Datenschutzerklärung

Verantwortlich für die Verarbeitung deiner Daten auf dieser Website, in unserer Online-Bestellung und in den hier beschriebenen Diensten ist der oben genannte Betrieb. Für alle Fragen zum Datenschutz erreichst du uns unter diesen Kontaktdaten.

Wir verarbeiten personenbezogene Daten nur, soweit wir sie für den jeweiligen Zweck brauchen. In den folgenden Abschnitten steht für jeden Zweck, welche Daten wir verarbeiten, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie speichern. Eine Übersicht aller Fristen und aller Empfänger außerhalb der EU findest du am Ende.

Für eine Bestellung, Reservierung oder Bewerbung brauchen wir die als Pflichtfeld markierten Angaben; ohne sie können wir den Vertrag nicht schließen oder die Anfrage nicht bearbeiten. Alle anderen Angaben sind freiwillig. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Diese Website wird über Firebase Hosting von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ausgeliefert. Bei jedem Aufruf verarbeitet der Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer und Browser-Kennung (User-Agent). Zweck ist die sichere und stabile Auslieferung der Seite; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Google kann Daten dabei auch an die Google LLC in den USA übermitteln (siehe „Empfänger außerhalb der EU“).

Speicherdauer der Server-Logs: 30 Tage.

Bestellungen, Kundenkonten, Reservierungen, Anfragen und alle anderen Daten, die du uns über die Website schickst, speichern und verarbeiten wir bei Supabase Inc. (USA) als unserem Auftragsverarbeiter (Art. 28 DSGVO). Supabase stellt Datenbank, Anmeldung, Dateispeicher und Server-Funktionen bereit; auch dabei fallen technische Protokolle mit IP-Adresse an. Serverstandort unserer Instanz: Frankfurt am Main, Deutschland (AWS-Region eu-central-1). Für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag von Supabase.

Damit die Seite funktioniert, legen wir einige Angaben in deinem Browser ab (Cookies, Local Storage, Session Storage): deine Sprache, deine Cookie-Auswahl, deinen Warenkorb und deine Liefer- oder Abholangaben, die Kennung einer laufenden Bestellung samt Zugangsschlüssel, die Kennung eines Chats, gewählte Allergen-Filter und – nur mit deiner Zustimmung zu „Präferenzen“ – dein Farbschema. Diese Angaben bleiben in deinem Browser; sie werden nur übertragen, wenn du die jeweilige Funktion nutzt.

Technisch notwendige Speicherungen erfolgen ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b und f DSGVO). Alles Weitere, insbesondere Google Analytics, nur mit deiner Einwilligung über den Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst deine Auswahl jederzeit mit Wirkung für die Zukunft ändern oder widerrufen:

Wenn du im Cookie-Banner „Analyse“ erlaubst, nutzen wir Google Analytics 4 der Google Ireland Limited (Adresse siehe oben). Google Analytics setzt Cookies (_ga, _ga_*) mit einer zufällig erzeugten Kennung deines Browsers (Client-ID) und meldet Seitenaufrufe und Ereignisse an Google: aufgerufene Seiten (ohne Suchparameter und Zugangsschlüssel), Zeitpunkt, Referrer, Spracheinstellung, Bildschirmgröße, Geräte- und Browsertyp sowie den ungefähren Standort, den Google aus deiner IP-Adresse ableitet. Die Daten sind pseudonym, nicht anonym: Über die Client-ID lassen sich deine Besuche einander zuordnen.

Zweck ist, zu verstehen, wie unsere Seiten genutzt werden, und sie zu verbessern. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Empfänger ist Google; Daten können an die Google LLC in den USA übermittelt werden, die unter dem EU-US Data Privacy Framework zertifiziert ist. Die Cookies laufen nach bis zu 2 Jahren ab; Google speichert die Ereignisdaten 2 Monate.

Widerruf: Öffne die Cookie-Einstellungen (Button oben unter „Cookies und Speicher im Browser“ oder im Footer) und schalte „Analyse“ aus. Ab dann wird nichts mehr an Google gesendet und die Analytics-Cookies werden gelöscht. Mehr zur Verarbeitung durch Google: policies.google.com/privacy.

