Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Hinweis: Ein Datenschutzbeauftragter ist für dieses Unternehmen nicht verpflichtend zu bestellen, da weniger als 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).

2. Allgemeine Hinweise zum Datenschutz

Der Schutz Ihrer persönlichen Daten hat für uns höchste Priorität. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir erheben, zu welchen Zwecken wir sie verarbeiten und welche Rechte Sie in Bezug auf Ihre Daten haben.

3. Erhebung und Verarbeitung personenbezogener Daten

3.1 Beim Besuch unserer Webseite

Bei jedem Aufruf unserer Webseite erfasst unser System automatisch Daten und Informationen vom Computersystem des aufrufenden Rechners. Folgende Daten werden dabei erhoben:

• IP-Adresse des anfragenden Rechners (gekürzt/anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Webseite, von der aus der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser und dessen Version
• Verwendetes Betriebssystem
• Name Ihres Internet-Service-Providers

Zweck der Datenverarbeitung:

• Gewährleistung eines reibungslosen Verbindungsaufbaus
• Gewährleistung einer komfortablen Nutzung unserer Webseite
• Auswertung der Systemsicherheit und -stabilität
• Fehlerdiagnose und -behebung
• Weitere administrative Zwecke

Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse liegt in den oben genannten Zwecken.

Speicherdauer: Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Bei der Bereitstellung der Webseite ist dies in der Regel nach spätestens 7 Tagen der Fall.

3.2 SSL/TLS-Verschlüsselung

Diese Webseite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

4. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn eine rechtliche Grundlage nach der DSGVO vorliegt:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Sie haben uns Ihre ausdrückliche Einwilligung zur Verarbeitung Ihrer Daten gegeben
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen erforderlich

5. Cookies und ähnliche Technologien

5.1 Was sind Cookies?

Unsere Webseite verwendet Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden und die Ihr Browser speichert. Cookies richten auf Ihrem Rechner keinen Schaden an und enthalten keine Viren.

5.2 Arten von Cookies

Technisch notwendige Cookies

Diese Cookies sind für die Grundfunktionen der Webseite erforderlich und können nicht deaktiviert werden. Sie werden in der Regel nur als Reaktion auf von Ihnen getätigte Aktionen gesetzt.

Im Einzelnen setzen wir folgende technisch notwendigen Cookies und Speicherorte:

• cz_consent_v5: Ihre Cookie-Entscheidung, 12 Monate (siehe 5.3).
• cz_id: Ihre Treuekarte, 1 Jahr (siehe 8.2).
• PHPSESSID: Sitzungs-Cookie des Webservers. Es wird gesetzt, wenn Sie Funktionen mit Formularen oder Sitzungsbezug nutzen, also die Treuekarte, das Feedback-Formular oder das Gästebuch. Es enthält nur eine zufällige Sitzungskennung und wird beim Schließen des Browsers gelöscht.
• cz-ki-verlauf (sessionStorage): der Gesprächsverlauf mit dem KI-Assistenten, nur im laufenden Browser-Tab. Er wird gelöscht, wenn Sie den Tab schließen oder „Verlauf löschen“ wählen (siehe 7.2).
• cz_maps_ok (sessionStorage): merkt sich Ihre Freigabe für Google Maps für die laufende Browser-Sitzung (siehe 6.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) bzw. § 25 Abs. 2 Nr. 2 TDDDG, da die Speicherung für die von Ihnen gewünschte Funktion unbedingt erforderlich ist.

Analyse- und Marketing-Cookies

Diese Cookies helfen uns, die Nutzung unserer Webseite zu analysieren und zu verstehen. Sie werden nur mit Ihrer Einwilligung gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 TDDDG

5.3 Cookie-Verwaltung und Widerruf

Beim ersten Besuch unserer Webseite erscheint ein Einwilligungsbanner. Solange Sie dort keine Einwilligung erteilt haben, werden keine Analyse-Dienste geladen und keine Analyse-Cookies gesetzt. Das Ablehnen ist mit einem Klick möglich und genauso einfach wie das Zustimmen.

Ihre Entscheidung können Sie jederzeit ändern (Art. 7 Abs. 3 DSGVO): Über den Button mit dem Keks-Symbol unten links öffnen Sie die Einstellungen erneut. Er erscheint auf allen Seiten, auf denen Analyse-Dienste eingebunden sind. Widerrufen Sie Ihre Einwilligung, werden die bereits gesetzten Analyse-Cookies (_ga, _gid, _gat, _clck, _clsk) unmittelbar gelöscht. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Um Ihre Entscheidung zu speichern, setzen wir ein technisch notwendiges Cookie:

Haben Sie abgelehnt, fragen wir Sie 12 Monate lang nicht erneut.

Unabhängig davon können Sie Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden, Cookies nur im Einzelfall erlauben, generell ausschließen oder beim Schließen des Browsers automatisch löschen lassen.

6. Webanalyse und eingebettete Karten

6.1 Google Analytics

Diese Website nutzt Google Analytics, einen Webanalysedienst der Google Ireland Limited ("Google"), Gordon House, Barrow Street, Dublin 4, Irland.

