Cookies
Zuletzt aktualisiert am 30. April 2026
Cookie-Richtlinie
Diese Cookie-Richtlinie erklärt, welche Cookies und ähnlichen Technologien wir auf korena.eu nutzen, warum wir sie nutzen und wie Sie sie steuern können. Sie gilt ausschließlich für den Onlineshop korena.eu. Unser Timber Index unter timber-index.korena.eu ist eine eigenständige Website mit einer eigenen Datenschutz- und Cookie-Seite. Weitere Informationen finden Sie in Abschnitt 5. Diese Richtlinie ergänzt die Datenschutzerklärung und ist nach der EU-ePrivacy-Richtlinie 2002/58/EG und der DSGVO erforderlich.
Cookie-Inventar am 2026-11-08 per statischer Analyse gegen die Storefront-Codebasis geprüft. (Vor dem Start: Es wurde noch kein automatisierter Scanner-Durchlauf gegen eine bereitgestellte Website durchgeführt; diese erneute Prüfung ist für den ersten öffentlichen Start geplant.)
1. Was Cookies sind
Cookies sind kleine Textdateien, die eine Website auf Ihrem Gerät speichert, wenn Sie sie besuchen. Sie werden häufig verwendet, damit Websites funktionieren, effizienter arbeiten und dem Websitebetreiber Informationen liefern. In dieser Richtlinie umfasst "Cookies" auch ähnliche Technologien wie localStorage, sessionStorage, Web Beacons und Pixel-Tags, soweit sie eine vergleichbare Funktion erfüllen.
2. Kategorien von Cookies, die wir verwenden
Wir klassifizieren die Cookies auf korena.eu in vier Kategorien, dazu ein nicht identifizierendes Messungs-Cookie nach Abschnitt 3.5:
- Unbedingt erforderlich: erforderlich, damit die Website funktioniert (Authentifizierung, Warenkorb, Checkout, Sicherheit). Diese werden ohne vorherige Einwilligung auf Grundlage der Ausnahme für "unbedingt erforderliche" Cookies der ePrivacy-Richtlinie gesetzt; sie sind entweder für Vertragserfüllung, gesetzliche Pflicht oder dokumentierte berechtigte Interessen notwendig. Wenn Sie sie deaktivieren, funktioniert die Website nicht.
- Präferenzen: merken sich Entscheidungen, die Sie treffen, um Ihre Erfahrung zu verbessern, z. B. Sprache. Werden nur mit Ihrer ausdrücklichen Einwilligung gesetzt.
- Analyse: helfen uns aggregiert zu verstehen, wie Besucher die Website nutzen. Werden nur mit Ihrer ausdrücklichen Einwilligung gesetzt.
- Marketing: werden genutzt, um relevante Werbung auszuliefern oder Marketingwirksamkeit über Websites hinweg zu messen. Wir setzen derzeit keine Marketing-Cookies. Diese Richtlinie wird aktualisiert, bevor ein Marketing-Cookie eingeführt wird.
- Herkunftsmessung (Abschnitt 3.5): ein Erstanbieter-Cookie, das festhält, welche Website oder Kampagne Sie auf die Website geführt hat, ohne Kennung von Ihnen oder Ihrem Gerät. Es wird ohne Einwilligung gesetzt und ist nicht unbedingt erforderlich.
3. Cookie-Inventar
Die folgende Tabelle listet jedes Cookie auf, das wir zum Datum am Ende dieser Richtlinie voraussichtlich setzen. Die Live-Liste wird bei jedem Release abgeglichen.
Diese Liste wurde zuletzt am 2026-11-08 durch statische Analyse der Storefront-Codebasis abgeglichen. Ein automatisierter Cookie-Scanner-Durchlauf gegen die bereitgestellte Website (Cookiebot oder gleichwertig) ist vor dem ersten öffentlichen Start geplant; jede Abweichung wird hier abgebildet.
