Tran Chi Tue, handelnd unter der Bezeichnung „Mira Restaurant“ (Einzelunternehmen)
Eisenbahnstraße 24, 72555 Metzingen
Telefon: +49 7123 9595739
E-Mail: mira.restaurant24metzingen@gmail.com
Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen (Speisekarte, Online-Bestellung, Tischreservierung) erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder auf Grundlage einer gesetzlichen Erlaubnis, insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Cloudflare (Hosting & CDN / Sicherheits-Proxy). Die öffentlichen Seiten dieser Website (mira24-metzingen.de) werden direkt über Cloudflare gehostet — der DNS-Eintrag der Domain zeigt auf einen Cloudflare Worker mit statischen Assets, es gibt keinen separaten Origin-Server bei einem Drittanbieter. Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, bzw. die europäische Cloudflare-Gesellschaft. Cloudflare übernimmt damit sowohl die Auslieferung der Website als auch den vorgeschalteten Reverse-Proxy-/DDoS-Schutz.
Da es sich bei Cloudflare, Inc. um ein Unternehmen mit Sitz in den USA handelt, erfolgt hierbei eine Datenübermittlung in ein Drittland. Cloudflare stellt hierfür nach eigenen Angaben EU-Standardvertragsklauseln gemäß Art. 46 DSGVO sowie ergänzende technische und organisatorische Maßnahmen bereit.
Bei jedem Aufruf dieser Website werden automatisch technische Zugriffsdaten in sogenannten Server-Logfiles erhoben, u. a.: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite/URL, verwendeter Browser und dessen Version, Betriebssystem, Referrer-URL, übertragene Datenmenge, HTTP-Statuscode.
Zweck: technisch fehlerfreie Auslieferung der Website, Erkennung und Abwehr von Angriffen, Systemsicherheit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website).
Empfänger: Cloudflare, Inc., als Auftragsverarbeiter für Hosting und CDN.
Speicherdauer: wird durch die technische Infrastruktur von Cloudflare festgelegt, nicht durch unsere eigene Anwendung; in der Regel handelt es sich um kurzfristige, automatisiert rotierende Logs.
Die Backend-API (Online-Bestellung, Reservierung) läuft separat als Vercel-Funktion (Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA, USA) und ist von der oben beschriebenen Cloudflare-Auslieferung der statischen Website-Seiten zu unterscheiden.
Bestellungen, Reservierungen und Kundenstammdaten (siehe Ziffern 5 und 6) werden in einer PostgreSQL-Datenbank gespeichert, die über den Dienst Supabase betrieben wird (Supabase Inc.).
Serverregion des Supabase-Projekts: London, Vereinigtes Königreich (AWS-Region eu-west-2). Das Vereinigte Königreich ist datenschutzrechtlich ein Drittland, für das die Europäische Kommission jedoch einen Angemessenheitsbeschluss erlassen hat (Durchführungsbeschluss (EU) 2021/1772) — die Datenübermittlung dorthin ist damit ohne zusätzliche Garantien (z. B. Standardvertragsklauseln) zulässig, ähnlich wie bei einer Übermittlung innerhalb der EU/des EWR. Mit Supabase, Inc. besteht ein Auftragsverarbeitungsverhältnis auf Grundlage der von Supabase bereitgestellten Standard-Auftragsverarbeitungsbedingungen (Data Processing Addendum).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Erhobene Daten: Name, Telefonnummer, E-Mail-Adresse; bei Lieferbestellungen zusätzlich Lieferadresse einschließlich der bei der Adresseingabe ermittelten Geokoordinaten (siehe Ziffer 12), Liefergebiet; gewählte Speisen/Getränke mit Preisen, Zahlungsart, individueller Kommentar, gewünschte Abhol-/Lieferzeit sowie Zeitpunkt der Bestellung.
Verarbeitung: Speicherung in der Datenbank (Ziffer 4); automatisierte Benachrichtigung des Restaurantpersonals mit einem auf das Nötigste reduzierten Datensatz über eine interne Messaging-Gruppe (siehe Ziffer 7); Versand einer Bestellbestätigung sowie Status-Updates per E-Mail (siehe Ziffer 8).
Empfänger: mit der Bestellabwicklung betrautes Personal (über die interne Verwaltungsoberfläche und die Benachrichtigung nach Ziffer 7), E-Mail-Dienstleister (Ziffer 8).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Bestellvertrags).
Speicherdauer: Bestelldaten (Ziffer 5) werden automatisiert gelöscht: täglich um 01:00 Uhr (MEZ/MESZ) werden alle Bestellungen des jeweils vorangegangenen Kalendertages endgültig aus der Datenbank entfernt. Die zugehörigen Kundenstammdaten (Name, Telefon, E-Mail) bleiben davon unberührt und werden unabhängig von der Bestellhistorie weitergeführt (Kundenverwaltung).
