Datenschutzerklärung

Hier erfahren Sie, welche Daten wir verarbeiten, wenn Sie diese Website besuchen, bei uns bestellen oder den Pizzawagen anfragen – und welche Rechte Sie haben. Kurz gesagt: Wir erheben nur, was wir für Ihre Bestellung oder Anfrage brauchen. Es gibt kein Tracking über andere Websites, keine Werbung, keine Social-Media-Plugins und keine Cookies zu Analysezwecken.

1. Verantwortlicher

Enzo’s Pizza Manufaktur, Inhaberin: Paulina Sojka
Zusenhofener Straße 29, 77871 Renchen-Erlach
Telefon: 0162 3966747
E-Mail: info@enzos-pizza-manufaktur.de

Für alle Fragen zum Datenschutz und für Ihre Anliegen erreichen Sie uns über diese Kontaktdaten.

2. Wenn Sie die Website aufrufen

Hosting

Die Website läuft auf Servern von Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Hostinger verarbeitet die Daten in unserem Auftrag; dafür gilt der Auftragsverarbeitungsvertrag (Data Processing Addendum) von Hostinger nach Art. 28 DSGVO. Unser Server steht in Deutschland. Setzt Hostinger für einzelne Aufgaben Dienstleister außerhalb der EU ein, geschieht das auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Server-Protokolle

Bei jedem Aufruf übermittelt Ihr Browser technisch bedingt Daten an den Server, die dort automatisch protokolliert werden: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, die zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem. Wir brauchen diese Daten, um die Website auszuliefern, Störungen zu finden und Angriffe abzuwehren. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind.

Sitzung

Solange Sie die Website nutzen, speichern wir auf unserem Server eine Sitzung, damit zum Beispiel Ihr Bon und Ihre Anmeldung erhalten bleiben. Zur Sitzung gehören auch Ihre IP-Adresse und die Kennung Ihres Browsers. Die Sitzung endet 120 Minuten nach Ihrem letzten Aufruf und wird danach automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie bestellen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Verschlüsselung und Schutz vor Missbrauch

Die Verbindung zur Website ist per TLS verschlüsselt (erkennbar an „https://“). Um Formulare vor Spam, automatisierten Angriffen und dem Missbrauch des SMS-Versands zu schützen, begrenzen wir, wie oft bestimmte Aktionen ausgeführt werden können, etwa Anmeldeversuche, Bestellungen oder SMS-Codes. Dafür merkt sich der Server die IP-Adresse – bei SMS-Codes auch die Handynummer, bei Anmeldeversuchen auch die E-Mail-Adresse – zusammen mit einem Zähler. Diese Einträge gelten je nach Aktion 1 bis 60 Minuten und werden danach nicht mehr verwendet. Außerdem enthalten unsere Formulare ein für Menschen unsichtbares Feld und prüfen, ob sie verdächtig schnell abgeschickt werden; dabei werden keine zusätzlichen Daten gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO).

3. Cookies und Speicher im Browser

Wir verwenden nur Cookies und Browser-Speicher, die für die Funktionen nötig sind, die Sie nutzen. Dafür brauchen wir keine Einwilligung (§ 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG); für die Besucherstatistik fragen wir Sie dagegen vorher (Abschnitt 10). Die Daten, die dabei verarbeitet werden, nutzen wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Bestellung, Kundenkonto) oder Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Komfort). Alle Cookies setzen wir selbst; bis auf „statistik“, das nur „ja“ oder „nein“ enthält, sind sie verschlüsselt.

• enzos-pizza-manufaktur-session (Sitzung): verbindet Ihren Browser mit Ihrer Sitzung auf dem Server, etwa für Bon, Kasse und Anmeldung. Gültig 120 Minuten nach dem letzten Aufruf.
• XSRF-TOKEN (Sicherheit): schützt Formulare vor gefälschten Anfragen von fremden Websites. Gültig wie die Sitzung.
• bon (Ihr Bon): merkt sich die Gerichte und Mengen in Ihrem Bon – keine Namen oder Kontaktdaten –, damit er auch später noch da ist. Gültig 7 Tage; wird gelöscht, wenn Sie bestellen oder den Bon leeren.
• verified_phones (bestätigte Handynummer): nur wenn Sie nach der Bestätigung per SMS-Code „Nummer auf diesem Gerät merken“ ankreuzen. Das Cookie enthält eine verschlüsselte Prüfsumme der Nummer – nicht die Nummer selbst –, damit Sie auf diesem Gerät nicht für jede Bestellung einen neuen Code brauchen. Gültig 1 Jahr. Sie können es jederzeit in Ihrem Browser löschen; dann fragen wir beim nächsten Mal wieder nach einem Code.
• statistik (Ihre Entscheidung zur Besucherstatistik): speichert „ja“ oder „nein“, damit wir Sie nicht bei jedem Aufruf erneut fragen. Gültig 1 Jahr. Nur bei „ja“ zählen wir Ihre Besuche (Abschnitt 10).
• remember_web_… (angemeldet bleiben): nur wenn Sie bei der Anmeldung „Angemeldet bleiben“ ankreuzen. Damit bleiben Sie auf diesem Gerät angemeldet. Gültig 400 Tage oder bis Sie sich abmelden.
• darstellung (lokaler Speicher Ihres Browsers): Ihre Einstellungen unter „Darstellung anpassen“, etwa helle oder dunkle Ansicht oder größere Schrift. Sie bleiben in Ihrem Browser, bis Sie sie zurücksetzen, und werden nicht an uns übertragen.

