Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte (siehe Abschnitt 13) genügt eine formlose E-Mail an diese Adresse.

• Sie können die Website ohne Konto und ohne Angabe persönlicher Daten ansehen.
• Daten, die Sie uns in Formularen geben (Bestellung, Konto, Catering, Kontakt, Feedback), nutzen wir nur für den jeweiligen Zweck.
• Wir verwenden keine Werbe- oder Tracking-Cookies und verkaufen keine Daten.
• Für Hosting, Datenbank, E-Mail-Versand und interne Benachrichtigungen setzen wir Dienstleister ein, zum Teil mit Sitz außerhalb der EU (siehe Abschnitt 12).
• Google Maps wird erst geladen, wenn Sie auf „Karte laden“ klicken.

Diese Website wird bei Vercel Inc. (USA) betrieben. Bei jedem Aufruf verarbeitet der Server automatisch technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Webauftritt (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden von Vercel nur für kurze Zeit aufbewahrt und danach automatisch gelöscht.

Zum Schutz vor Missbrauch (z. B. massenhaft abgeschickte Formulare) speichern wir bei einigen Formularen Ihre IP-Adresse zusammen mit einem Zähler. Diese Einträge löschen wir nach spätestens 24 Stunden.

Um zu sehen, welche Seiten wie oft aufgerufen werden, nutzen wir Vercel Web Analytics. Das Verfahren setzt keine Cookies und speichert nichts auf Ihrem Gerät. Erfasst werden aufgerufene Seite, Referrer, Land sowie Gerätetyp, Browser und Betriebssystem. Besucher werden nur über einen täglich wechselnden, nicht umkehrbaren Wert unterschieden; ein Wiedererkennen über mehrere Tage oder ein Personenbezug ist für uns nicht möglich.

Mit Vercel Speed Insights messen wir, wie schnell die Seiten laden und reagieren (sogenannte Core Web Vitals). Dabei werden Messwerte, aufgerufene Seite, Gerätetyp, Browser und Land übertragen — ebenfalls ohne Cookies und ohne Wiedererkennung.

Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung der Website (Art. 6 Abs. 1 lit. f DSGVO).

Wir setzen ausschließlich technisch notwendige Cookies ein:

• customer_session – hält Sie nach der Anmeldung in „Mein Konto“ angemeldet (Laufzeit 30 Tage oder bis zur Abmeldung).
• admin_session – nur für unser Team im Verwaltungsbereich (Laufzeit 7 Tage oder bis zur Abmeldung).

Außerdem speichert Ihr Browser beim Ausfüllen der Catering-Anfrage einen Entwurf im lokalen Speicher (localStorage), damit Sie später weitermachen können – einschließlich etwaiger Angaben zu Allergien. Dieser Entwurf bleibt auf Ihrem Gerät, wird nicht an uns übertragen und nach dem Absenden gelöscht. Sie können ihn jederzeit über die Einstellungen Ihres Browsers („Websitedaten löschen“) entfernen.

Wenn Sie über den Knopf mit Mond bzw. Sonne auf das dunkle oder helle Design umschalten, merkt sich Ihr Browser diese Wahl im lokalen Speicher (gr_theme). Auch das bleibt auf Ihrem Gerät und wird nicht an uns übertragen.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst) in Verbindung mit Art. 6 Abs. 1 lit. b bzw. f DSGVO. Eine Einwilligung ist dafür nicht erforderlich.

Wenn Sie bestellen, verarbeiten wir die Gerichte, Mengen, Preise, Abholtag und -zeit, Ihren Namen, Ihre Telefonnummer (ab drei Portionen Pflicht, sonst freiwillig), Ihre Anmerkungen und – freiwillig – Ihre E-Mail-Adresse, an die wir die Bestellbestätigung schicken. Sind Sie in „Mein Konto“ angemeldet, verknüpfen wir die Bestellung mit Ihrem Konto (Bestellübersicht und Bonusprogramm). Den Warenkorb speichert Ihr Browser lokal (localStorage), bis Sie bestellen oder ihn leeren.

Online-Zahlung: Wählen Sie „Jetzt online bezahlen“, leiten wir Sie zur Bezahlseite von Stripe weiter (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Stripe verarbeitet dort Ihre Zahlungsdaten (z. B. Kartennummer, PayPal-Konto) und Ihre E-Mail-Adresse; wir erhalten nur den Betrag, den Zahlungsstatus und – falls angegeben – die E-Mail-Adresse, nie Ihre Kartendaten. Stripe verarbeitet Daten auch in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert. Für Betrugsprävention und gesetzliche Pflichten ist Stripe selbst verantwortlich; Details: stripe.com/de/privacy.

Zweck ist die Zubereitung und Übergabe Ihrer Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Die Bestellung wird in unserer Datenbank gespeichert und unserem Küchenteam per Telegram gemeldet (siehe Abschnitt 12).