Umfang der Verarbeitung

Google Analytics verwendet Cookies, die eine Analyse der Benutzung der Website durch Sie ermöglichen. Die durch das Cookie erzeugten Informationen über Ihre Benutzung dieser Website werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert.

Wir setzen Google Analytics 4 ein. In dieser Version werden IP-Adressen von Google grundsätzlich gekürzt und nicht dauerhaft gespeichert; die Kürzung erfolgt bei Zugriffen aus dem Europäischen Wirtschaftsraum bereits auf europäischen Servern. Eine gesonderte Einstellung dafür gibt es in Google Analytics 4 nicht mehr, sie ist fest eingebaut. Die IP-Adresse wird lediglich zur groben Standortbestimmung (Land, Region) ausgewertet und anschließend verworfen.

Wir verwenden zusätzlich den Google Consent Mode v2. Dabei werden sämtliche Einwilligungsarten (analytics_storage, ad_storage, ad_user_data, ad_personalization) standardmäßig auf denied gesetzt. Solange Sie nicht eingewilligt haben, wird das Google-Analytics-Skript gar nicht erst geladen. Es geht also auch keine Verbindung zu einem Google-Server und keine IP-Adresse an Google.

Zweck der Verarbeitung

• Analyse des Nutzerverhaltens
• Optimierung der Webseite
• Erstellung von Nutzungsstatistiken
• Verbesserung der Benutzerfreundlichkeit

Rechtsgrundlage und Einwilligung

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 Abs. 1 TDDDG

Die Datenverarbeitung erfolgt nur mit Ihrer ausdrücklichen Einwilligung, die Sie über unser Cookie-Banner erteilen können. Sie können Ihre Einwilligung jederzeit widerrufen.

Auftragsverarbeitung

Wir haben mit Google einen Auftragsverarbeitungsvertrag (AVV) abgeschlossen. Dieser verpflichtet Google, die Daten unserer Seitenbesucher zu schützen und sie nicht an Dritte weiterzugeben.

Datenübermittlung in Drittländer

Google ist nach dem EU-US Data Privacy Framework zertifiziert. Zusätzlich haben wir mit Google Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart.

Widerspruchsmöglichkeit

Sie können die Erfassung durch Google Analytics verhindern durch:

• Widerruf Ihrer Einwilligung im Cookie-Banner
• Installation des Browser-Add-ons zur Deaktivierung von Google Analytics

Speicherdauer

Die von Google Analytics gesetzten Cookies werden nach 14 Monaten automatisch gelöscht. Nutzerdaten, die mit einem Cookie verknüpft sind, werden nach 14 Monaten automatisch gelöscht.

Weitere Informationen:

• Datenschutzerklärung von Google
• Google Analytics Datenschutz

6.2 Microsoft Clarity

Diese Website nutzt Microsoft Clarity, einen Webanalysedienst der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA (nachfolgend "Microsoft").

Umfang der Verarbeitung

Microsoft Clarity erfasst folgende Daten:

• Nutzungsverhalten (Scrollverhalten, Klicks, Mausbewegungen)
• Sitzungsdaten (Dauer, besuchte Seiten)
• Technische Informationen (Browser, Betriebssystem, Bildschirmauflösung)
• IP-Adresse (anonymisiert)
• Referrer-URL

Microsoft Clarity erstellt Heatmaps und Sitzungsaufzeichnungen. Sensible Daten in Formularen werden dabei automatisch maskiert und durch "X" ersetzt.

Nach Ihrer Einwilligung lädt Clarity sein Skript von clarity.ms und ruft dabei auch c.bing.com auf. Microsoft kann in diesem Zusammenhang eigene Cookies auf seinen Domains setzen (etwa MUID zur Wiedererkennung). Diese Cookies können wir bei einem Widerruf technisch nicht löschen (siehe 5.3).

Zweck der Verarbeitung

• Analyse des Nutzerverhaltens
• Optimierung der Benutzerfreundlichkeit (Usability)
• Identifizierung von Problemen und Fehlern
• Verbesserung der Website-Performance

Rechtsgrundlage

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 Abs. 1 TDDDG

Die Datenverarbeitung erfolgt nur mit Ihrer ausdrücklichen Einwilligung.

Auftragsverarbeitung

Microsoft fungiert als Auftragsverarbeiter. Wir haben mit Microsoft einen Auftragsverarbeitungsvertrag (Data Processing Addendum - DPA) abgeschlossen.

Datenübermittlung in Drittländer

Microsoft ist Teilnehmer des EU-US Data Privacy Frameworks. Zusätzlich werden Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) verwendet.