Unabhängig von Google Analytics zählen wir Seitenaufrufe in einer eigenen, cookielosen Statistik. Dabei speichern wir je Aufruf die Seite, den Gerätetyp, ein aus der Zeitzone abgeleitetes Land, die Sprache, die verweisende Seite und einen täglich wechselnden, mit einem geheimen Schlüssel gebildeten Prüfwert (Hash) aus IP-Adresse und Browser-Kennung. Der Prüfwert dient nur dazu, Besuche eines Tages nicht doppelt zu zählen; er wird nach 2 Tagen gelöscht. Danach bleiben nur zusammengefasste Zahlen ohne Personenbezug. Rechtsgrundlage ist unser berechtigtes Interesse an einer einfachen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Gespeichert wird bei Supabase.

Rufst du einen unserer QR-Codes oder Kurzlinks auf, speichern wir Zeitpunkt, Browser-Kennung, verweisende Seite und einen täglich wechselnden Prüfwert deiner IP-Adresse – nie die IP-Adresse selbst – und löschen diese Einträge nach 90 Tagen.

Wenn du bei uns bestellst, verarbeiten wir die Angaben aus dem Bestellformular: Name, Telefonnummer, E-Mail-Adresse (bei Online-Zahlung Pflicht), bei Lieferung die Adresse, bei Abholung am Auto Kennzeichen, Farbe und Modell, deine Anmerkungen, die bestellten Gerichte, gewählten Optionen, Trinkgeld und gewünschte Zeit. Zweck ist die Abwicklung des Vertrags: zubereiten, liefern oder übergeben, abrechnen und dich über den Stand informieren (Art. 6 Abs. 1 lit. b DSGVO). Über einen geheimen Link kannst du deine Bestellung live verfolgen.

Bezahlung: Online-Zahlungen wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Kartendaten gibst du direkt bei Stripe ein; wir erhalten sie nicht. Stripe verarbeitet dazu auch Geräte- und Verbindungsdaten zur Betrugsvermeidung und kann Daten an die Stripe, Inc. in den USA übermitteln (Data Privacy Framework). Für Zahlungen, die Stripe in eigener Verantwortung prüft (etwa Betrugsabwehr), gilt die Datenschutzerklärung von Stripe.

Kassenbeleg: Jede Bestellung wird als Kassenvorgang mit einer technischen Sicherheitseinrichtung (TSE) signiert. Dazu übermitteln wir die Vorgangsdaten (Beträge, Positionen, Zeitpunkte, keine Kontaktdaten) an unseren TSE-Dienstleister fiskaly (Sitz in der EU). Rechtsgrundlage ist unsere gesetzliche Pflicht (§ 146a AO, Art. 6 Abs. 1 lit. c DSGVO).

Speicherdauer: Name, Telefon, E-Mail, Adresse, Anmerkungen und Fahrzeugangaben einer Gastbestellung anonymisieren wir 12 Monate nach der Bestellung – außer du hast ein Kundenkonto oder eine bestätigte Stempelkarte. Beträge, Positionen, Belege und Rechnungen bewahren wir aufgrund steuer- und handelsrechtlicher Pflichten bis zu 10 Jahre auf (§ 147 AO, § 257 HGB, § 14b UStG).

Bestellst du über eine Plattform wie Wolt oder Lieferando, ist die Plattform für deine Daten bei der Bestellung selbst verantwortlich. Die Bestellung (Gerichte, Zeit sowie Name, Telefon und Lieferadresse, soweit die Plattform sie weitergibt) erreicht uns über den Schnittstellendienst Mergeport (Sitz in der EU). Wir nutzen sie nur, um die Bestellung zuzubereiten und zu übergeben (Art. 6 Abs. 1 lit. b DSGVO). Kontaktangaben entfernen wir 30 Tage nach Eingang aus den gespeicherten Rohdaten; Beträge und Positionen bewahren wir wie bei jeder Bestellung auf.