Erhobene Daten: Name, Telefonnummer, E-Mail-Adresse, gewünschtes Datum und Uhrzeit, Personenzahl, individueller Kommentar, gewählte Sprache.
Verarbeitung: Speicherung in der Datenbank (Ziffer 4); Benachrichtigung des Restaurants sowie Bestätigung an den Kunden per E-Mail (Ziffer 8).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme bzw. Erfüllung der Reservierungsvereinbarung).
Neue Bestellungen werden dem Restaurantpersonal automatisiert als reine Benachrichtigung über eine Gruppe im Messenger-Dienst Telegram mitgeteilt. Übermittelt werden ausschließlich: Bestellnummer, Kundenname, Telefonnummer, bestellte Artikel mit Menge, Gesamtsumme, Art der Bestellung (Lieferung/Abholung) sowie die gewünschte Zeit. Nicht an Telegram übermittelt werden: Lieferadresse, Geokoordinaten, E-Mail-Adresse, ein etwaiger Kommentar zur Bestellung, die Zahlungsart sowie ein PDF-Beleg.
Telegram dient ausschließlich der schnellen Übersicht für das Personal (wer, was, wie viel, wann). Eine Verwaltung oder Änderung des Bestellstatus ist über Telegram nicht möglich — dies erfolgt ausschließlich über die interne Verwaltungsoberfläche (Admin-Bereich, siehe Ziffer 8/9).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erforderlichkeit für die interne Organisation der Vertragsdurchführung).
Zweck: zeitnahe interne Information des Personals zur Bearbeitung von Bestellungen.
Bestellbestätigungen, Status-E-Mails und Reservierungsbestätigungen werden über den E-Mail-Zustelldienst Resend (Resend, Inc., San Francisco, USA) versendet.
Übermittelte Daten: E-Mail-Adresse des Kunden, Name, sowie die für die jeweilige E-Mail erforderlichen Bestell- bzw. Reservierungsdetails.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Drittlandübermittlung: Da es sich bei Resend, Inc. um ein US-amerikanisches Unternehmen handelt, erfolgt eine Datenübermittlung in die USA. Resend hat hierfür nach eigenen Angaben ein Data Processing Addendum (Art. 28 DSGVO) im Einsatz, das automatisch und ohne gesonderte Gegenzeichnung für jedes Konto gilt, sowie EU-Standardvertragsklauseln für die Datenübermittlung. Zusätzlich nimmt Resend am EU-U.S. Data Privacy Framework (einschließlich UK-Erweiterung) teil.
localStorage noch sessionStorage.Beim Laden eingebetteter Inhalte Dritter (siehe Ziffer 11, Google Maps) kann der jeweilige Drittanbieter dennoch eigene Cookies setzen, sobald der entsprechende Inhalt geladen wird. Dies liegt außerhalb unserer unmittelbaren technischen Kontrolle und ist von der Einbindungsart des jeweiligen Dienstes abhängig.
Die auf dieser Website verwendeten Schriftarten „Cormorant Garamond“ und „Outfit“ werden lokal von unserem eigenen Hosting-Anbieter ausgeliefert (siehe Abschnitt 3). Es besteht hierfür keine Verbindung zu Servern von Google oder einem anderen Drittanbieter; beim Laden der Schriftdateien werden keine Daten an Google übermittelt und keine IP-Adresse an Google weitergegeben.
Da keine Verbindung zu Google-Servern hergestellt wird, ist die von der deutschen Rechtsprechung (u. a. LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20) beanstandete Konstellation der dynamischen, ungefragten Einbindung von Google Fonts von einem Google-Server hier nicht einschlägig.
Zur Anzeige des Restaurant-Standorts kann eine Google-Maps-Karte eingeblendet werden. Diese wird nicht automatisch beim Aufruf der Seite eingebunden: Im entsprechenden Seitenbereich wird zunächst nur ein Platzhalter mit einem Button „Karte laden“ und einem Hinweistext angezeigt. Erst wenn Sie diesen Button aktiv anklicken, wird das eingebettete Kartenelement (iframe) in die Seite eingefügt und eine Verbindung zu Servern der Google Ireland Limited (bzw. Google LLC, USA) hergestellt; erst zu diesem Zeitpunkt wird Ihre IP-Adresse an Google übertragen und kann Google eigene Cookies setzen. Bis zu diesem Klick findet keine Verbindung zu Google statt.