Weitere Informationen:

• Microsoft Datenschutzerklärung
• Microsoft Clarity Nutzungsbedingungen

6.3 Google Maps (Kartendarstellung)

Auf einigen Seiten binden wir Karten von Google Maps ein, damit Sie unseren Standort finden. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Die Karte wird nicht automatisch geladen. Sie sehen zunächst nur einen Platzhalter mit einem Hinweis. Erst wenn Sie auf „Karte laden" klicken, wird die Verbindung zu Google aufgebaut. Dabei werden Ihre IP-Adresse und Angaben zu Ihrem Endgerät an Google übertragen, gegebenenfalls auch an Server in den USA, und Google kann Cookies setzen. Sind Sie währenddessen bei Google angemeldet, kann Google den Aufruf Ihrem Konto zuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 Abs. 1 TDDDG. Ihr Klick auf „Karte laden" ist diese Einwilligung. Sie gilt nur für die laufende Browser-Sitzung; danach erscheint wieder der Platzhalter.

Drittlandübermittlung: Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Wenn Sie die Karte nicht laden möchten, finden Sie im Platzhalter einen normalen Link, der Google Maps in einem neuen Tab öffnet. Dann verlassen Sie unsere Seite bewusst.

Weitere Informationen:

• Datenschutzerklärung von Google

Speicherdauer

Wir selbst speichern im Zusammenhang mit der Karte keine Daten. Ihre Freigabe merkt sich Ihr Browser unter cz_maps_ok nur für die laufende Sitzung; auf einigen Seiten wird sie gar nicht gespeichert, dort erscheint der Platzhalter bei jedem Aufruf erneut. Wie lange Google die beim Kartenaufruf übermittelten Daten speichert, richtet sich nach der Datenschutzerklärung von Google.

7. KI-Assistent im Chat

Auf unserer Webseite können Sie Fragen an einen KI-Assistenten stellen. Er beantwortet Fragen zu Speisekarte, Preisen, Öffnungszeiten, Anfahrt, Bezahlen und Bonuskarte auf Grundlage der Angaben dieser Webseite. Die Antworten erzeugt ein Sprachmodell. Sie sind im Chat als KI-Antworten gekennzeichnet und können Fehler enthalten. Verbindlich sind die Speisekarte und der Aushang vor Ort.

7.1 Was beim Fragen verarbeitet wird

Der Assistent wird erst geladen, wenn Sie ihn öffnen. Vorher besteht keine Verbindung zu Cloudflare. Wenn Sie eine Frage absenden, schickt Ihr Browser diese direkt an unseren Dienst bei Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (Cloudflare Workers AI). Übermittelt werden:

• Ihre Frage und die letzten bis zu vier Beiträge des laufenden Gesprächs, damit Rückfragen verstanden werden.
• Ihre IP-Adresse und übliche Verbindungsdaten (Zeitpunkt, Browserkennung). Das lässt sich nicht vermeiden, weil Ihr Browser den Dienst direkt aufruft. Cookies werden nicht mitgeschickt.

Die Antwort erzeugt ein offenes Sprachmodell (derzeit Gemma 4 von Google), das auf der Infrastruktur von Cloudflare läuft. Der Hersteller des Modells erhält keine Daten. Das Wissen über unser Angebot (Speisekarte, Öffnungszeiten) holt der Dienst von unserem Webserver. Dabei werden keine Angaben über Sie übertragen.

Keine Speicherung der Inhalte: Wir protokollieren weder Fragen noch Antworten, weder bei Cloudflare noch auf unserem Webserver. Nach Angaben von Cloudflare werden Eingaben und Ausgaben nicht zum Training von KI-Modellen und nicht zur Verbesserung von Diensten von Cloudflare oder Dritten verwendet. Bei Cloudflare speichern wir nur einen Zähler des Tagesverbrauchs ohne Inhalte.

Schutz vor Missbrauch: Je IP-Adresse sind höchstens 6 Fragen pro Minute und 10 Fragen pro Tag möglich. Für die Minute zählt Cloudflare die Anfragen. Für den Tag speichern wir bei Cloudflare einen Zähler unter einem Kennwert, der mit einem geheimen Schlüssel aus Ihrer IP-Adresse und dem Datum berechnet wird (HMAC-SHA-256). Die IP-Adresse selbst wird nicht gespeichert, der Kennwert wechselt täglich und wird kurz nach Mitternacht (UTC) automatisch gelöscht. Ist ein Limit oder das Tageskontingent des Dienstes erreicht, zeigt der Chat stattdessen Links zu Speisekarte, Öffnungszeiten und Telefon.

7.2 Gesprächsverlauf in Ihrem Browser

Den Verlauf speichern wir nur im sessionStorage Ihres Browsers unter cz-ki-verlauf, damit er beim erneuten Öffnen des Chats im selben Tab noch da ist. Er wird gelöscht, wenn Sie den Tab schließen oder „Verlauf löschen“ wählen. Wir haben keinen Zugriff darauf.

