Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in unserer Kundenkommunikation ist:

Lars Lensch, Mr. Food Burger & More
Hauptstraße 13, 25855 Haselund
E-Mail: info@mrfood-burger.de
Telefon (Anrufbeantworter): 04843 894 99 59
WhatsApp: 04843 894 99 58

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind (§ 38 BDSG). Bei Fragen zum Datenschutz schreiben Sie uns an die oben genannte E-Mail-Adresse oder per WhatsApp.

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit wir sie für den Betrieb dieser Website, für Ihre Bestellung zur Abholung und für die Beantwortung Ihrer Fragen brauchen. Online bezahlen Sie bei uns nicht; bezahlt wird bei Abholung im Laden. Wir betreiben kein Werbe-Tracking, keine Kundenkonten und keinen Newsletter.

3. Hosting und Server-Protokolle

Unsere Website liegt bei der DomainFactory GmbH, Oskar-Messter-Str. 33, 85737 Ismaning. Beim Aufruf der Website verarbeitet der Server technisch notwendige Daten: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Datei, den Browsertyp und die Seite, von der Sie kommen. Ohne diese Daten kann die Website nicht ausgeliefert und nicht vor Angriffen geschützt werden.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Webangebot (Art. 6 Abs. 1 lit. f DSGVO). DomainFactory verarbeitet diese Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Die Server-Protokolle werden nach 4 Wochen gelöscht. Die Server stehen in Deutschland.

4. Reichweitenmessung ohne Cookies

Wir zählen Seitenaufrufe mit einem eigenen Skript auf unserem Server. Dabei speichern wir nur, welche Seite aufgerufen wurde, von welcher Seite Sie kamen und wann. Auf der Bestellseite zählen wir zusätzlich, ob ein Warenkorb begonnen und die WhatsApp-Nachricht geöffnet wurde; dabei speichern wir nur die Anzahl der Artikel, die auf volle Euro gerundete Summe und ob „schnellstmöglich“ oder eine Wunschuhrzeit gewählt wurde – keine Artikel, keine Namen und keine Telefonnummern. Wir speichern keine IP-Adresse, setzen keine Cookies und lesen nichts aus Ihrem Gerät aus. Die Daten verlassen unseren Webspace nicht.

Zweck ist zu erkennen, welche Seiten genutzt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach 30 Tagen automatisch gelöscht.

5. Bestellung über die Website

Auf unserer Bestellseite stellen Sie Ihre Bestellung zusammen. Sie haben zwei Wege: Direkt absenden: Ihr Name, Ihre Handynummer, Ihre E-Mail-Adresse, Ihre Anmerkungen und die Bestellung werden über unseren Webserver verschlüsselt an unser Bestellsystem (Abschnitte 7 und 8) übermittelt und dort wie eine WhatsApp-Bestellung verarbeitet (Bon, Kasse, Abholzeit). An Ihre E-Mail-Adresse schicken wir die Bestellbestätigung (Abschnitt 10); die Handynummer nutzen wir nur für Rückfragen zu dieser Bestellung. Auf unserem Webserver selbst wird die Bestellung nicht gespeichert. Per WhatsApp: Ihre Auswahl wird in Ihrem Browser zu einer fertigen WhatsApp-Nachricht zusammengesetzt; erst wenn Sie diese in WhatsApp absenden, erreicht sie uns, und es gilt Abschnitt 6. Rechtsgrundlage ist jeweils die Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Zusätzlich landen auf dem Webserver nur die in Abschnitt 4 genannten Zählwerte.

6. Bestellungen und Fragen per WhatsApp

Wir sind für Kundinnen und Kunden über WhatsApp erreichbar. Schreiben Sie uns, verarbeiten wir Ihre Telefonnummer, Ihren WhatsApp-Profilnamen, den Inhalt Ihrer Nachrichten und technische Angaben wie Zeitpunkt und Zustellstatus. Bei einer Bestellung kommen die bestellten Artikel, Ihre Anmerkungen, der Name für die Abholung und die gewünschte Abholzeit hinzu.