Nach einer Bestellung kannst du dich über den Stand per Push-Nachricht informieren lassen. Erlaubst du das in deinem Browser, speichern wir die Push-Adresse und die Schlüssel, die dein Browser dafür erzeugt, zusammen mit der Bestellung. Die Nachrichten laufen über den Push-Dienst deines Browser-Herstellers (z. B. Google, Apple, Mozilla oder Microsoft), der dabei auch außerhalb der EU sitzen kann. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du widerrufst sie, indem du die Benachrichtigungen in deinem Browser abschaltest. Die Push-Adresse löschen wir, sobald der Push-Dienst sie für ungültig erklärt; spätestens löschen wir sie nach 12 Monaten ohne Nutzung.

Legst du ein Kundenkonto an, speichern wir deine E-Mail-Adresse, deinen Namen, deine Telefonnummer, gespeicherte Adressen und deine Bestellungen, damit du schneller bestellen und frühere Bestellungen wiederfinden kannst (Art. 6 Abs. 1 lit. b DSGVO). Die Anmeldung läuft über Supabase. Meldest du dich mit Google oder Facebook an, erhalten wir vom jeweiligen Anbieter (Google Ireland Limited bzw. Meta Platforms Ireland Limited) deinen Namen, deine E-Mail-Adresse und eine Kennung; welche Daten der Anbieter selbst verarbeitet, regeln dessen Datenschutzbestimmungen. Das Konto besteht, bis du es löschst oder uns um Löschung bittest; Bestell- und Belegdaten bewahren wir danach nur noch im Rahmen der gesetzlichen Fristen auf.

Nur wenn du beim Bestellen das Kästchen für die Stempelkarte ankreuzt, legen wir unter deiner E-Mail-Adresse eine Stempelkarte an und schicken dir eine E-Mail zur Bestätigung. Wir speichern die E-Mail-Adresse, die gesammelten Stempel mit Bezug zur jeweiligen Bestellung, den Bestätigungszeitpunkt und ausgegebene Gutscheine. Zweck ist die Durchführung des Stempelprogramms nach unseren Teilnahmebedingungen (Art. 6 Abs. 1 lit. b DSGVO). Die Stempelkarte besteht, bis du uns um Löschung bittest; eine Karte, auf die 24 Monate lang kein Stempel kam, löschen wir automatisch.

Für den Newsletter brauchen wir deine E-Mail-Adresse. Nach der Anmeldung schicken wir dir eine E-Mail mit einem Bestätigungslink (Double-Opt-in); erst danach bekommst du Post. Wir speichern E-Mail-Adresse, Sprache, gewählte Themen, die Zeitpunkte von Anmeldung und Bestätigung sowie Browser-Kennung und einen Prüfwert (Hash) der IP-Adresse, um deine Einwilligung nachweisen zu können. Versandt wird über Amazon SES (Amazon Web Services, Frankfurt, siehe unten).

Zuschnitt (Segmente): Damit nicht jede Nachricht an alle geht, wählen wir Empfänger auch nach Sprache, gewählten Themen und danach aus, ob und wie oft unter deiner E-Mail-Adresse bestellt wurde (Zeitraum, Anzahl, Bestellart), wie viele Stempel deine Stempelkarte hat und ob du zu einem Firmenkunden gehörst.

Öffnungs- und Klickmessung: Unsere Newsletter enthalten ein unsichtbares Zählpixel und Links, die über Amazon SES weitergeleitet werden. Dadurch erfahren wir je Empfänger, ob und wann eine Nachricht geöffnet und welcher Link angeklickt wurde. So sehen wir, welche Inhalte ankommen.