Bei Bestellungen ohne Konto entfernen wir Name, Telefonnummer, E-Mail-Adresse und Anmerkung nach 6 Monaten; übrig bleiben nur Gericht, Menge, Preis und Datum ohne Personenbezug. Bestellungen, die mit einem Konto verknüpft sind, bleiben gespeichert, solange das Konto besteht.

Für ein Kundenkonto verarbeiten wir Name, E-Mail-Adresse, Telefonnummer und Ihr Passwort (nur als verschlüsselter Hash-Wert, den auch wir nicht lesen können). Ihre E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen per E-Mail schicken.

Nach der ersten Anmeldung fragen wir in einem kurzen Profil ab: Spitzname, ob Sie Azubi, Dozent oder externer Gast sind, bei Azubis Lehrjahr und Ausbildungsrichtung, einen kurzen Text über Sie und – freiwillig – ein Profilfoto (Selfie). Das Foto wird bei Vercel Blob gespeichert, ist nirgends auf der Website verlinkt und wird nur Ihnen in Ihrem Konto und unserem Team angezeigt.

Für das Bonusprogramm speichern wir Ihre Bestellungen, gesammelte und eingelöste GastCoins, Bestellserien, Einlöse-Codes und – nur wenn Sie ihn angeben – Tag und Monat Ihres Geburtstags (ohne Jahr). Per E-Mail erhalten Sie Einlöse-Codes und Hinweise zum Bonusprogramm.

Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses für Konto und Bonusprogramm (Art. 6 Abs. 1 lit. b DSGVO). Die Daten bleiben gespeichert, solange Ihr Konto besteht. Unter „Mein Konto“ können Sie Ihre Daten jederzeit selbst herunterladen und Ihr Konto selbst löschen (oder per E-Mail an info@gastrosenheim.com löschen lassen). Dann löschen wir Konto, Profilfoto und Bonusdaten; bei Ihren vergangenen Bestellungen entfernen wir Name, Telefonnummer und Anmerkung. Die Einzelheiten des Bonusprogramms stehen in den Teilnahmebedingungen.

Interner Preis für Azubis und Mitarbeitende des Bildungszentrums

Den internen Mittagessen-Preis erhalten Azubis und Dozenten, deren Gruppe wir bestätigt haben. Dozentinnen und Dozenten mit einer E-Mail-Adresse des Bildungszentrums werden anhand der Domain automatisch bestätigt, alle anderen prüfen wir von Hand. Dazu speichern wir, ob und wann die Gruppe bestätigt wurde (Art. 6 Abs. 1 lit. b DSGVO).

Allergien und Unverträglichkeiten (freiwillig)

In Ihrem Konto können Sie freiwillig Allergien und Unverträglichkeiten hinterlegen, damit unsere Küche sie bei Ihren Bestellungen beachten kann. Das sind Gesundheitsdaten. Wir speichern sie nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die Sie beim Speichern gesondert erteilen. Sichtbar sind die Angaben nur für Sie und unser Team. Damit die Küche sie beachten kann, übermitteln wir sie mit jeder Ihrer Bestellungen per Telegram an die geschlossene Gruppe unseres Küchenteams (Telegram FZ-LLC, Dubai, VAE, siehe Abschnitt 12). Für die VAE gibt es keinen Angemessenheitsbeschluss; diese Übermittlung erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), in der Sie auf dieses Risiko hingewiesen werden. An sonstige Dritte geben wir die Angaben nicht weiter. Sie können die Einwilligung jederzeit widerrufen, indem Sie die Angaben im Konto löschen; dann entfernen wir sie sofort. Die Allergenkennzeichnung unserer Gerichte ersetzt dies nicht.

Beschäftigte des Bildungszentrums erhalten von der Kammer Essensmarken („Markerl“, je 1,50 €), die sie an unserer Theke einlösen. Die Kammer übermittelt uns dafür monatlich eine Liste mit Vor- und Nachname und der Anzahl bzw. dem Betrag der Markerl (Daten, die wir nicht bei Ihnen selbst erheben, Art. 14 DSGVO). Wir führen daraus für jede Person ein Markerl-Guthaben, buchen jede Einlösung mit Datum (höchstens zwei pro Tag) und ein etwaiges Restguthaben, wenn ein Einkauf günstiger war als 1,50 €. Haben Sie ein Kundenkonto, verknüpfen wir es mit Ihrem Eintrag, damit Sie Ihr Guthaben dort sehen.

Zweck ist die Einlösung der Markerl und die monatliche Abrechnung mit der Kammer, die eine Aufstellung der eingelösten Markerl je Person und Tag erhält. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an einer nachvollziehbaren Abrechnung (Art. 6 Abs. 1 lit. f DSGVO). Markerl sind kein Teil des Bonusprogramms.

Abgeschlossene Monatsabrechnungen bewahren wir als Buchungsbelege zehn Jahre auf (§ 147 AO, § 257 HGB). Steht eine Person nicht mehr auf der Liste, hat sie kein Guthaben mehr und gab es zwölf Monate keine Buchung, entfernen wir Namen und E-Mail-Adresse aus der Markerl-Liste; die Buchungen bleiben ohne Personenbezug erhalten.