Auf der Zahlungsseite von Stripe setzt Stripe eigene Cookies, etwa zur Betrugsvorbeugung; dafür ist Stripe verantwortlich (siehe Abschnitt 6).

4. Bestellung

Wenn Sie bestellen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Handynummer, die bestellten Gerichte mit Ihren Änderungswünschen, Ihre Anmerkung, die gewünschte und die bestätigte Abholzeit, die Zahlart und den Zahlungsstand. Wir brauchen diese Daten, um Ihre Bestellung anzunehmen, zuzubereiten, Sie über den Stand zu informieren, abzurechnen und bei Rückfragen anzurufen. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Angaben können Sie online nicht bestellen; Sie können aber jederzeit telefonisch bestellen.

• E-Mails zur Bestellung: Sie bekommen eine Eingangsbestätigung, die Annahme mit Abholzeit oder eine Ablehnung und gegebenenfalls eine Nachricht, wenn Ihre Bestellung fertig ist. Jede E-Mail enthält einen Link zu einer Statusseite; der Link enthält einen geheimen Schlüssel, deshalb geben Sie ihn bitte nicht weiter.
• SMS zur Bestellung: Eine SMS schicken wir nur, wenn Ihre Abholzeit deutlich später liegt als beim Bestellen angezeigt oder wenn wir die Bestellung ablehnen müssen.
• Abgebrochene Online-Zahlung: Brechen Sie die Zahlung ab oder schließen Sie die Zahlungsseite, schicken wir Ihnen etwa 12 bis 25 Minuten nach der Bestellung einmalig eine E-Mail mit einem Link, über den Sie die Bestellung abschließen können – solange das noch möglich ist. Das ist keine Werbung, sondern betrifft nur diese eine Bestellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• Küchenbon: Für die Küche drucken wir einen Bon mit Bestellnummer, Gerichten, Abholzeit und Namen. Die Druckdaten löschen wir nach 30 Tagen.
• Rechnung: Über die Statusseite können Sie eine Rechnung als PDF abrufen.
• Getränke mit Alkohol: Bestellen Sie Getränke mit Alkohol, speichern wir zur Bestellung, dass Sie bestätigt haben, mindestens 16 bzw. 18 Jahre alt zu sein. Ihr Geburtsdatum fragen wir nicht ab. Bei der Abholung sehen wir uns Ihren Ausweis nur an und speichern daraus nichts. Rechtsgrundlage ist unsere rechtliche Pflicht aus dem Jugendschutzgesetz (Art. 6 Abs. 1 lit. c DSGVO).
• Widerruf: Widerrufen Sie Getränke über „Vertrag widerrufen“, speichern wir Ihren Namen, die E-Mail-Adresse für die Eingangsbestätigung, die Bestellung, die widerrufenen Getränke, den Zeitpunkt des Eingangs und später die Rückzahlung. Wir brauchen diese Daten, um den Widerruf zu bestätigen und abzuwickeln (Art. 6 Abs. 1 lit. c DSGVO). Sie werden wie die Bestelldaten aufbewahrt.

Speicherdauer: Bestell- und Rechnungsdaten bewahren wir so lange auf, wie es das Steuer- und Handelsrecht verlangt – für Rechnungen und Buchungsbelege derzeit acht Jahre ab dem Ende des Kalenderjahres (§ 147 Abgabenordnung, § 14b Umsatzsteuergesetz). Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO. Danach löschen wir sie.

5. Bestätigung der Handynummer per SMS

Wenn Sie bei Abholung bezahlen möchten, bestätigen Sie vorher Ihre Handynummer mit einem sechsstelligen Code, den wir Ihnen per SMS schicken. So schützen wir uns vor Bestellungen mit erfundenen Nummern, die niemand abholt. Der Code ist 10 Minuten gültig; wir speichern ihn nur verschlüsselt (als Hash) und löschen ihn nach der Bestätigung. Danach merken wir uns die Bestätigung für die laufende Sitzung, auf Ihren Wunsch im Cookie „verified_phones“ (siehe Abschnitt 3) und – wenn Sie angemeldet sind – in Ihrem Kundenkonto. Zum Schutz vor Missbrauch verschicken wir pro Nummer höchstens 3 Codes pro Stunde und insgesamt nur eine begrenzte Zahl pro Tag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse, nicht abgeholte Bestellungen zu vermeiden (Art. 6 Abs. 1 lit. f DSGVO).