Rechtsgrundlage für Newsletter, Zuschnitt und Messung ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit über den Abmeldelink in jeder E-Mail widerrufen. Nach der Abmeldung versenden wir nichts mehr und löschen deine Adresse nach 30 Tagen. Damit du nicht versehentlich wieder Post bekommst, etwa durch einen erneuten Import, behalten wir in einer Sperrliste nur einen Prüfwert deiner Adresse, der mit einem geheimen Schlüssel gebildet wird (HMAC) und sich ohne diesen Schlüssel nicht auf die Adresse zurückführen lässt; Rechtsgrundlage ist unser berechtigtes Interesse, dein Nein zu respektieren (Art. 6 Abs. 1 lit. f DSGVO). Das gilt ebenso, wenn du die Löschung deiner Daten verlangst. Erst eine neue Anmeldung mit Bestätigungslink hebt die Sperre auf. Den Nachweis deiner Einwilligung (Zeitpunkte von Anmeldung und Bestätigung) bewahren wir 3 Jahre nach der Abmeldung auf, damit wir die Einwilligung belegen können (Art. 6 Abs. 1 lit. c und f DSGVO).

Für eine Reservierung verarbeiten wir Name, Telefonnummer, E-Mail-Adresse, Datum, Uhrzeit, Personenzahl und deine Anmerkung, um den Tisch zu reservieren und dich bei Rückfragen zu erreichen (Art. 6 Abs. 1 lit. b DSGVO). Die Bestätigung schicken wir per E-Mail über Amazon SES. 12 Monate nach dem Besuch anonymisieren wir Name, Kontaktdaten und Anmerkungen.

Bei einer Catering-Anfrage verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, Anlass, Datum, Personenzahl, Wünsche zu Speisen und Ernährung und deine Nachricht, um dir ein Angebot zu machen und den Auftrag durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Zum Schutz vor Missbrauch speichern wir einen Prüfwert (Hash) der IP-Adresse. Speicherdauer: Angebote und Aufträge im Rahmen der gesetzlichen Aufbewahrungsfristen; Anfragen, aus denen kein Auftrag wird, löschen wir nach 6 Monaten.

Schreibst du uns über das Kontaktformular oder per E-Mail, verarbeiten wir Name, E-Mail-Adresse und Nachricht, um zu antworten (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen lit. f). Die Nachricht wird uns über Amazon SES zugestellt; zum Schutz vor Missbrauch speichern wir nur einen Prüfwert (Hash) der E-Mail-Adresse.

Feedback kannst du ohne Namen und E-Mail-Adresse abgeben. Gibst du sie an, nutzen wir sie, um auf dein Feedback zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Feedback löschen wir nach 12 Monaten.

Im Chat auf der Website verarbeiten wir deinen Namen, deine E-Mail-Adresse (falls angegeben), deine Nachrichten, Sprache und Browser-Kennung, um deine Fragen zu beantworten (Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Fragen lit. f).

Sprachnachrichten sind freiwillig. Vor der ersten Aufnahme weisen wir dich darauf hin; mit dem Start der Aufnahme willigst du ein, dass wir die Aufnahme – also deine Stimme – speichern und anhören (Art. 6 Abs. 1 lit. a DSGVO). Du kannst die Einwilligung jederzeit widerrufen; schreib uns dazu im Chat oder per E-Mail.

Chatverlauf und Sprachnachrichten löschen wir 90 Tage nach der letzten Nachricht. Gespeichert wird bei Supabase.

Bewirbst du dich bei uns, verarbeiten wir die Angaben aus dem Formular (Name, E-Mail, Telefon, Nachricht, gewünschter Bereich und Umfang) und die hochgeladenen Unterlagen, um über deine Bewerbung zu entscheiden (§ 26 BDSG, Art. 6 Abs. 1 lit. b und Art. 88 DSGVO). Zum Schutz vor Missbrauch speichern wir Browser-Kennung und einen Prüfwert (Hash) der IP-Adresse. Zugriff haben nur die Personen, die über Einstellungen entscheiden. Bewerbung und Unterlagen löschen wir 6 Monate nach unserer Entscheidung (Zusage oder Absage) oder, wenn wir nicht entschieden haben, 6 Monate nach Eingang, damit wir uns gegen etwaige Ansprüche nach dem AGG verteidigen können. Kommt ein Arbeitsverhältnis zustande, übernehmen wir die nötigen Daten in die Personalakte.