3.1. Unbedingt erforderlich
| Cookie | Gesetzt von | Zweck | Typ | Lebensdauer |
|---|---|---|---|---|
sb-<project-ref>-auth-token (aufgeteilt: …-auth-token.0, .1, …) | korena.eu (Supabase Auth über @supabase/ssr) | Hält Ihre authentifizierte Sitzung (kombinierter Access- und Refresh-Token, JSON). Wird sowohl für Admin-Anmeldung als auch für Kundenkonten verwendet. | First-Party HTTP-Cookie, HttpOnly, SameSite=Lax, Secure in Produktion | 1 Jahr (enthält Refresh-Token); Access-Token darin wird etwa stündlich rotiert |
cart_session | korena.eu | UUID, die Ihren anonymen Warenkorb identifiziert, damit Artikel zwischen Besuchen erhalten bleiben und Reservierungen bis zum Checkout mit Ihnen verbunden bleiben. | First-Party HTTP-Cookie, HttpOnly, SameSite=Lax, Secure in Produktion | 30 Tage |
korena_pwd_recovery | korena.eu | Kurzlebiger Marker, der gesetzt wird, wenn Sie auf einen Passwort-Reset-Link für ein Konto klicken, damit das Reset-Formular ein neues Passwort akzeptiert. | First-Party HTTP-Cookie, HttpOnly, SameSite=Lax, Secure in Produktion | 10 Minuten |
korena_review_claim | korena.eu | Wird gesetzt, wenn Sie eine Dankeskarte oder einen Bewertungscode öffnen, die bzw. der einer Bestellung zugeordnet ist (korena.eu/t/…), oder wenn Sie dort Ihre Bestellnummer und E-Mail-Adresse bestätigen. Damit kann dieser Browser die Bewertung genau dieser Bestellung ohne den Link aus der E-Mail absenden. Signiert; enthält nur die Kennungen der Bestellung und der Karte. | First-Party HTTP-Cookie, HttpOnly, SameSite=Lax, Secure in Produktion | 2 Stunden |
korena_site_gate_unlock | korena.eu | HMAC-signierter Token, der nur ausgegeben wird, wenn die Website im Coming-soon- / Wartungsmodus ist und Sie das gemeinsame Zugangspasswort eingegeben haben. Im Normalbetrieb nicht vorhanden. | First-Party HTTP-Cookie, HttpOnly, SameSite=Lax, Secure in Produktion | 30 Tage |
korena_consent | korena.eu | Speichert Ihre Consent Mode v2-Entscheidungen (pro Kategorie) und Richtlinienversion, damit das Banner nicht auf jeder Seite erneut angezeigt wird. In localStorage unter korena.consent.v1 gespiegelt. | First-Party HTTP-Cookie, SameSite=Lax, Secure über HTTPS | 180 Tage |
__stripe_mid, __stripe_sid | Stripe (gesetzt, wenn Stripe.js im Zahlungsschritt des Checkouts lädt) | Betrugsprävention bei Zahlung. Stripe.js wird nur im Zahlungsschritt des Checkout-Flusses geladen, nicht websiteweit. | Third-Party HTTP-Cookie, gesetzt von js.stripe.com | __stripe_mid 1 Jahr, __stripe_sid 30 Minuten |
3.2. Präferenzen
| Cookie | Gesetzt von | Zweck | Typ | Lebensdauer |
|---|---|---|---|---|
korena_store | korena.eu | Merkt sich Ihren ausgewählten Länder-Store, z. B. bg, damit wir Sie bei Rückkehr zur passenden Währung, MwSt. und Versandkonfiguration leiten können. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | 1 Jahr |
korena_language | korena.eu | Merkt sich Ihre gewählte Inhaltssprache, z. B. en, bg. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | 1 Jahr |
korena_consent_vid | korena.eu | Zufällige Besucherkennung, auf das Einwilligungsprotokoll beschränkt, damit wir im Streitfall nachweisen können, welches Gerät welche Einwilligungsentscheidung getroffen hat. | First-Party HTTP-Cookie, SameSite=Lax, Secure über HTTPS | 180 Tage |
(localStorage) korena.consent.v1 | korena.eu | Spiegel des korena_consent-Cookies, genutzt von clientseitigem Code, der localStorage gegenüber Cookies bevorzugt. Dieselben Daten, dasselbe Ablaufdatum. | Browserspeicher (kein Cookie) | Bis zur Löschung |
3.3. Analyse
| Cookie | Gesetzt von | Zweck | Typ | Lebensdauer |
|---|---|---|---|---|