Wir nutzen dafür WhatsApp Business. Anbieter ist für Unternehmen in der EU die WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland; für die automatisierte Anbindung nutzen wir die WhatsApp Business Platform (Cloud API) der Meta Platforms Ireland Limited. Soweit Meta Nachrichten in unserem Auftrag verarbeitet, handelt Meta als unser Auftragsverarbeiter. Für die Nutzung von WhatsApp selbst gilt zusätzlich die Datenschutzerklärung von WhatsApp; dafür ist WhatsApp eigenständig verantwortlich. Meta kann Daten in die USA übermitteln (siehe Abschnitt 14).

Rechtsgrundlage für Bestellungen ist die Anbahnung und Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Für allgemeine Fragen ist es unser berechtigtes Interesse, Anfragen schnell zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wenn Sie uns nicht über WhatsApp schreiben möchten, erreichen Sie uns per E-Mail oder direkt im Laden.

7. Automatisierte Bearbeitung durch unseren Bestell-Assistenten

Eingehende WhatsApp-Nachrichten beantwortet zunächst unser automatischer Bestell-Assistent „Siggi". Beim ersten Kontakt weist er darauf hin, dass Sie mit einem KI-Assistenten schreiben; bei Bestellungen über unsere Website steht dieser Hinweis bereits auf der Bestellseite. Er nimmt Abholbestellungen auf, fragt fehlende Angaben nach, beantwortet Fragen zu Speisekarte und Öffnungszeiten und gibt die fertige Bestellung an unseren Bondrucker im Laden weiter.

Dafür nutzen wir das KI-Sprachmodell Claude der Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland, als Auftragsverarbeiter. An Claude übermitteln wir den Text Ihrer Nachrichten und die letzten bis zu 30 Nachrichten des Gesprächs mit Ihnen, bei Bestellungen über unsere Website auch den dort eingegebenen Namen. Sprachnachrichten und Bilder übermitteln wir nicht; Claude erhält nur einen Hinweis wie „[Sprachnachricht]". Ihre Telefonnummer und Ihren WhatsApp-Profilnamen übermitteln wir nicht an Claude. Was Sie selbst in eine Nachricht schreiben, etwa Ihren Namen, geht jedoch mit.

Damit der Assistent in unserem Ton antwortet, nutzen wir Formulierungen aus Antworten unseres Teams als Beispiele; Telefonnummern werden daraus vorher automatisch entfernt. Bitte schicken Sie uns über WhatsApp keine Angaben, die wir für die Bestellung nicht brauchen, etwa zu Ihrer Gesundheit. Fragen zu Allergenen beantworten wir verbindlich nur im Laden oder über unsere Allergenkarte.

Anthropic darf die Inhalte nach den mit uns geschlossenen Bedingungen nicht zum Training von KI-Modellen verwenden. Nach den Angaben von Anthropic werden Ein- und Ausgaben in der Regel innerhalb von 30 Tagen gelöscht. Ausnahmen gelten, wenn eine längere Speicherung gesetzlich vorgeschrieben ist oder automatische Systeme einen Verstoß gegen die Nutzungsrichtlinien von Anthropic erkennen; dann können Inhalte bis zu 2 Jahre gespeichert werden. Die Verarbeitung kann in den USA und anderen Ländern außerhalb der EU erfolgen (siehe Abschnitt 14).

Der Assistent trifft keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Er nimmt Ihre Bestellung entgegen und gibt Auskünfte; ob und wann wir eine Bestellung zubereiten, richtet sich nach unseren Öffnungszeiten und der Entscheidung unseres Teams. Antworten des Assistenten können fehlerhaft sein. Wenn Sie lieber mit einem Menschen schreiben möchten, schreiben Sie einfach „Mitarbeiter"; unser Team meldet sich dann im Chat.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Bestellungen und Art. 6 Abs. 1 lit. f DSGVO für allgemeine Fragen; unser berechtigtes Interesse liegt darin, Bestellungen auch während des laufenden Küchenbetriebs zuverlässig anzunehmen.

8. Technische Weiterleitung: Dualhook, ngrok und n8n

Damit Ihre WhatsApp-Nachrichten unseren Bestell-Assistenten erreichen, nutzen wir mehrere technische Bausteine.