Eine Einwilligung brauchen wir für die Bewerbung nicht. Nur wenn du im Formular das freiwillige Kästchen „Talentpool“ ankreuzt, berücksichtigen wir deine Bewerbung mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) auch für andere oder spätere Stellen. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen; eine kurze Nachricht genügt. Mit dieser Einwilligung bewahren wir deine Bewerbung bis 2 Jahre nach Eingang auf; ohne sie gilt die Frist von 6 Monaten.

Firmenkunden: Für ein Firmenkonto verarbeiten wir die Firmendaten und Name, E-Mail und Telefonnummer der Ansprechpersonen, um den Vertrag durchzuführen und abzurechnen (Art. 6 Abs. 1 lit. b DSGVO).

Mitarbeitende: Damit Beschäftigte eines Firmenkunden auf Firmenrechnung oder mit Zuschuss bestellen können, erhalten wir von ihrem Arbeitgeber oder von ihnen selbst Name, E-Mail-Adresse, ggf. Telefonnummer, Personalnummer und Abteilung. Wir nutzen diese Angaben, um Bestellungen zuzuordnen, die Personalnummer auf Küchen- und Kassenbons zu drucken und dem Arbeitgeber Bestellungen und Abrechnungen bereitzustellen (Art. 6 Abs. 1 lit. b und f DSGVO). Der Firmenkunde und wir sind dabei jeweils eigenständig Verantwortliche. Ausführliche Informationen stehen in den Datenschutzhinweisen für Mitarbeitende von Firmenkunden.

Wir zeigen auf der Website Bewertungen an, die Gäste bei Google veröffentlicht haben: Name bzw. Anzeigename, Sterne, Text und Datum. Wir rufen sie über die Schnittstelle von Google ab und speichern sie, um unser Angebot mit echten Stimmen vorzustellen (Art. 6 Abs. 1 lit. f DSGVO). Möchtest du, dass deine Bewertung hier nicht mehr erscheint, schreib uns; die Bewertung bei Google selbst verwaltest du in deinem Google-Konto.

Bestellbestätigungen, Reservierungs- und Stempelkarten-E-Mails, Newsletter und Antworten auf Formulare versenden wir über Amazon Simple Email Service (Amazon SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, als Auftragsverarbeiter (Art. 28 DSGVO). AWS verarbeitet dabei E-Mail-Adresse, Inhalt und Zustellinformationen, auch ob ein Newsletter geöffnet und welcher Link geklickt wurde. Serverstandort: Frankfurt am Main, Deutschland (AWS-Region eu-central-1). Übermittlungen an die Amazon Web Services, Inc. in den USA sind nicht ausgeschlossen; sie sind durch das EU-US Data Privacy Framework, unter dem die Amazon Web Services, Inc. zertifiziert ist, und durch die EU-Standardvertragsklauseln im Auftragsverarbeitungszusatz von AWS abgesichert. Die Schriftarten in unseren E-Mails laden von unserem eigenen Server, nicht von Google.

Alle Schriften auf dieser Website und in unseren E-Mails liefern wir von unserem eigenen Server aus. Es wird keine Verbindung zu Google Fonts oder anderen Schrift-Anbietern aufgebaut.

Wir binden keine Karte ein, sondern verlinken auf Google Maps. Erst wenn du einen solchen Link anklickst, verlässt du unsere Seite und Google verarbeitet deine Daten in eigener Verantwortung: policies.google.com/privacy.

Löschst du etwas vorher bei uns oder bittest uns darum, löschen wir früher, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Einige unserer Dienstleister sitzen in den USA oder können Daten dorthin übermitteln. Das geschieht nur auf einer der folgenden Grundlagen: dem Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF) für zertifizierte Unternehmen oder EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

fiskaly (TSE) verarbeitet Daten in der EU.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Verarbeitung bis zum Widerruf bleibt rechtmäßig.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Werbung per E-Mail kannst du jederzeit ohne Begründung widersprechen.

Wende dich dafür formlos an info@alsafi-heidelberg.de. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.