7.3 Rechtsgrundlage

Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Fragen zu unserem Angebot auch außerhalb der Öffnungszeiten schnell zu beantworten und den Dienst vor Missbrauch zu schützen. Der Assistent arbeitet nur, wenn Sie ihn öffnen und eine Frage absenden. Der Eintrag im sessionStorage ist für die von Ihnen gewünschte Chatfunktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

7.4 Auftragsverarbeitung und Übermittlung in die USA

Cloudflare ist unser Auftragsverarbeiter auf Grundlage seines Data Processing Addendum (Art. 28 DSGVO). Die Verarbeitung kann in Rechenzentren von Cloudflare außerhalb der EU stattfinden. Die Übermittlung in die USA stützt sich auf die Zertifizierung von Cloudflare, Inc. nach dem EU-US Data Privacy Framework und hilfsweise auf die im Data Processing Addendum enthaltenen Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Weitere Informationen: Datenschutzerklärung von Cloudflare, Data Processing Addendum, Datennutzung bei Workers AI.

7.5 Früherer Chat-Assistent (bis 07.10.2026)

Bis zum 07.10.2026 lief hier ein Chat-Assistent („CurryBot“) über die Gemini-API von Google. Er ist abgeschaltet. Die dabei auf unserem Server gespeicherten Chatverläufe und die pseudonymisierten IP-Adressen zur Anfragebegrenzung haben wir am 07.10.2026 gelöscht.

8. Digitale Treuekarte

Wir bieten Ihnen eine digitale Treuekarte an, mit der Sie bei Besuchen Stempel sammeln und Prämien (z. B. eine kostenlose Currywurst) erhalten können. Die Nutzung erfolgt ohne verpflichtende Registrierung auf Basis einer pseudonymen Karten-ID. Optional und freiwillig können Sie zusätzlich eine Sicherheitsfrage und/oder Ihre E-Mail-Adresse hinterlegen, um Ihre Karte bei Verlust der ID wiederherstellen zu können (Einzelheiten unter 8.3).

8.1 Erhobene Daten

Zur Bereitstellung der digitalen Treuekarte verarbeiten wir folgende Daten:

• Name/Pseudonym: Ein von Ihnen frei gewählter Name zur Identifikation auf dem Display.
• Kunden-ID: Eine zufällig generierte Zeichenfolge (z. B. CZ-X9Y2), die Ihrem Konto eindeutig zugeordnet ist.
• Transaktionshistorie: Zeitstempel und Art der Aktion (z. B. "Karte aktiviert", "Stempel erhalten", "Belohnung eingelöst").
• Einlösenachweise (Optional): Im Fall einer Prämieneinlösung können unsere Mitarbeiter zu Dokumentationszwecken (z. B. für steuerliche Nachweise) ein Foto der eingelösten Speise oder des Belegs speichern, welches mit Ihrem Datensatz verknüpft wird.
• Sicherheitsfrage (Optional): Wählen Sie diese Wiederherstellungsmethode, speichern wir die gewählte Frage sowie Ihre Antwort, diese ausschließlich als nicht umkehrbaren Hash.
• E-Mail-Adresse (Optional): Nur mit Ihrer ausdrücklichen Einwilligung speichern wir Ihre E-Mail-Adresse, um Ihnen auf Anfrage Ihre Zugangsdaten (Karten-ID) zuzusenden. Keine Nutzung zu Werbezwecken. Zusammen mit der Adresse speichern wir den Zeitpunkt Ihrer Einwilligung.

Benachrichtigung bei neuer Karte: Wird eine Treuekarte aktiviert, erhalten wir eine E-Mail mit dem von Ihnen gewählten Namen, der Karten-ID und dem Zeitpunkt. Das dient allein der Übersicht über das Bonusprogramm.

8.2 Cookies und lokale Speicherung

Damit Sie Ihre Treuekarte nicht bei jedem Besuch neu aufrufen müssen, speichern wir ein technisch notwendiges Cookie auf Ihrem Endgerät:

Da dieses Cookie für die von Ihnen gewünschte Funktion (Speicherung des Punktestandes) technisch unbedingt erforderlich ist, erfolgt die Speicherung auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

Beim Aufruf der Treuekarte setzt der Webserver zusätzlich das Sitzungs-Cookie PHPSESSID (siehe 5.2). Es enthält nur eine zufällige Kennung und wird beim Schließen des Browsers gelöscht.

8.3 Zweck und Rechtsgrundlage

Die Verarbeitung dient der Durchführung unseres Kundenbindungsprogramms (Sammeln von Punkten und Einlösen von Belohnungen).

Rechtsgrundlage: Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen), da Sie den Dienst aktiv nutzen, um die versprochene Prämie zu erreichen.

Wiederherstellung (Sicherheitsfrage / E-Mail): Damit Sie bei Verlust Ihrer Karten-ID wieder Zugriff erhalten, können Sie freiwillig eine Sicherheitsfrage und/oder Ihre E-Mail-Adresse hinterlegen. Die Antwort auf die Sicherheitsfrage wird nur als nicht umkehrbarer Hash gespeichert. Ihre E-Mail-Adresse verwenden wir ausschließlich, um Ihnen auf Ihre Anfrage hin Ihre Karten-ID zuzusenden, nicht für Werbung und ohne Weitergabe an Dritte. Die Speicherung und Nutzung der E-Mail-Adresse erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch Setzen des entsprechenden Hakens erteilen; den Versand wickeln wir über den E-Mail-Server unseres Hosting-Providers (ALL-INKL.COM, Deutschland) ab. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Karte über „Daten & Datenschutz" löschen. Dabei werden E-Mail-Adresse und Sicherheitsfrage unwiderruflich entfernt.