Dualhook, ein Dienst der WADA BV (Belgien), richtet die Verbindung zwischen unserem WhatsApp-Konto und unserem System ein. Eingehende Nachrichten sendet Meta nach den Angaben von Dualhook nicht über Dualhook, sondern an ein Weiterleitungsskript auf unserem Webspace bei DomainFactory (siehe Abschnitt 9), das sie an unser System weitergibt. Unsere ausgehenden Antworten laufen über einen Weiterleitungsdienst von Dualhook, der dafür die Infrastruktur der Cloudflare, Inc. nutzt; Dualhook gibt an, Nachrichteninhalte dabei weder zu speichern noch zu protokollieren. Dualhook handelt als unser Auftragsverarbeiter.

Von dort erreichen eingehende Nachrichten den Rechner in unserem Laden über einen Tunnel-Dienst der ngrok, Inc., USA. Dabei laufen die Nachrichten einschließlich Telefonnummer und Inhalt über Server von ngrok. ngrok handelt als unser Auftragsverarbeiter.

Die Bestellabläufe steuern wir mit der Software n8n, die wir selbst auf einem Rechner in unserem Laden betreiben. Dort werden Nachrichten verarbeitet und Bestellungen an den Bondrucker übergeben. Für den laufenden Betrieb speichert n8n Bestellungen (Name, Telefonnummer, Artikel, Summe, Abholzeit) bis zum Folgetag, Vorbestellungen bis einen Tag nach dem Abholtag, offene Kundenfragen bis zur Erledigung, höchstens 14 Tage (erledigte Fragen noch einen Tag), und Telefonnummern mit Zeitstempel zur Zuordnung des Gesprächs höchstens 35 Tage. Wenn Sie einen Mitarbeiter sprechen möchten, merkt sich n8n Ihre letzten bis zu 5 Nachrichten höchstens 3 Stunden, damit unser Team weiß, worum es geht. Den Gesprächsverlauf hält n8n nur im Arbeitsspeicher. Technische Ablaufprotokolle mit Nachrichteninhalten werden nach 4 Wochen automatisch gelöscht. Tagesstatistiken ohne Namen und Telefonnummern bewahren wir rund 120 Tage auf.

9. Zwischenspeicherung bei technischen Störungen

Eingehende WhatsApp-Nachrichten laufen über ein Weiterleitungsskript auf unserem Webspace bei DomainFactory. Im Normalfall werden sie dort nicht gespeichert, sondern sofort an unser System im Laden weitergereicht. Ist unser System im Laden kurzzeitig nicht erreichbar, werden eingehende Nachrichten auf unserem Webspace bei DomainFactory (siehe Abschnitt 3) zwischengespeichert und nach Wiederherstellung der Verbindung an unseren Bestell-Assistenten weitergeleitet. Nach der Weiterleitung werden sie dort gelöscht. Damit wir Ihnen während der Störung einen kurzen Hinweis schicken können, speichern wir Ihre Telefonnummer dort höchstens 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse, dass Bestellungen bei technischen Störungen nicht verloren gehen (Art. 6 Abs. 1 lit. f DSGVO).

10. E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihnen zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Unser E-Mail-Postfach liegt ebenfalls bei DomainFactory (siehe Abschnitt 3). Automatische Bestellbestätigungen per E-Mail versenden wir nicht – mit Ausnahme des Gutscheinkaufs (Abschnitt 11a). Für unsere interne Organisation erhalten wir in dieses Postfach einen täglichen Bericht mit Bestellzahlen und Beträgen ohne Namen und Telefonnummern sowie eine wöchentliche Sicherung unserer Einstellungen, die keine Kundendaten enthält.

11. Karte von Google Maps

Auf unserer Startseite können Sie eine Karte von Google Maps anzeigen lassen. Die Karte wird erst geladen, wenn Sie im Cookie-Hinweis eingewilligt haben. Erst dann stellt Ihr Browser eine Verbindung zu Servern der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, her; dabei werden Ihre IP-Adresse und Geräteinformationen an Google übermittelt, und Google kann Cookies setzen oder lesen. Google kann Daten in die USA übermitteln.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können die Einwilligung jederzeit für die Zukunft widerrufen, indem Sie im Footer auf ‚Cookie-Einstellungen‘ klicken und Ihre Auswahl ändern. Für die Verarbeitung durch Google gilt die Datenschutzerklärung von Google.

