Datenschutzerklärung

1. Verantwortlicher

Verantwortlich ist der Betreiber von Easyyummi (Name und Anschrift siehe Impressum) · E-Mail: kontakt@easyyummi.de

2. Überblick

Easyyummi ist ein Verzeichnis und Bestellportal für Restaurants, Imbisse und Foodtrucks. Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb der Website, für Bestellungen und Reservierungen sowie für Betriebskonten erforderlich ist. Wir verwenden keine Tracking- oder Werbe-Cookies und binden keine Inhalte fremder Server (Schriften, Karten, Bilder) beim Seitenaufruf ein.

3. Hosting und Datenbank

Website-Hosting: STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Server in Deutschland). Beim Aufruf werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) verarbeitet, um die Website auszuliefern und abzusichern (Art. 6 Abs. 1 lit. f DSGVO).
Server-Protokolle und Besucherstatistik: Unser Webserver protokolliert Aufrufe mit gekürzter IP-Adresse (letzter Block entfernt), Zeitpunkt, aufgerufener Seite (ohne Suchbegriffe und Bestell-Links), Herkunfts-Domain und Browser. Daraus erstellen wir auf unserem eigenen Server eine anonyme Besucherstatistik (Seitenaufrufe, Geräte); es werden keine Cookies gesetzt und keine Daten an Dritte übermittelt. Die Protokolle werden nach 30 Tagen gelöscht (Art. 6 Abs. 1 lit. f DSGVO – Sicherheit und Verbesserung des Angebots).
Datenbank, Login, Dateispeicher: Supabase Inc., Rechenzentrum Frankfurt am Main (EU). Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge (Art. 28 DSGVO); für Übermittlungen in die USA gelten das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.

4. Cookies und lokale Speicherung

Wir setzen nur technisch notwendige Cookies für den Login von Betriebsinhabern (Sitzungs-Cookie). Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Wählst du eine Stadt, merken wir sie uns in einem Cookie („stadt“, 12 Monate), damit du sie nicht bei jedem Klick neu wählen musst. Ebenso merken wir uns die gewählte Sprache (Cookie „sprache“, 12 Monate; Deutsch, Englisch oder Türkisch). Der Warenkorb wird nur im Arbeitsspeicher deines Browsers gehalten.

Lokale Speicherung im Browser (Favoriten, letzte Bestellung): Merkst du dir einen Laden mit dem Herz, bestellst du oder lässt du „Meine Daten auf diesem Gerät merken“ angehakt, speichern wir deine Favoriten, den Warenkorb deiner letzten Bestellung je Laden sowie Name und Telefonnummer (bei Betrieben mit Stempelkarte zusätzlich den Link deiner letzten Bestellung) ausschließlich im lokalen Speicher (localStorage) deines Browsers. Diese Daten werden nicht an uns oder Dritte übertragen und dienen nur dazu, dass du schneller erneut bestellen kannst (§ 25 Abs. 2 Nr. 2 TDDDG – von dir ausdrücklich gewünschte Funktion). Du kannst sie jederzeit unter Meine Favoriten („Alles auf diesem Gerät löschen“), über „Gespeicherte Daten löschen“ im Bestellformular oder über die Einstellungen deines Browsers löschen.

5. Bestellungen zum Mitnehmen und Tischreservierungen

Bei einer Bestellung oder Reservierung verarbeiten wir Name, Telefonnummer, optional E-Mail-Adresse, gewünschte Zeit, Personenzahl bzw. bestellte Speisen und deine Anmerkungen. Zweck ist die Vermittlung an den gewählten Betrieb und die Abwicklung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden an den jeweiligen Betrieb übermittelt, der sie in eigener Verantwortung zur Zubereitung bzw. Platzreservierung nutzt. Wir speichern Bestelldaten wegen handels- und steuerrechtlicher Aufbewahrungspflichten bis zu 10 Jahre (§ 147 AO, § 257 HGB), Reservierungen löschen wir automatisch 3 Monate nach dem Termin.