8.4 Speicherdauer und Löschung

Ihre Treuepunkte und die damit verknüpften Daten bleiben gespeichert, solange Sie das Cookie auf Ihrem Gerät behalten oder sich mittels Ihrer ID wieder einloggen.

Sie können die Löschung Ihres Treuekontos jederzeit bei uns vor Ort oder per Kontaktanfrage verlangen. Inaktive Konten ohne Bewegung können von uns nach angemessener Zeit (z. B. 3 Jahre nach letzter Aktivität) gelöscht werden.

8.5 Schutz vor unbefugten Zugriffen

Damit niemand fremde Karten-IDs durchprobieren kann, zählen wir fehlgeschlagene Anmeldeversuche. Dazu speichern wir in einer Datenbanktabelle:

• die verwendete Karten-ID und Ihre IP-Adresse, beide ausschließlich als nicht umkehrbaren Hash (SHA-256 mit geheimem Zusatzwert),
• die Zahl der Fehlversuche sowie den Zeitpunkt einer etwaigen Sperre.

Nach mehreren Fehlversuchen wird die Anmeldung vorübergehend gesperrt. Zusätzlich zählen wir die Fehlversuche einer IP-Adresse über alle Karten-IDs, Namen und E-Mail-Adressen hinweg (Anmeldung und Wiederherstellung getrennt): Nach 20 Fehlversuchen innerhalb einer Stunde ist die Funktion von dieser Adresse aus für eine Stunde gesperrt. Auch dafür speichern wir die IP-Adresse nur als Hash. Nach einer erfolgreichen Anmeldung wird der Eintrag zur Karten-ID gelöscht; abgelaufene Sperren werden automatisch zurückgesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Systeme und der Karten unserer Gäste).

9. Biometrische Authentifizierung (Passkeys / WebAuthn)

Wir boten Ihnen optional die Möglichkeit, sich mittels biometrischer Merkmale (Fingerabdruck, Gesichtserkennung) oder Ihrer Geräte-PIN in Ihre Treuekarte oder den Admin-Bereich einzuloggen. Dieses Verfahren basiert auf dem internationalen WebAuthn / FIDO2 Standard.

9.1 Funktionsweise

• Ihr Gerät generiert bei der Einrichtung ein kryptografisches Schlüsselpaar (Passkey).
• Der private Schlüssel bleibt sicher auf Ihrem Gerät und wird durch Ihre Biometrie freigeschaltet.
• Unser Server erhielt lediglich den öffentlichen Schlüssel. Damit konnten wir prüfen, ob die Anmeldung rechtmäßig von Ihrem Gerät stammt, ohne jemals Zugriff auf Ihre Biometrie zu erhalten.

9.2 Rechtsgrundlage

Die Verarbeitung (Speicherung des öffentlichen Schlüssels und der Credential-ID) erfolgte auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie durch das aktive Klicken auf "Browser autorisieren" oder "Login mit Fingerabdruck einrichten" erteilt haben.

9.3 Widerruf und Löschung

Sie können die Verknüpfung jederzeit aufheben, indem Sie den Passkey in den Einstellungen Ihres Betriebssystems (z. B. unter "Passwörter" bei iOS oder im Google Konto) löschen. Alternativ können Sie uns kontaktieren, um einen noch gespeicherten öffentlichen Schlüssel von unserem Server löschen zu lassen. Da die Funktion abgeschaltet ist, ist ein biometrischer Login ohnehin nicht mehr möglich.

10. Kontaktaufnahme

10.1 Kontakt per E-Mail

Bei Ihrer Kontaktaufnahme mit uns per E-Mail werden die von Ihnen mitgeteilten Daten (Ihre E-Mail-Adresse, ggf. Ihr Name und Ihre Telefonnummer) von uns gespeichert, um Ihre Fragen zu beantworten.

Zweck: Bearbeitung Ihrer Anfrage und Kommunikation mit Ihnen

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage auf den Abschluss eines Vertrages gerichtet ist

Speicherdauer: Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Dies ist in der Regel der Fall, wenn die jeweilige Konversation mit Ihnen beendet ist und die Angelegenheit abschließend geklärt ist.

10.2 Feedback-Formular (curryzoom.de/Feedback/)

Auf unserer Webseite bieten wir Ihnen unter curryzoom.de/Feedback/ die Möglichkeit, anonym oder namentlich Feedback zu Ihrem Besuch zu hinterlassen. Die Nutzung dieses Formulars erfolgt auf freiwilliger Basis.