korena_vid | korena.eu | Pseudonyme Besucherkennung (UUID v7), genutzt zur Deduplizierung von First-Party-Analyseereignissen über Sitzungen hinweg. Wird nur geschrieben, wenn Sie Analyse-Cookies erlauben. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | ca. 13 Monate (395 Tage), bei jedem Besuch erneuert |
korena_sid | korena.eu | Pseudonyme Sitzungskennung mit einem gleitenden 30-Minuten-Fenster. Wird nur geschrieben, wenn Sie Analyse-Cookies erlauben. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | 30 Minuten (gleitend) |
korena_cid | korena.eu | Kundenkennung, die nach Newsletter-Anmeldung, Checkout, Kontoanmeldung oder Bestellabfrage gesetzt wird, damit wir wiederholte Ereignisse derselben Person zuordnen können. Wird nur geschrieben, wenn Sie Analyse-Cookies erlauben. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | ca. 13 Monate (395 Tage) |
korena_attr_first | korena.eu | First-Touch-Attribution: serialisierte UTM-Parameter (utm_source, utm_medium, utm_campaign, utm_term, utm_content) und Click-IDs (gclid, gbraid, wbraid, fbclid, ttclid, msclkid, li_fat_id, epik, ref) aus dem ersten Besuch, der sie enthielt. Einmal geschrieben. Nur mit Analyse-Einwilligung. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | 90 Tage |
korena_attr_last | korena.eu | Last-Touch-Attribution: gleiche Struktur wie korena_attr_first, bei jedem Besuch mit erkanntem Attributionsparameter überschrieben. Nur mit Analyse-Einwilligung. | First-Party HTTP-Cookie, SameSite=Lax, Secure in Produktion | 90 Tage |
_ga | Google Analytics 4 (das Google-Tag, geladen über unseren Google-Tag-Manager-Container von metrics.korena.eu) | Zufällige Client-Kennung, mit der Google Analytics Besucher und Sitzungen zählt und Shop-Ereignisse (Produktansichten, Warenkorb, Checkout, Kauf) misst. Wird nur gesetzt, wenn Sie der Analyse zustimmen. | First-Party-Cookie auf korena.eu, per JavaScript gesetzt (nicht HttpOnly) | 2 Jahre, bei jedem Besuch erneuert |
_ga_QQ7HZ5FJD8 | Google Analytics 4 (wie oben) | Speichert den Sitzungsstatus (Sitzungsnummer und Startzeit) für unsere Google-Analytics-Property. Wird nur gesetzt, wenn Sie der Analyse zustimmen. | First-Party-Cookie auf korena.eu, per JavaScript gesetzt (nicht HttpOnly) | 2 Jahre, bei jedem Besuch erneuert |
| (kein Cookie) Metricool-Seitenaufruf-Pixel | Metricool (tracker.metricool.com, geladen über unseren Google-Tag-Manager-Container) | Sendet bei jedem Seitenaufruf die Seitenadresse, die verweisende Seite und die Größe Ihres Browserfensters an Metricool; wir nutzen das, um Besuche aus unseren Social-Media-Beiträgen zu messen. Setzt kein Cookie und speichert nichts auf Ihrem Gerät; Metricool erhält mit der Anfrage Ihre IP-Adresse. | Bildanfrage eines Drittanbieters, kein Cookie | Nicht auf Ihrem Gerät gespeichert |
Neben unserer eigenen First-Party-Analyse (den korena_*-Zeilen oben) lädt korena.eu Google Analytics 4 und das Metricool-Pixel über einen Google-Tag-Manager-Container. Der Container und das Google-Tag werden first-party von metrics.korena.eu ausgeliefert, unserem eigenen Server-Side-Tagging-Server, der die Messdaten an Google weiterleitet. Sie werden nur auf öffentlichen Shop-Seiten geladen, nicht auf Anmelde-, Admin- oder Partnerseiten. Das Google-Tag folgt Google Consent Mode v2: Solange Sie der Analyse nicht zugestimmt haben (im EWR, im Vereinigten Königreich und in der Schweiz startet der Status auf „abgelehnt“), setzt es keine _ga-Cookies und sendet nur cookielose Pings ohne Client-Kennung, die Google für aggregierte, modellierte Messungen verwendet. Frühere Entwürfe dieser Richtlinie nannten Plausible Analytics; diese Integration ist nicht im Code gelandet. Falls wir ein weiteres Drittanbieter-Analysetool hinzufügen, listen wir es hier und fragen erneut nach Einwilligung.