Digitale Stempelkarte: Bietet ein Betrieb eine Stempelkarte an, schreiben wir dir für jede abgeholte Bestellung automatisch einen Stempel gut – ohne Kundenkonto. Dafür speichern wir je Betrieb nur einen nicht umkehrbaren Code (Hash, SHA-256 mit geheimem Schlüssel) aus deiner Telefonnummer, die Zahl der Stempel und offenen Belohnungen sowie das Datum der letzten Änderung – nicht die Telefonnummer selbst. Zweck ist, dass du die Belohnung des Betriebs erhältst und der Betrieb sie bei deiner Bestellung erkennt (Art. 6 Abs. 1 lit. b DSGVO). Deinen Stand siehst du nur über den Link deiner Bestellbestätigung; eine Abfrage mit einer Telefonnummer ist nicht möglich. Karten ohne neue Bestellung seit 12 Monaten werden automatisch gelöscht. Damit die Ladenseite deinen Stand anzeigen kann, merkt sich dein Browser den Link deiner letzten Bestellung bei diesem Betrieb im lokalen Speicher (löschbar wie oben in Abschnitt 4 beschrieben).

Spam-Schutz (ALTCHA): Um Bestell-, Reservierungs-, Registrierungs- und Entfernungsformulare vor automatisierten Massenanfragen (Spam, Fake-Bestellungen) zu schützen, nutzen wir die Open-Source-Software ALTCHA, die vollständig auf unserem eigenen Server läuft. Dein Browser löst dabei im Hintergrund eine kleine Rechenaufgabe; es gibt kein Bilderrätsel. Es werden keine Cookies gesetzt, keine Drittanbieter eingebunden, keine Inhalte von fremden Servern geladen und kein Profil (Fingerprinting) erstellt. Gespeichert wird nur eine zufällige Kennung der gelösten Aufgabe, damit sie nicht mehrfach verwendet werden kann; sie wird nach Ablauf (ca. 10 Minuten) gelöscht. Zur Abwehr von Missbrauch zählen wir außerdem kurzzeitig Anfragen pro IP-Adresse (nur im Arbeitsspeicher, nicht dauerhaft gespeichert) und begrenzen die Zahl offener Bestellungen bzw. Reservierungen pro Telefonnummer und Betrieb. Rechtsgrundlage ist unser berechtigtes Interesse und das der Betriebe an einem funktionierenden, missbrauchsfreien Bestellsystem (Art. 6 Abs. 1 lit. f DSGVO).

6. Online-Bezahlung (Stripe)

Wählst du „online bezahlen“, wirst du zum Zahlungsdienstleister Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland, weitergeleitet. Je nach gewählter Zahlart werden die Daten zusätzlich an den Kartenherausgeber bzw. Apple oder Google (Apple Pay, Google Pay) übermittelt, bei Zahlung mit PayPal zu PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. Dabei werden Bestellbetrag, Bestellnummer und deine Zahlungsdaten verarbeitet (Art. 6 Abs. 1 lit. b und c DSGVO). Wir selbst erhalten keine Kartennummern, Konto- oder Zugangsdaten. Datenschutzhinweise: Stripe, PayPal.

7. E-Mail-Benachrichtigungen

Gibst du bei einer Bestellung oder Reservierung deine E-Mail-Adresse an, schicken wir dir dazu E-Mails: Bestellbestätigung mit Link zur Statusseite, Hinweis „abholbereit“, Bestätigung oder Absage einer Reservierung sowie bei einer Stornierung (ggf. mit Erstattungshinweis). Betriebe erhalten neue Bestellungen und Reservierungsanfragen mit Name, Telefonnummer, ggf. E-Mail-Adresse, Zeitpunkt, bestellten Speisen und Anmerkungen per E-Mail an die hinterlegte Betriebs- bzw. Konto-Adresse. Rechtsgrundlage ist die Abwicklung der Bestellung bzw. Reservierung (Art. 6 Abs. 1 lit. b DSGVO). Werbung verschicken wir nicht.

Für den Versand nutzen wir den Dienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter (Art. 28 DSGVO); der Versand erfolgt über Server in der EU (Irland). Verarbeitet werden Empfängeradresse, Betreff und Inhalt der E-Mail sowie technische Zustelldaten; Resend speichert diese für die Dauer unseres Vertrags und löscht sie spätestens 90 Tage nach dessen Ende. Für Übermittlungen in die USA ist Resend nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln (Art. 45, 46 DSGVO). Unsere E-Mails enthalten keine Zählpixel und laden keine Bilder oder Schriften von fremden Servern.