11a. Online-Gutscheine und Online-Zahlung (SumUp, PayPal)

Auf unserer Gutscheinseite können Sie Gutscheine kaufen. Dafür verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, freiwillig Ihre Handynummer, den Betrag, die gewählte Zustellung sowie freiwillige Angaben für den Gutschein (Für, Von, persönliche Nachricht). Wir erzeugen eine Gutschein-Nummer, legen den Gutschein mit Nummer und Wert in unserem Kassensystem ready2order (ready2order GmbH, Wien, Österreich) an und schicken Ihnen eine Bestätigung bzw. den Gutschein als PDF per E-Mail. Ihre Bestellung speichern wir auf unserem Webspace bei DomainFactory (Abschnitt 3); eine Meldung mit Bestellnummer, Wert, Name, Handynummer und Gutscheintext geht zusätzlich an unser System im Laden (Bondrucker und Handys des Teams, siehe Abschnitte 7 und 8). Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unsere gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

Bestellungen online bezahlen: In der Bestellbestätigung per WhatsApp schicken wir Ihnen einen freiwilligen Bezahl-Link. Er enthält Bestellnummer, Datum, Betrag, Abholzeit und Ihren Vornamen. Wenn Sie bezahlen, speichern wir auf unserem Webspace, dass und wie die Bestellung bezahlt wurde (Betrag, Zahlungsdienst, Transaktionsnummer), und geben diese Information an unser System im Laden weiter; Sie erhalten eine Bestätigung per WhatsApp. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

SumUp: Für Zahlungen mit Karte, Apple Pay oder Google Pay leiten wir Sie auf eine Bezahlseite der SumUp Limited, Block 8, Harcourt Centre, Charlotte Way, Dublin 2, Irland, weiter. SumUp verarbeitet dort Ihre Zahlungsdaten in eigener Verantwortung; wir erhalten nur Zahlungsstatus, Betrag und Transaktionsnummer. Es gilt die Datenschutzerklärung von SumUp.

PayPal: Bezahlt werden kann außerdem über PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Erst wenn Sie die Zahlung mit PayPal wählen, lädt Ihr Browser die Zahlungsschaltflächen von PayPal; dabei werden Ihre IP-Adresse und Geräteinformationen an PayPal übermittelt, und PayPal kann Cookies setzen oder lesen. Je nach gewählter Zahlungsart (PayPal, Lastschrift, Karte) verarbeitet PayPal Ihre Zahlungsdaten und kann dafür eine Bonitäts- bzw. Identitätsprüfung durchführen. Wir erhalten von PayPal nur die Bestätigung der Zahlung mit Transaktionsnummer und Betrag. PayPal ist für seine Verarbeitung eigenständig verantwortlich; es gilt die Datenschutzerklärung von PayPal. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG, weil die Zahlungsschaltflächen für den von Ihnen gewünschten Kauf erforderlich sind.

Bei der Abfrage des Restguthabens übermitteln wir die eingegebene Gutschein-Nummer an ready2order, um das Guthaben abzurufen. Um Missbrauch zu verhindern, speichern wir dafür und beim Kauf höchstens eine Stunde lang einen nicht rückrechenbaren Kurzwert Ihrer IP-Adresse.

11b. Google-Bewertungen auf der Startseite

Auf unserer Startseite zeigen wir die Gesamtbewertung und einzelne öffentliche Bewertungen aus unserem Google-Unternehmensprofil an. Diese Daten ruft unser Server einmal täglich bei Google ab; Ihr Browser baut dabei keine Verbindung zu Google auf. Erst wenn Sie auf einen Link zu Google klicken, gelten die Datenschutzbestimmungen von Google.