Erfasste Daten

Dabei werden folgende Daten erhoben und gespeichert:

• Pflichtangaben: Ihre Bewertung (Sternevergabe), die ausgewählte Kategorie (Lob, Kritik, etc.) sowie Ihre Nachricht (Freitext).
• Freiwillige Angaben: Ihr Name und zusätzliche Informationen (z.B. Tischnummer, Uhrzeit).
• Foto-Upload (optional): Sofern Sie ein Bild hochladen, wird dieses auf unserem Server gespeichert. Metadaten des Bildes (z.B. Standortdaten) können dabei technisch bedingt übertragen werden.
• Technische Daten: Zum Schutz vor Missbrauch und zur Spam-Abwehr speichern wir technische Randdaten. Im Einzelnen: Ihre IP-Adresse wird für 24 Stunden in einer Sperrliste gespeichert, damit pro Tag nur ein Eintrag möglich ist; danach wird sie gelöscht. Zusammen mit Ihrem Eintrag speichern wir dauerhaft Zeitstempel und die Kennung Ihres Browsers (User-Agent). Diese technischen Daten werden nicht veröffentlicht.

Veröffentlichung auf dieser Webseite

Zweck der Verarbeitung

Die Datenverarbeitung dient dem Zweck der Qualitätskontrolle, der Verbesserung unserer Dienstleistungen und Produkte sowie der internen Auswertung der Kundenzufriedenheit und der Veröffentlichung von Gästestimmen auf dieser Webseite.

Rechtsgrundlage

Die Verarbeitung dieser Daten erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie vor Absenden des Formulars durch Anhaken der entsprechenden Checkbox ausdrücklich erteilen. Die Speicherung der IP-Adresse zur Spam-Abwehr stützen wir auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Weitere Veröffentlichung

Wir behalten uns vor, ausgewählte Feedbacks (anonymisiert oder mit Ihrem angegebenen Vornamen) auf unserem Social-Media-Kanälen zu Marketingzwecken zu nutzen, sofern keine Rückschlüsse auf Ihre volle Identität möglich sind.

10.3 Gästebuch (curryzoom.de/gaestebuch/)

In unserem Gästebuch können Sie öffentlich einen Beitrag hinterlassen. Auch das ist freiwillig.

Erfasste Daten

• Pflichtangaben: Name (ein Pseudonym genügt) und Ihre Nachricht.
• Bewertung: Anzahl der Sterne.
• Bild (optional): Ihr Bild wird auf unserem Server neu berechnet und verkleinert gespeichert. Dabei gehen enthaltene Metadaten (etwa Standortangaben) verloren.
• Zeitstempel des Beitrags. Eine IP-Adresse speichern wir hier nicht.

Ihr Beitrag erscheint sofort öffentlich auf der Gästebuchseite, die auch von Suchmaschinen erfasst werden kann. Über einen neuen Eintrag werden wir zusätzlich per E-Mail benachrichtigt (Name, Bewertung, Nachricht). Beim Aufruf des Formulars setzt der Webserver das Sitzungs-Cookie PHPSESSID für die Rechenaufgabe und den Spam-Schutz (siehe 5.2).

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie mit dem Haken „Ich stimme der Veröffentlichung meines Beitrags zu" erteilen. Speicherdauer: bis zum Widerruf. Eine kurze Nachricht an uns genügt, dann entfernen wir Ihren Beitrag samt Bild.

11. Weitergabe von Daten an Dritte

Eine Übermittlung Ihrer persönlichen Daten an Dritte zu anderen als den im Folgenden aufgeführten Zwecken findet nicht statt.

Wir geben Ihre persönlichen Daten nur an Dritte weiter, wenn:

• Sie Ihre nach Art. 6 Abs. 1 lit. a DSGVO ausdrückliche Einwilligung dazu erteilt haben
• die Weitergabe nach Art. 6 Abs. 1 lit. f DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist und kein Grund zur Annahme besteht, dass Sie ein überwiegendes schutzwürdiges Interesse an der Nichtweitergabe Ihrer Daten haben
• für den Fall, dass für die Weitergabe nach Art. 6 Abs. 1 lit. c DSGVO eine gesetzliche Verpflichtung besteht
• dies gesetzlich zulässig und nach Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung von Vertragsverhältnissen mit Ihnen erforderlich ist

11.1 Auftragsverarbeiter

Wir setzen zur Erbringung unserer Dienstleistungen externe Dienstleister ein (Auftragsverarbeiter), insbesondere:

• Webhosting und E-Mail-Versand: ALL-INKL.COM, Neue Medien Münnich, Deutschland. Dort liegen unsere Webseite, die Datenbank der Treuekarte, die Protokolldateien und die von uns versendeten Benachrichtigungen.
• Analyse-Dienstleister: Google Analytics, Microsoft Clarity (siehe Abschnitt 6)
• KI-Assistent: Cloudflare, Inc., USA (Cloudflare Workers AI, siehe Abschnitt 7)

Mit den Auftragsverarbeitern haben wir Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen. Diese verpflichten die Dienstleister, die Daten unserer Nutzer zu schützen und nicht an Dritte weiterzugeben.