Bestellungen und Google Analytics. Ihr Kauf wird pro Bestellung einmal an Google Analytics gemeldet. Haben Sie der Analyse zugestimmt und meldet unser Tag ihn aus Ihrem Browser, wird nichts weiter gesendet. Konnte das Tag ihn nicht melden (z. B. weil es blockiert wurde oder Sie die Seite geschlossen haben), sendet stattdessen unser Server die Bestellung über das Measurement Protocol von Google an Google Analytics: Bestellnummer, Summe, Steuer, Versand und die Produkte. Haben Sie beim Checkout der Analyse zugestimmt, lesen wir außerdem Ihre _ga-Cookies (wir setzen sie nicht) und speichern die Google-Analytics-Client- und Sitzungskennung an der Bestellung, damit der Verkauf dem Besuch zugerechnet wird, der ihn ausgelöst hat. Ohne Ihre Einwilligung speichern wir keine solche Kennung und senden die Bestellung als anonymen Umsatzdatensatz, ohne IP-Adresse, Gerätedaten, Namen, E-Mail oder Telefonnummer.
Unser Timber Index unter timber-index.korena.eu nutzt denselben Google-Tag-Manager-Container und berichtet an eine separate Google-Analytics-Property, nachdem die dortige Einwilligung eingeholt wurde. Es handelt sich um einen separaten Host mit eigener Einwilligungsentscheidung und eigenen Cookies. Siehe Abschnitt 5.
3.4. Marketing
| Cookie | Gesetzt von | Zweck | Typ | Lebensdauer |
|---|---|---|---|---|
| Cookies von Google Funding Choices ("Privacy & Messaging") | fundingchoicesmessages.google.com | Nur für Besucher im EWR, Vereinigten Königreich oder in der Schweiz geladen, nur wenn NEXT_PUBLIC_GOOGLE_CMP_ENABLED=true und eine Google Publisher-ID konfiguriert ist. Googles CMP rendert die Einwilligungsnachricht und kann Cookies nach eigenen Richtlinien setzen. Derzeit standardmäßig deaktiviert. | Third-Party-Cookies, gesetzt von Google | Nach Googles Richtlinie |
Heute werden keine anderen Marketing- oder Werbe-Cookies gesetzt. Es gibt kein Facebook Pixel, kein LinkedIn Insight, kein TikTok Pixel und kein Google-Ads-Tag. Der Google-Tag-Manager-Container auf korena.eu enthält nur die in §3.3 aufgeführten Tags für Google Analytics 4 und Metricool; keines von beiden wird für Werbung genutzt. Das Google Consent Mode v2-Default-State-Skript (gtag('consent','default',…)) wird serverseitig ausgegeben, bevor der Google Tag Manager lädt, damit das Google-Tag in dem Einwilligungsstatus startet, der für Sie gilt. Dieses Inline-Skript setzt für sich genommen kein Cookie.