Unabhängig davon befindet sich in diesem Seitenbereich zusätzlich ein gewöhnlicher Link „In Google Maps öffnen“, der Google Maps in einem neuen Tab öffnet. Hierbei handelt es sich um einen normalen externen Hyperlink wie bei jedem anderen Link zu einer fremden Website; eine Datenübermittlung erfolgt erst durch das aktive Anklicken und den damit verbundenen Seitenwechsel, nicht durch das bloße Anzeigen dieser Seite.
Empfänger (nach Klick auf „Karte laden“): Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (bzw. Google LLC, USA).
Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO — diese wird durch den informierten, aktiven Klick auf „Karte laden“ erteilt; der neben dem Button angezeigte Hinweistext informiert vorab über die damit verbundene Datenübermittlung.
Bei der Eingabe der Lieferadresse im Bestellformular wird die eingegebene Adresse zur Anzeige von Adressvorschlägen live an die öffentliche Demo-Instanz der Geokodierungs-Schnittstelle „Photon“ (photon.komoot.io) übertragen. Betreiber dieser Instanz ist die komoot GmbH, Kienberger Allee 4, 12529 Schönefeld, Deutschland — ein Unternehmen mit Sitz in der Europäischen Union, sodass keine Drittlandübermittlung stattfindet.
Es handelt sich um eine frei zugängliche, öffentliche Demo-Schnittstelle ohne individuellen Vertrag oder gesonderten Auftragsverarbeitungsvertrag; komoot behält sich laut eigenen Nutzungshinweisen vor, die Nutzung bei übermäßigem Anfragevolumen einzuschränken, und übernimmt keine Verfügbarkeitsgarantie. Übermittelt wird ausschließlich der eingegebene Adresstext (keine Namen, Telefonnummern oder sonstigen Bestelldaten).
Zweck: Erleichterung der Adresseingabe und Prüfung des Liefergebiets.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme zur Vorbereitung des Liefervertrags).
Zur Darstellung der Sprachauswahl (Länderflaggen) wird das Bildangebot von flagcdn.com eingebunden. Zur Darstellung der Bildergalerie (Lightbox) wird die JavaScript-Bibliothek „PhotoSwipe“ vom CDN-Anbieter jsDelivr (cdn.jsdelivr.net) geladen. Beim Abruf dieser Ressourcen wird jeweils die IP-Adresse des Besuchers an den jeweiligen Anbieter übertragen; eigene Cookies oder Tracking-Mechanismen wurden im Rahmen der technischen Prüfung für diese Dienste nicht festgestellt.
Wenn Sie über die Website Ihren Bestellbeleg als Bild speichern („Beleg als Bild sichern“), wird zu diesem Zeitpunkt zusätzlich die JavaScript-Bibliothek „html2canvas“ vom CDN-Anbieter cdnjs (Cloudflare) nachgeladen. Dies geschieht ausschließlich auf Ihre aktive Anforderung hin, nicht bei jedem Seitenaufruf.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technisch stabiler und performanter Darstellung der Website).
Diese Website enthält reine Verlinkungen (keine eingebetteten Widgets) zu Google-Bewertungen und Google Maps. Beim bloßen Aufruf dieser Website werden dadurch keine Daten an Google übermittelt — erst wenn Sie aktiv auf einen dieser Links klicken, gelten die Datenschutzbestimmungen des jeweiligen Anbieters.
Unabhängig von den oben beschriebenen operativen Speicherfristen unterliegen die aus Bestellungen resultierenden steuerlich relevanten Belege gesetzlichen Aufbewahrungspflichten, insbesondere nach § 147 Abgabenordnung (AO) und § 257 Handelsgesetzbuch (HGB) — in der Regel 6 Jahre für Handelsbriefe bzw. 10 Jahre für Buchungsbelege und Rechnungen.
Diese steuerrechtliche Erfassung erfolgt getrennt von der Website-Datenbank: Die bestellten Artikel werden manuell in das betriebliche Kassensystem übertragen, ohne Namen, Telefonnummer oder sonstige personenbezogene Kundendaten — erfasst werden ausschließlich die verkauften Waren/Leistungen mit Preisen, wie es für die steuerrechtliche Kassenführung erforderlich ist. Die personenbezogenen Bestelldaten in der Website-Datenbank (Name, Telefonnummer, Adresse etc.) unterliegen keiner steuerrechtlichen Aufbewahrungspflicht und werden nach den in dieser Erklärung genannten operativen Fristen gelöscht.
Ihnen stehen gegenüber uns hinsichtlich Ihrer personenbezogenen Daten grundsätzlich folgende Rechte zu:
Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die in Ziffer 1 genannten Kontaktdaten.
Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde des Bundeslandes, in dem sich unser Unternehmenssitz befindet:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Königstraße 10a, 70173 Stuttgart