11.2 Datenübermittlung in Drittländer

Soweit wir Daten in einem Drittland (außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums) verarbeiten oder dies im Rahmen der Inanspruchnahme von Diensten Dritter geschieht, erfolgt dies nur, wenn:

• ein Angemessenheitsbeschluss der EU-Kommission vorliegt (Art. 45 DSGVO)
• geeignete Garantien bestehen (z.B. EU-Standardvertragsklauseln nach Art. 46 DSGVO)
• eine Zertifizierung nach dem EU-US Data Privacy Framework vorliegt
• Sie ausdrücklich eingewilligt haben (Art. 49 Abs. 1 lit. a DSGVO)

11.3 Links zu externen Anbietern

An mehreren Stellen verlinken wir auf Angebote anderer Unternehmen. Diese Links laden nichts im Hintergrund: Erst wenn Sie klicken, verlassen Sie unsere Seite, und der jeweilige Anbieter erhält Ihre IP-Adresse und die üblichen Verbindungsdaten. Es gelten dann dessen Datenschutzbestimmungen. Das betrifft:

• Bestellung: Lieferando (Just Eat Takeaway.com) über unseren Bestellshop curryzoombochum.de, sowie NeoTaste.
• Bezahlung: PayPal (paypal.me), SumUp (pay.sumup.com) und Mollie (payment-links.mollie.com).
• Bewertungen und Karten: Google (Unternehmensprofil, Google Maps).
• Soziale Netzwerke: Instagram und Facebook (Meta). Wir binden keine Social-Media-Plugins ein, es sind ausschließlich normale Links.

Für Zahlungen, die Sie bei uns vor Ort mit Karte, Apple Pay oder Google Pay leisten, verarbeitet unser Kassen- und Zahlungsdienstleister die Zahlungsdaten. Diese Verarbeitung findet außerhalb dieser Webseite statt.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die Erfüllung der jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben.

Allgemeine Speicherfristen:

• Server-Logfiles: 7 Tage
• Einwilligungs-Cookie cz_consent_v5 (technisch notwendig): 12 Monate
• Treuekarten-Cookie cz_id (technisch notwendig): 1 Jahr, verlängert sich bei aktiver Nutzung
• Sitzungs-Cookie PHPSESSID: bis zum Schließen des Browsers
• Google-Analytics-Cookies: _ga bis zu 2 Jahre, _gid 24 Stunden (Voreinstellungen von Google). Bei Widerruf löschen wir sie sofort.
• Daten in Google Analytics: 14 Monate ab der letzten Aktivität
• Microsoft-Clarity-Daten: 13 Monate
• Kartenfreigabe (Google Maps): nur für die laufende Browser-Sitzung
• KI-Assistent: Fragen und Antworten speichern wir nicht. Der Verlauf im Browser (cz-ki-verlauf) bleibt, bis Sie den Tab schließen. Der Tageszähler je IP-Kennwert wird kurz nach Mitternacht (UTC) gelöscht.
• Früherer CurryBot: gespeicherte Chatverläufe und IP-Hashes am 07.10.2026 gelöscht
• Feedback: IP-Adresse in der Sperrliste: 24 Stunden
• Feedback- und Gästebuch-Einträge: bis zum Widerruf bzw. bis Sie die Löschung verlangen
• Treuekarte: Fehlversuche bei der Anmeldung: bis zur nächsten erfolgreichen Anmeldung, Sperren laufen automatisch ab
• Kontakt-/Feedback-Anfragen: Bis zur abschließenden Bearbeitung oder bis zum Widerruf der Einwilligung.

Gesetzliche Aufbewahrungsfristen:

Soweit steuer- oder handelsrechtliche Aufbewahrungsfristen bestehen, können Daten länger gespeichert werden:

• Handelsrechtlich (§ 257 HGB): 6 bzw. 10 Jahre für Geschäftsbriefe, Buchungsbelege etc.
• Steuerrechtlich (§ 147 AO): 6 bzw. 10 Jahre für steuerrelevante Unterlagen

Nach Ablauf dieser Fristen werden die entsprechenden Daten routinemäßig gelöscht, sofern sie nicht mehr zur Vertragserfüllung oder Vertragsanbahnung erforderlich sind.

13. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

13.1 Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, von uns eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so haben Sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf weitere Informationen (z.B. Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger).

13.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, von uns unverzüglich die Berichtigung Sie betreffender unrichtiger personenbezogener Daten zu verlangen. Unter Berücksichtigung der Zwecke der Verarbeitung haben Sie das Recht, die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

13.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, von uns zu verlangen, dass Sie betreffende personenbezogene Daten unverzüglich gelöscht werden, sofern einer der folgenden Gründe zutrifft:

• Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig
• Sie widerrufen Ihre Einwilligung und es fehlt an einer anderweitigen Rechtsgrundlage
• Sie legen Widerspruch ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor
• Die Daten wurden unrechtmäßig verarbeitet
• Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich

13.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, von uns die Einschränkung der Verarbeitung zu verlangen, wenn eine der folgenden Voraussetzungen gegeben ist:

• Sie bestreiten die Richtigkeit der Daten
• Die Verarbeitung ist unrechtmäßig, Sie lehnen die Löschung ab
• Wir benötigen die Daten nicht mehr, Sie benötigen sie jedoch zur Geltendmachung von Rechtsansprüchen
• Sie haben Widerspruch eingelegt und es ist noch nicht festgestellt, ob unsere Gründe überwiegen

13.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und Sie haben das Recht, diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln.