3.5. Herkunftsmessung (ohne Einwilligung gesetzt)
| Cookie | Gesetzt von | Zweck | Typ | Lebensdauer |
|---|---|---|---|---|
korena_src | korena.eu | Hält fest, welche Website oder Kampagne Sie auf die Website geführt hat: den Hostnamen der verweisenden Website, die erste Seite, auf der Sie gelandet sind (ohne Query-String), und die Kampagnen-Tags utm_source, utm_medium, utm_campaign, utm_content und utm_term, falls der Link sie enthielt, jeweils für Ihren ersten und Ihren letzten solchen Besuch, mit Datum. Es enthält keine Kennung von Ihnen oder Ihrem Gerät, keine Werbe-Klick-IDs, keine IP-Adresse und keine vollständige Verweisadresse. Wenn Sie eine Bestellung aufgeben, wird eine Kopie derselben Daten bei der Bestellung gespeichert, damit wir erkennen, welche Kanäle (Suchmaschinen, KI-Assistenten, soziale Medien, E-Mail, andere Websites) Bestellungen bringen. Es wird an niemanden weitergegeben und nicht für Werbung oder Profiling verwendet. | Erstanbieter-HTTP-Cookie, HttpOnly, SameSite=Lax, Secure in Produktion | 30 Tage |
Dieses Cookie wird ohne Ihre Einwilligung gesetzt, und wir bezeichnen es nicht als unbedingt erforderlich: Die Website funktioniert auch ohne es. Wir setzen es auf Grundlage unseres berechtigten Interesses, zu wissen, welche Kanäle Bestellungen bringen; es enthält keine Kennung. Sie können es jederzeit in Ihrem Browser löschen; das Blockieren beeinträchtigt die Website nicht.
4. Einwilligung
Wenn Sie korena.eu zum ersten Mal besuchen, bittet das Einwilligungsbanner Sie, zwischen Folgendem zu wählen:
- Alle akzeptieren: unbedingt erforderlich + Präferenzen + Analyse + (falls vorhanden) Marketing.
- Alle ablehnen: nur unbedingt erforderlich. Das nicht identifizierende Herkunfts-Cookie aus Abschnitt 3.5 hängt von dieser Auswahl nicht ab.
- Anpassen: Kategorien einzeln wählen.
"Alle ablehnen" wird mit derselben Sichtbarkeit wie "Alle akzeptieren" angeboten; wir verwenden keine Cookie-Walls, Dark Patterns oder andere Reibung, die auf Einwilligungsmüdigkeit setzt. Ihre Wahl wird im korena_consent-Cookie gespeichert und bei jedem späteren Besuch beachtet, bis Sie sie ändern.
Wir speichern einen zeitgestempelten Datensatz jeder Einwilligungsentscheidung (Zeitstempel, Bannerversion, anonymisierte IP-Klasse und Ihre Entscheidungen) für 12 Monate ab dem Entscheidungsdatum. Dieser Datensatz wird als Nachweis aufbewahrt, falls später Streit darüber entsteht, ob und wann Sie eingewilligt haben.
Sie können Ihre Wahl jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile ändern.
5. Drittanbieter-Cookies und Verarbeiter
Einige Cookies werden von Dritten gesetzt, wenn Sie bestimmte Funktionen der Website nutzen. Sie sind in §3 oben dokumentiert. Wir haben jeden Dritten geprüft und halten die Nutzung für verhältnismäßig zur bereitgestellten Funktion. Dritte, die eigene Cookies setzen, handeln für diese Cookies als unabhängige oder gemeinsame Verantwortliche; ihre Datenschutzerklärungen gelten zusätzlich zu unserer:
- Stripe (Zahlungsabwicklung): stripe.com/privacy. Stripe setzt Betrugspräventions-Cookies während des Checkouts und ist in Bezug auf Zahlungsdaten unser Auftragsverarbeiter.
- Google (Google Analytics 4, über Google Tag Manager): policies.google.com/privacy und wie Google Informationen von Websites nutzt, die seine Dienste verwenden. Das Google-Tag setzt die in §3.3 aufgeführten
_ga-Cookies, sobald Sie der Analyse zustimmen; unser Tagging-Server untermetrics.korena.euleitet die Messdaten an Google weiter. - Metricool (Messung von Social-Media- und Website-Traffic): metricool.com/privacy-policy. Sein Pixel setzt kein Cookie; es erhält die Seitenadresse, die verweisende Seite, die Größe Ihres Browserfensters und Ihre IP-Adresse.
Wir binden zum Datum am Ende dieser Richtlinie auf korena.eu keine weiteren Drittanbieter-Skripte ein, die Cookies setzen (kein Facebook Pixel, kein LinkedIn Insight, kein TikTok Pixel, kein Google-Ads-Tag).