8. Push-Benachrichtigungen für Betriebe

Betriebsinhaber können im Dashboard Push-Benachrichtigungen für ihr Gerät aktivieren (nur nach Zustimmung im Browser, jederzeit im Dashboard oder in den Browser-Einstellungen abschaltbar). Dafür speichern wir die vom Browser erzeugte Push-Adresse samt Schlüsseln, die Browser-Kennung und den Zeitpunkt, verknüpft mit dem Konto (Art. 6 Abs. 1 lit. b DSGVO). Die Benachrichtigungen werden über den Push-Dienst des Browser- bzw. Geräteherstellers zugestellt (z. B. Google, Apple, Mozilla, Microsoft); der Inhalt ist dabei Ende-zu-Ende verschlüsselt und enthält nur Betriebsname, Bestellnummer, Uhrzeit und Betrag bzw. Personenzahl – keine Namen oder Telefonnummern von Gästen. Ungültig gewordene Push-Adressen löschen wir automatisch.

9. Standort und Navigation

„In der Nähe“ fragt deinen Standort nur nach deiner Zustimmung im Browser ab. Die Koordinaten werden gerundet für die Suche genutzt und nicht gespeichert. Tippst du auf „Route starten“, öffnet sich die von dir gewählte Navi-App (z. B. Apple Karten, Google Maps, Waze); ab dann gilt die Datenschutzerklärung des jeweiligen Anbieters. Vorher werden keine Daten an diese Anbieter übertragen.

10. Konten für Betriebsinhaber

Für ein Betriebskonto verarbeiten wir E-Mail-Adresse, Passwort (verschlüsselt), Name sowie die Angaben zum Betrieb (Art. 6 Abs. 1 lit. b DSGVO). Zur Prüfung der Inhaberschaft rufen wir die öffentliche Telefonnummer des Betriebs an; wir speichern Zeitpunkt, angerufene Nummer und Ergebnis. Für das Betriebs-Abo verarbeitet Stripe Name, Rechnungsanschrift, ggf. USt-IdNr. und die Zahlungsdaten (Bankverbindung mit SEPA-Lastschriftmandat bzw. Kartendaten); Rechnungsdaten bewahren wir 10 Jahre auf (§ 147 AO). Für Auszahlungen richtet der Betrieb ein Konto bei Stripe ein; Identitäts- und Bankdaten verarbeitet Stripe direkt. Hochgeladene Speisekarten werden nur auf unserem eigenen Server per Texterkennung ausgewertet; es findet keine Übermittlung an KI-Dienste statt.

11. Einträge von Betrieben aus öffentlichen Quellen (Art. 14 DSGVO)

Wir zeigen Betriebe auch ohne eigenes Konto an. Quelle ist OpenStreetMap (öffentlich zugänglich, Lizenz ODbL). Verarbeitet werden Name des Betriebs, Anschrift, Kontaktdaten, Öffnungszeiten und ein Link zur Website bzw. Speisekarte. Bei Einzelunternehmen kann der Betriebsname einen Personenbezug haben. Rechtsgrundlage ist unser berechtigtes Interesse und das der Nutzer an einem vollständigen Verzeichnis (Art. 6 Abs. 1 lit. f DSGVO). Die Daten bleiben gespeichert, bis der Betrieb den Eintrag übernimmt, widerspricht oder er in der Quelle nicht mehr existiert.

Widerspruch: Betriebe können der Listung jederzeit widersprechen – über „Eintrag entfernen lassen“ auf der jeweiligen Betriebsseite oder per E-Mail an kontakt@easyyummi.de. Wir prüfen die Berechtigung (in der Regel durch Rückruf beim Betrieb) und entfernen den Eintrag dann.

12. Server-seitige Dienste ohne Nutzerdaten

Zur Ermittlung von Koordinaten aus Adressen nutzt unser Server den Dienst Nominatim der OpenStreetMap Foundation. Dabei wird nur die Adresse des Betriebs übermittelt, keine Daten von Besuchern. Nutzt ein Foodtruck „Ich stehe jetzt hier“, sendet unser Server die Koordinaten des Wagens an Nominatim, um eine Adresse anzuzeigen; der Standort des Handys wird nur auf Knopfdruck abgefragt und ist bis zum gewählten Ende (spätestens Tagesende) öffentlich sichtbar.

13. Deine Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) DSGVO
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde, z. B. dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart

Kontakt für alle Anliegen: kontakt@easyyummi.de. Siehe auch Impressum.