13.6 Widerspruchsrecht (Art. 21 DSGVO)

13.7 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sofern die Verarbeitung Ihrer Daten auf einer von Ihnen erteilten Einwilligung beruht, haben Sie das Recht, diese Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

13.8 Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren.

Zuständige Aufsichtsbehörde für uns:

13.9 Kontakt zur Ausübung Ihrer Rechte

Zur Ausübung Ihrer Rechte können Sie uns jederzeit kontaktieren:

14. Datensicherheit

Wir verwenden geeignete technische und organisatorische Sicherheitsmaßnahmen, um Ihre Daten gegen zufällige oder vorsätzliche Manipulationen, teilweisen oder vollständigen Verlust, Zerstörung oder gegen den unbefugten Zugriff Dritter zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

14.1 SSL/TLS-Verschlüsselung

Diese Webseite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL- bzw. TLS-Verschlüsselung.

Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

14.2 Weitere Sicherheitsmaßnahmen

• Regelmäßige Sicherheitsupdates und Patches
• Zugriffskontrollen und Berechtigungskonzepte
• Verschlüsselte Datenübertragung
• Regelmäßige Backups
• Firewalls und Anti-Malware-Systeme
• Datenschutzgerechte Voreinstellungen (Privacy by Default)
• Datenschutz durch Technikgestaltung (Privacy by Design)

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung gelegentlich anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen, z.B. bei der Einführung neuer Services.

Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Wir empfehlen Ihnen, diese Datenschutzerklärung regelmäßig zu überprüfen, um über den Schutz der von uns erfassten personenbezogenen Informationen auf dem Laufenden zu bleiben.

Änderungshistorie:

• November 2025: Umfassende Überarbeitung und Anpassung an aktuelle DSGVO-Anforderungen
• Dezember 2025: Ergänzung Abschnitt 9 "Biometrische Authentifizierung"
• 29.12.2025: Anpassung Abschnitt 7 "KI-Chat-Assistent" (Nutzung Gemini API & Google Suche)
• 30.12.2025: Ergänzung zu IP-Sperre & Rate Limiting (Serverseitige Speicherung von Hashes)
• 24.08.2026: Abschnitt 5.3 um Consent-Banner, Widerruf und den Cookie-Namen cz_consent_v5 ergänzt; Abschnitt 6.1 auf Google Analytics 4 und Consent Mode v2 richtiggestellt; Abschnitt 6.3 „Google Maps" neu (Zwei-Klick-Lösung); Speicherfristen präzisiert; Kontaktadressen ohne vorgeschaltete Rechenaufgabe. Google Fonts und Font Awesome werden seither vom eigenen Server ausgeliefert.
• 17.09.2026: Abgleich mit dem tatsächlichen Stand der Webseite. Neu beschrieben: die Speicherung der Chatverläufe auf unserem Server samt 30-Tage-Löschung und E-Mail-Benachrichtigung (7.5), die tatsächlichen Limits des Chat-Assistenten und die zugeschaltete Google-Suche (7.1, 7.2), die Nutzung der kostenlosen Gemini-Stufe (7.4, 11.1), die Veröffentlichung der Feedback-Einträge auf dieser Webseite und der Umgang mit IP-Adresse und Browser-Kennung (10.2), das Gästebuch (10.3), der Schutz vor unbefugten Anmeldungen bei der Treuekarte (8.5), die Sitzungs-Cookies und lokalen Speicher (5.2), Cookies von Microsoft beim Widerruf (5.3, 6.2), Links zu Bestell- und Zahlungsanbietern (11.3) sowie der Hosting-Anbieter (11.1). Abschnitt 9 (Passkeys) als abgeschaltet gekennzeichnet. Die Karten-Speicherdauer in 6.3 wurde richtiggestellt.
• 07.10.2026: Abschnitt 7 neu: KI-Assistent über Cloudflare Workers AI statt des bisherigen Chat-Assistenten mit Gemini. Keine Speicherung der Inhalte, Verlauf nur im Browser-Tab. Entsprechend angepasst: 5.2, 11.1 und 12. Am selben Tag ergänzt: Tageslimit von 10 Fragen je IP-Adresse mit täglich wechselndem Kennwert (7.1, 12).
• 07.10.2026: 8.5 ergänzt: Sperre je IP-Adresse über alle Karten-IDs bei Anmeldung und Wiederherstellung der Treuekarte.
• 07.10.2026: 7.5 und 12: Chatverläufe des früheren CurryBot gelöscht.