Die Timber-Index-Subdomain hat eine eigene Einwilligung. timber-index.korena.eu lädt Google Analytics 4 über denselben Google-Tag-Manager-Container, first-party ausgeliefert über metrics.korena.eu, in eine separate Google-Analytics-Property, und zwar erst nachdem die Besucherin oder der Besucher dort zugestimmt hat. Dabei werden _ga-Cookies zur Reichweitenmessung gesetzt. Diese Website hat ihre eigene Datenschutz- und Cookie-Seite; die dort erteilte oder verweigerte Einwilligung wird getrennt von Ihrer Entscheidung hier gespeichert, und keine überträgt sich auf die andere.
6. Cookies im Browser verwalten
Zusätzlich zu den Cookie-Steuerungen auf der Website können Sie Cookies in jedem modernen Browser über die Einstellungen verwalten. Der genaue Pfad unterscheidet sich je nach Browser; die folgenden Dokumentationsseiten werden von den jeweiligen Anbietern aktuell gehalten:
- Chrome: support.google.com/chrome/answer/95647
- Safari: support.apple.com/guide/safari/manage-cookies-sfri11471
- Firefox: support.mozilla.org/kb/cookies
- Edge: support.microsoft.com/microsoft-edge
Das Blockieren unbedingt erforderlicher Cookies verhindert, dass die Website funktioniert. Insbesondere können Sie sich dann nicht anmelden und keinen Checkout abschließen. Wenn ein Browser ein Global Privacy Control (GPC)-Signal sendet, behandeln wir es als "Alle ablehnen"-Wahl für Analyse- und Marketingkategorien. Der veraltete Do-Not-Track (DNT)-Header wird entsprechend behandelt, wenn vorhanden.
7. Änderungen dieser Richtlinie
Wir aktualisieren diese Richtlinie, wenn sich das Cookie-Inventar ändert. Das Cookie-Einwilligungsbanner wird erneut angezeigt, wenn eine neue Kategorie eingeführt oder ein wesentlicher neuer Dritter hinzugefügt wird.
8. Sprachen
Diese Richtlinie ist auf Englisch verfasst. Übersetzungen können auf der Website verfügbar gemacht werden. Soweit gesetzlich erforderlich, insbesondere für Besucher mit Wohnsitz in Bulgarien, ist die bulgarische Übersetzung verbindlich.
Anhang A: Text des Einwilligungsbanners (Deutsch)
Dies ist der kanonische Wortlaut für das Einwilligungsbanner. Er wird hier wiedergegeben, damit rechtliche Prüfung und Übersetzung zusammen mit dieser Richtlinie erfolgen können.
Banner
Cookies auf korena.eu Wir verwenden unbedingt erforderliche Cookies, damit diese Website funktioniert. Mit Ihrer Einwilligung verwenden wir außerdem einige Präferenz- und Analyse-Cookies, um die Website zu verbessern. Wir verwenden keine Marketing- oder Werbe-Cookies. [ Alle ablehnen ] [ Anpassen ] [ Alle akzeptieren ] Weitere Informationen finden Sie in unserer Cookie-Richtlinie und Datenschutzerklärung.
Beschriftungen im Anpassungsbereich
Unbedingt erforderlich: immer aktiv. Erforderlich für Anmeldung, Warenkorb und Checkout. Präferenzen: einstellbar. Speichert Ihre Sprache und Anzeigeeinstellungen. Analyse: einstellbar. Hilft uns zusammengefasst zu verstehen, wie die Website genutzt wird, ohne Sie persönlich zu verfolgen. Marketing: (nicht verwendet)
[ Auswahl speichern ]
Anhang B: Text des Einwilligungsbanners (Bulgarisch)
Bulgarische Übersetzung durch vereidigten Übersetzer ausstehend. Sowohl die englische als auch die bulgarische Fassung werden Besuchern mit Wohnsitz in Bulgarien beim ersten Besuch angeboten, wie von Artikel 49 des bulgarischen Verbraucherschutzgesetzes verlangt.
Zuletzt geprüft: 2026-04-30 · Nächste Prüfung: 2027-04-30 (oder früher bei Auslöser).