen Daten jederzeit über eine formlose Anfrage an uns löschen lassen.",
           "Zur Anmeldung wird ein technisch notwendiges Cookie gesetzt, siehe unsere Cookie-Richtlinie.",
         ],
@@ -279,17 +286,26 @@ export const de: Dictionary = {
         ],
       },
       {
-        heading: "8. Google-Rezensionen",
+        heading: "8. Schutz der Formulare vor Missbrauch (Cloudflare Turnstile)",
+        paragraphs: [
+          "Um unsere Formulare vor automatisierten Massenzugriffen zu schützen, setzen wir Cloudflare Turnstile ein, einen Dienst der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Betroffen sind Anmeldung, Registrierung, Passwort-Reset, Zwei-Faktor-Bestätigung, Bestellabschluss, Newsletter-Anmeldung, Firmenanfrage und die Benachrichtigung bei Verfügbarkeit.",
+          "Rufst du eine Seite mit einem dieser Formulare auf, lädt dein Browser ein Skript von challenges.cloudflare.com. Dabei werden deine IP-Adresse sowie technische Merkmale deines Browsers und Endgeräts an Cloudflare übermittelt und dort ausgewertet, um zu unterscheiden, ob die Eingabe von einem Menschen oder einem Programm stammt. Nach Angaben des Anbieters setzt Turnstile dafür keine Cookies zu Werbezwecken und erstellt kein seitenübergreifendes Nutzerprofil.",
+          "Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Anmeldeversuche mit gestohlenen Zugangsdaten, Spam über unsere Formulare und missbräuchliche Bestellungen abzuwehren.",
+          "Eine Übermittlung in die USA findet statt. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln.",
+        ],
+      },
+      {
+        heading: "9. Google-Rezensionen",
         paragraphs: [
           "Auf unserer Startseite zeigen wir Bewertungen von unserem Google-Unternehmensprofil an. Die Rezensionstexte werden dafür serverseitig über die Google Places API abgerufen; dein Browser baut dabei keine eigene Verbindung zu Google auf. Anbieter: Google Ireland Limited, wobei eine Übermittlung an die Google LLC (USA) nicht ausgeschlossen werden kann. Es gelten die Datenschutzhinweise von Google (policies.google.com/privacy).",
         ],
       },
       {
-        heading: "9. Cookies",
+        heading: "10. Cookies",
         paragraphs: ["Details zu den auf dieser Website eingesetzten Cookies findest du in unserer Cookie-Richtlinie."],
       },
       {
-        heading: "10. Deine Rechte",
+        heading: "11. Deine Rechte",
         paragraphs: [
           "Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO) deiner personenbezogenen Daten.",
           "Zudem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, z.B. dem Bayerischen Landesamt für Datenschutzaufsicht.",
@@ -347,7 +363,10 @@ export const de: Dictionary = {
       {
         heading: "9. Streitschlichtung",
         paragraphs: [
-          "Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung (OS) bereit: https://ec.europa.eu/consumers/odr. Wir sind nicht verpflichtet und nicht bereit, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.",
+          // Siehe gleichlautende Stelle im Impressum: der Verweis auf die
+          // eingestellte EU-Plattform ist entfallen, die Erklärung nach
+          // § 36 VSBG bleibt.
+          "Wir sind nicht verpflichtet und nicht bereit, an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen (§ 36 Abs. 1 Nr. 1 VSBG).",
         ],
       },
       {
@@ -427,7 +446,7 @@ export const de: Dictionary = {
         heading: "Technisch notwendige Cookies",
         paragraphs: [
           "Diese Cookies sind für den Betrieb der Website erforderlich und können nicht deaktiviert werden. Sie werden nur gesetzt, wenn du sie durch dein Verhalten aktiv auslöst (z.B. Anmeldung im Kundenkonto).",
-          "wabenhain_session: Hält dich nach der Anmeldung im Kundenkonto eingeloggt. Läuft nach 30 Tagen automatisch ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO / § 25 Abs. 2 Nr. 2 TTDSG.",
+          "wabenhain_session: Hält dich nach der Anmeldung im Kundenkonto eingeloggt. Läuft nach 30 Tagen automatisch ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO / § 25 Abs. 2 Nr. 2 TDDDG.",
         ],
       },
       {
@@ -447,6 +466,7 @@ export const de: Dictionary = {
         paragraphs: [
           "Google-Rezensionen auf unserer Startseite werden serverseitig über die Google Places API abgerufen und angezeigt. Dabei wird kein Cookie in deinem Browser gesetzt, und es findet keine direkte Verbindung deines Browsers zu Google statt.",
           "Zahlungen werden über Stripe abgewickelt. Während des Bezahlvorgangs kann Stripe eigene, für die Betrugsprävention notwendige Cookies setzen. Es gelten die Datenschutzhinweise von Stripe.",
+          "Auf Seiten mit Formularen (Anmeldung, Registrierung, Passwort-Reset, Bestellabschluss, Newsletter, Firmenanfrage) lädt dein Browser ein Skript von Cloudflare Turnstile. Der Dienst unterscheidet Eingaben von Menschen und automatisierten Programmen. Dabei wird deine IP-Adresse an Cloudflare übermittelt. Nach Angaben des Anbieters setzt Turnstile keine Cookies zu Werbezwecken und erstellt kein seitenübergreifendes Nutzerprofil. Einzelheiten in unserer Datenschutzerklärung.",
         ],
       },
       {