Die SMS verschicken wir über LOX24 GmbH, Seestraße 109, 13353 Berlin. LOX24 erhält dafür Ihre Handynummer und den Text der SMS und leitet die Nachricht an Ihren Mobilfunkanbieter weiter. LOX24 verarbeitet die Daten nach eigenen Angaben in Deutschland. Dieselbe Übermittlung gilt für die SMS zur Bestellung (Abschnitt 4).

6. Online-Zahlung

Wenn Sie online bezahlen, leiten wir Sie auf die Zahlungsseite von Stripe weiter (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Ihre Zahlungsdaten geben Sie direkt bei Stripe ein; wir sehen sie nicht. Stripe erhält von uns die bestellten Gerichte mit Preisen, den Betrag, die Bestellnummer und Ihre E-Mail-Adresse. Wir erhalten von Stripe die Bestätigung, ob und wann bezahlt wurde, und eine Zahlungsnummer, mit der wir bei einer Ablehnung den Betrag erstatten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Stripe verarbeitet die Daten für die Zahlungsabwicklung in unserem Auftrag. Für eigene Zwecke – etwa Betrugsvorbeugung, die Einbindung von Banken und Zahlungsanbietern und gesetzliche Pflichten wie die Geldwäscheprävention – ist Stripe selbst verantwortlich. Stripe kann Daten auch an die Muttergesellschaft Stripe, LLC in den USA übermitteln; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO), und nutzt zusätzlich Standardvertragsklauseln. Mehr dazu: Datenschutzerklärung von Stripe.

Wählen Sie auf der Zahlungsseite PayPal, Apple Pay oder Google Pay, verarbeitet zusätzlich der jeweilige Anbieter Ihre Daten in eigener Verantwortung: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg (Datenschutzerklärung von PayPal), Apple (Apple Pay und Datenschutz) oder Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Datenschutzhinweise von Google Payments).

Zahlen Sie bei Abholung mit Karte, läuft die Zahlung über das Kartenterminal im Laden; diese Website ist daran nicht beteiligt.

7. E-Mail-Versand

Unsere E-Mails (zur Bestellung, zum Kundenkonto und zu Pizzawagen-Anfragen) verschicken wir über Brevo GmbH, Köpenicker Straße 126, 10179 Berlin. Brevo erhält dafür Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der E-Mail. Brevo verarbeitet die Daten in unserem Auftrag; der Auftragsverarbeitungsvertrag ist Teil der Nutzungsbedingungen von Brevo. Die Server stehen nach Angaben von Brevo in Frankreich und Belgien. Für einzelne Aufgaben, etwa Support oder Sicherheitsdienste, setzt Brevo Dienstleister ein, die Daten auch außerhalb der EU verarbeiten können, zum Beispiel in den USA; dafür nutzt Brevo Standardvertragsklauseln und das EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Einsatz des Dienstleisters Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Zustellung).

Wir messen nicht, ob Sie unsere E-Mails öffnen oder Links darin anklicken.

8. Kundenkonto

Ein Kundenkonto ist freiwillig; Sie können auch als Gast bestellen. Für das Konto speichern wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur verschlüsselt als Hash), Ihre Handynummer mit dem Zeitpunkt der Bestätigung und Ihre Bestellungen. So sind Ihre Angaben beim nächsten Mal ausgefüllt und Sie können frühere Bestellungen wiederholen. Wenn Sie Ihr Passwort vergessen, schicken wir Ihnen einen Link zum Zurücksetzen, der nach kurzer Zeit verfällt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sie können Ihr Konto unter „Mein Konto“ jederzeit selbst löschen. Ihre Kontodaten werden dann sofort gelöscht. Bestellungen bleiben wegen der gesetzlichen Aufbewahrungspflichten (Abschnitt 4) erhalten, sind aber nicht mehr mit einem Konto verbunden.

9. Anfrage für den Pizzawagen

Wenn Sie den Pizzawagen anfragen, verarbeiten wir Ihre Angaben zur Feier (Anlass, Datum, Uhrzeit, Gästezahl, Ort, Strom und Untergrund, Nachricht) und Ihre Kontaktdaten (Name, gegebenenfalls Firma, E-Mail-Adresse, Telefonnummer). Wir nutzen sie, um Ihre Anfrage zu beantworten und Ihnen ein Angebot zu machen. Sie bekommen eine Eingangsbestätigung per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfrage vor einem Vertrag). Kommt kein Auftrag zustande, löschen wir Ihre Anfrage spätestens sechs Monate nach dem angefragten Termin; kommt ein Auftrag zustande, gelten die Aufbewahrungsfristen aus Abschnitt 4.