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Name, E-Mail-Adresse, Betreff und Nachricht, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO). Die Nachricht wird in unserer Datenbank gespeichert und unserem Team per Telegram gemeldet.

Kontaktanfragen löschen wir 12 Monate nach Eingang.

Wenn Sie uns ein Feedback geben, verarbeiten wir Ihre Sternebewertung, Ihren Kommentar und – freiwillig – Ihren Namen. Das Feedback wird in unserer Datenbank gespeichert und unserem Team per Telegram gemeldet. Zweck ist die Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Auf der Website veröffentlichen wir eine Bewertung nur, wenn Sie dem im Formular ausdrücklich zustimmen (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit per E-Mail widerrufen; wir nehmen die Bewertung dann von der Website.

Nicht veröffentlichtes Feedback löschen wir 12 Monate nach Eingang, veröffentlichte Bewertungen, sobald Sie Ihre Einwilligung widerrufen oder wir sie nicht mehr anzeigen.

Wenn Sie über unser Formular unter „Catering-Anfrage“ ein Angebot anfragen, verarbeiten wir Ihre Angaben (Name, ggf. Firma, E-Mail-Adresse, Telefonnummer, Angaben zur Veranstaltung, gewählte Speisen und Getränke, Ernährungswünsche und Allergien, Anmerkungen), um Ihre Anfrage zu bearbeiten und Ihnen ein Angebot zu erstellen (Art. 6 Abs. 1 lit. b DSGVO). Angaben zu Allergien oder Unverträglichkeiten machen Sie freiwillig; wir verwenden sie ausschließlich für die Zubereitung Ihres Caterings (Art. 9 Abs. 2 lit. a DSGVO).

Ihre Anfrage wird in unserer Datenbank gespeichert. Die Eingangsbestätigung und unser Angebot (als PDF) versenden wir über den E-Mail-Dienst Resend. Zur internen Benachrichtigung übermitteln wir eine Kurzfassung (Name, Kontaktdaten, Datum, Ort, Personenzahl, Auswahl) per Telegram an eine geschlossene Gruppe unseres Teams.

Kommt kein Auftrag zustande, löschen wir die Anfrage 12 Monate nach dem Veranstaltungsdatum. Bei einem Auftrag bewahren wir die Unterlagen so lange auf, wie es handels- und steuerrechtlich vorgeschrieben ist (in der Regel 6 bzw. 10 Jahre).

Im Bereich „Lage“ können Sie eine Karte von Google Maps einblenden. Die Karte wird erst geladen, wenn Sie auf „Karte laden“ klicken. Erst dann stellt Ihr Browser eine Verbindung zu Google her; dabei werden u. a. Ihre IP-Adresse und Informationen zu Ihrem Browser an Google übertragen, und Google kann Cookies setzen.

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Daten können auch an die Google LLC in den USA übermittelt werden; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wenn Sie die Seite neu laden, ist die Karte wieder ausgeblendet. Weitere Informationen: Datenschutzerklärung von Google.

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO):

• Vercel Inc., USA – Hosting der Website, Reichweitenmessung und Speicherung von Bildern (Vercel Blob). Vercel ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).
• Supabase Inc., USA – Betrieb unserer Datenbank. Die Server stehen in den USA; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Resend, USA – Versand unserer E-Mails (Bestätigungen, Angebote, Einlöse-Codes). Resend ist unter dem EU-US Data Privacy Framework zertifiziert.
• Stripe Payments Europe, Ltd., Irland – Abwicklung der Online-Zahlung (nur wenn Sie online bezahlen, siehe Abschnitt 6).
• Telegram (Telegram FZ-LLC, Dubai, VAE) – interne Benachrichtigung unseres Teams über neue Bestellungen, Catering-Anfragen, Kontaktanfragen und Feedback in einer geschlossenen Gruppe. Wir übermitteln nur die Angaben, die das Team für die Bearbeitung braucht. Für die Vereinigten Arabischen Emirate gibt es keinen Angemessenheitsbeschluss der EU-Kommission; ein der EU vergleichbares Datenschutzniveau ist dort nicht garantiert.

Eine Weitergabe an sonstige Dritte, etwa zu Werbezwecken, findet nicht statt.

Sie haben uns gegenüber jederzeit das Recht auf

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Eine formlose E-Mail an info@gastrosenheim.com genügt. Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen Behörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Felder, die in unseren Formularen als Pflichtfeld markiert sind, brauchen wir, um Ihre Bestellung, Anfrage oder Registrierung zu bearbeiten. Ohne sie ist das jeweilige Angebot nicht nutzbar; eine gesetzliche Pflicht zur Angabe besteht nicht.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

Die Übertragung erfolgt verschlüsselt (HTTPS/TLS). Passwörter speichern wir nur als Hash-Wert. Der Zugang zu Ihren Daten ist auf unser Team beschränkt. Eine vollständig sichere Übertragung im Internet kann dennoch niemand garantieren.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum oben zeigt den Stand.