12. Cookies und Speicherung auf Ihrem Gerät

Unsere Website speichert nur in drei Fällen etwas auf Ihrem Gerät: Ihre Auswahl im Cookie-Hinweis, damit er nicht bei jedem Aufruf erneut erscheint, und auf der Bestellseite eine Liste gerade ausverkaufter Artikel als technischen Zwischenspeicher ohne Bezug zu Ihrer Person (jeweils § 25 Abs. 2 Nr. 2 TDDDG) sowie – nach Ihrer Einwilligung – Cookies von Google beim Laden der Karte (Abschnitt 11). Schriften, Skripte und Bilder laden wir von unserem eigenen Server; einzige Ausnahme sind die Zahlungsschaltflächen von PayPal auf der Gutschein- und der Bezahlseite, die erst geladen werden, wenn Sie bezahlen möchten (Abschnitt 11a).

13. Empfänger und Auftragsverarbeiter

An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

14. Übermittlung in Länder außerhalb der EU

Einige Dienstleister oder deren Unterauftragsverarbeiter verarbeiten Daten auch in den USA oder anderen Drittländern. Wir übermitteln Daten dorthin nur mit den Garantien nach Art. 44 ff. DSGVO:

• Anthropic: EU-Standardvertragsklauseln (Modul 2 und 3), die in den Datenverarbeitungsvertrag von Anthropic einbezogen sind (Art. 46 Abs. 2 lit. c DSGVO).
• Dualhook und dessen Unterauftragsverarbeiter (u. a. Cloudflare, Vercel): EU-Standardvertragsklauseln (Modul 2 und 3) laut Datenverarbeitungsvertrag von Dualhook.
• ngrok: EU-Standardvertragsklauseln (Modul 2), die in den Datenverarbeitungsvertrag von ngrok einbezogen sind.
• WhatsApp/Meta: WhatsApp Business Data Transfer Addendum; zudem ist Meta Platforms, Inc. nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).
• PayPal und SumUp: Soweit diese Zahlungsdienste Daten Daten außerhalb der EU verarbeiten, geschieht das in deren eigener Verantwortung auf Grundlage der dort genannten Garantien (z. B. verbindliche interne Datenschutzvorschriften nach Art. 47 DSGVO oder EU-Standardvertragsklauseln); Einzelheiten in den Datenschutzerklärungen von PayPal und SumUp.
• Google (nur nach Einwilligung): Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).

Eine Kopie der Garantien können Sie bei uns anfordern.

15. Speicherdauer

Steuerlich aufbewahrt werden die Kassen- und Buchungsbelege. Chatverläufe bewahren wir nicht pauschal für steuerliche Zwecke auf.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Für alle Anliegen genügt eine Nachricht an info@mrfood-burger.de.

17. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Die Landesbeauftragte für Datenschutz Schleswig-Holstein, Unabhängiges Landeszentrum für Datenschutz (ULD), Holstenstraße 98, 24103 Kiel, mail@datenschutzzentrum.de, Beschwerdeformular: https://www.datenschutzzentrum.de/formular/beschwerde.php

18. Pflicht zur Bereitstellung

Sie sind nicht verpflichtet, uns Daten bereitzustellen. Ohne Ihre WhatsApp-Nummer und Ihre Bestellangaben können wir eine WhatsApp-Bestellung jedoch nicht annehmen. Sie können jederzeit ohne WhatsApp direkt im Laden bestellen.

19. Gäste-WLAN im Laden

Wenn Sie unser kostenloses Gäste-WLAN im Laden nutzen, verarbeiten wir technisch notwendige Daten wie IP-Adresse, Gerätekennung, Zeitpunkt und Dauer der Verbindung, um den Internetzugang bereitzustellen und die Netzsicherheit zu gewährleisten. Eine Auswertung Ihres Surfverhaltens findet nicht statt. Rechtsgrundlage ist die Bereitstellung des Zugangs (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren Netz (Art. 6 Abs. 1 lit. f DSGVO). Die Nutzung erfolgt auf eigene Verantwortung; für die Inhalte, die über das Gäste-WLAN abgerufen werden, übernehmen wir keine Haftung.

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Abläufe oder die Rechtslage ändern. Es gilt die jeweils auf dieser Website veröffentlichte Fassung. Stand: 23. Oktober 2026