10. Besucherstatistik – nur mit Ihrer Einwilligung

Damit wir wissen, welche Seiten genutzt werden und woher Besucher kommen, zählen wir Besuche – aber nur, wenn Sie im Hinweis „Dürfen wir mitzählen?“ auf „Ja, gern“ tippen. Ohne Ihre Zustimmung zählen wir nichts. Wir nutzen dafür keine Dienste anderer Anbieter und speichern keine IP-Adressen.

So funktioniert es: Unser Server bildet aus Ihrer IP-Adresse und der Kennung Ihres Browsers zusammen mit einem Zufallswert, der jeden Tag neu erzeugt wird, eine verkürzte Prüfsumme. Sie ist nur am selben Tag gleich, sodass wir Sie an einem anderen Tag nicht wiedererkennen; die IP-Adresse selbst lässt sich daraus nicht ablesen. Gespeichert werden nur: Datum, diese Prüfsumme, welche Seite aufgerufen wurde, ob etwas in den Bon gelegt oder eine Bestellung abgeschickt wurde, die Herkunft (zum Beispiel „Google“ oder ein Kampagnen-Kürzel wie „flyer“) und der Gerätetyp (Handy, Tablet oder Computer). Den Zufallswert eines Tages löschen wir spätestens nach zwei Tagen.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig; die Website funktioniert ohne sie genauso. Ihre Entscheidung merken wir uns im Cookie „statistik“ (siehe Abschnitt 3). Sie können sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: über „Statistik“ ganz unten auf jeder Seite. Sendet Ihr Browser das Signal „Do Not Track“ oder „Global Privacy Control“, fragen wir gar nicht erst und zählen Sie nicht. Die Statistik löschen wir nach 25 Monaten.

11. Bewertungen, Karten und Links

• Bewertungen: Auf der Startseite zeigen wir ausgewählte Bewertungen aus unserem Google-Unternehmensprofil mit dem Namen, unter dem sie dort veröffentlicht wurden (Art. 6 Abs. 1 lit. f DSGVO). Möchten Sie als Verfasser nicht, dass wir Ihre Bewertung zeigen, sagen Sie uns Bescheid – wir nehmen sie dann heraus.
• Google Maps und Google-Bewertungen: „Route planen“ und „Alle Bewertungen bei Google“ sind einfache Links. Auf unserer Website ist keine Karte und kein Google-Inhalt eingebettet. Erst wenn Sie einen solchen Link anklicken, öffnet sich die Seite von Google, und es gilt die Datenschutzerklärung von Google.
• Schriften: Alle Schriften liegen auf unserem eigenen Server. Beim Aufruf werden keine Daten an Schriftanbieter wie Google Fonts übertragen.

12. Wer Ihre Daten erhält

Ihre Daten erhalten nur die oben genannten Dienstleister (Hostinger, LOX24, Brevo, Stripe) und, wenn Sie diese Zahlarten wählen, PayPal, Apple oder Google – jeweils nur, soweit es für den jeweiligen Zweck nötig ist. Rechnungs- und Buchungsdaten erhält außerdem unser Steuerberater, soweit wir dazu gesetzlich verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO). Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Eine automatisierte Entscheidungsfindung oder ein Profiling nach Art. 22 DSGVO findet nicht statt.

13. Ihre Rechte

Sie haben das Recht,

• Auskunft über Ihre bei uns gespeicherten Daten zu verlangen (Art. 15 DSGVO),
• unrichtige Daten berichtigen zu lassen (Art. 16 DSGVO),
• die Löschung Ihrer Daten zu verlangen, soweit wir sie nicht mehr brauchen oder aufbewahren müssen (Art. 17 DSGVO),
• die Verarbeitung einschränken zu lassen (Art. 18 DSGVO),
• Ihre Daten, die Sie uns gegeben haben, in einem gängigen Format zu erhalten (Art. 20 DSGVO) und
• eine Einwilligung, falls Sie uns eine gegeben haben, jederzeit für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Wenden Sie sich dafür einfach an uns (Kontakt in Abschnitt 1). Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35, 70191 Stuttgart (Postanschrift: Postfach 10 29 32, 70025 Stuttgart)
Telefon: 0711 615541-0, E-Mail: poststelle@lfdi.bwl.de
www.baden-wuerttemberg.datenschutz.de/beschwerde

14. Änderungen

Wenn sich unsere Website oder die Rechtslage ändert, passen wir diese Datenschutzerklärung an. Es gilt die Fassung, die Sie hier abrufen.