Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

pera Grill & Pizzeria GmbH

Hursterstr. 3

51570 Windeck

Deutschland

Telefon: +49 2292 929242

E-Mail: kontakt@peragrill.de

2. Grundsätze und Rechtsgrundlagen

Wir verarbeiten nur die Daten, die für Websitebetrieb, Bestellungen, Kundenkonten, Lieferungen, Zahlungen, Kommunikation, Sicherheit und gesetzliche Pflichten erforderlich sind. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertrag und Vertragsanbahnung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten, Art. 6 Abs. 1 lit. f DSGVO für den sicheren und wirtschaftlichen Betrieb sowie Art. 6 Abs. 1 lit. a DSGVO für freiwillige Einwilligungen.

3. Hosting und technische Protokolle

Die Website und die PostgreSQL-Datenbank werden bei Railway Corporation bereitgestellt. Beim Aufruf verarbeitet die Hosting-Infrastruktur insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Antwortstatus, übertragene Datenmenge, Browserkennung und gegebenenfalls Referrer. Dies ist zur Auslieferung, Fehleranalyse und Abwehr von Angriffen erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mit dem Hostinganbieter ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Informationen des Anbieters: railway.com/legal/privacy.

4. Onlinebestellungen

Für Bestellung, Abholung oder Lieferung verarbeiten wir Name, E-Mail-Adresse soweit angegeben, Telefonnummer, bei Lieferung die Adresse, Warenkorb, Optionen, Hinweise, Bestellzeit, Zahlungsart, Zahlungsstatus sowie Bearbeitungs- und Lieferstatus. Pflichtangaben sind für den Vertragsschluss erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Freitextfelder sollten keine Angaben zu Gesundheit, Religion oder anderen besonders sensiblen Umständen enthalten.

5. Kundenkonto und Stempelkarte

Bei einem freiwilligen Kundenkonto verarbeiten wir E-Mail-Adresse, Passwort-Hash, gegebenenfalls Name, Telefon und Standardlieferadresse. Das Passwort selbst ist für uns nicht lesbar. Für die Stempelkarte speichern wir Stempelbuchungen und Einlösungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Das Konto kann im Kontobereich gelöscht werden. Dabei werden Login, Sitzungen, Profil, Stempelbezug und personenbezogene Bestellinhalte entfernt; aufbewahrungspflichtige Bestelldaten bleiben anonymisiert erhalten.

6. Onlinezahlung über Stripe

Nur wenn Onlinezahlung gewählt wird, leiten wir zur Zahlungsseite von Stripe weiter. An Stripe werden E-Mail-Adresse, Betrag, Währung, Warenpositionen und eine interne Bestellreferenz übermittelt. Karten- oder Kontodaten werden direkt von Stripe verarbeitet und nicht auf unserem Server gespeichert. Anbieter für europäische Nutzer ist grundsätzlich Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; gesetzlich notwendige Zahlungsnachweise beruhen zusätzlich auf Art. 6 Abs. 1 lit. c DSGVO. Informationen: stripe.com/de/privacy.

7. E-Mail-Versand über Resend

Bestellbestätigungen, Statusmails, Konto- und Passwortmails sowie Newsletter werden über Resend, Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, versendet. Verarbeitet werden Empfängeradresse, Betreff, Nachrichteninhalt und technische Versanddaten. Rechtsgrundlage ist je nach Nachricht Art. 6 Abs. 1 lit. b, lit. c oder lit. a DSGVO. Für Drittlandübermittlungen sind die vom Anbieter vorgesehenen Garantien, insbesondere Data Privacy Framework beziehungsweise Standardvertragsklauseln, und ein Vertrag nach Art. 28 DSGVO zu verwenden. Informationen: resend.com/legal/privacy-policy und resend.com/legal/dpa.

8. Newsletter

Der Newsletter ist freiwillig und vom Bestell- oder Kundenkonto getrennt. Nach der Anmeldung senden wir eine Bestätigungsmail; erst der Klick aktiviert das Abonnement (Double-Opt-in). Gespeichert werden E-Mail-Adresse, optionaler Name, Einwilligungstext und -version sowie Zeitpunkte von Anmeldung, Bestätigung und Abmeldung. IP-Adresse und Browserkennung werden hierfür nicht dauerhaft gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über den Abmeldelink oder per Nachricht an uns widerrufen werden. Die Rechtmäßigkeit früherer Versendungen bleibt unberührt.

9. Lieferadressprüfung, OpenPLZ und Google-Dienste

Für Straßenvorschläge kann die serverseitige OpenPLZ API verwendet werden. Dabei werden Postleitzahl und Straßenbezeichnung, nicht aber Name, E-Mail oder Telefonnummer, an den Dienst übermittelt. Wenn ein Google-Maps-API-Schlüssel aktiviert ist, werden eingegebene Lieferadressen serverseitig an Google zur Geocodierung und Routenplanung übermittelt. Dies ist für die angebotene Lieferung und betriebliche Routenplanung erforderlich; Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO. Empfänger ist insbesondere Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Verarbeitung in Drittländern ist möglich. Informationen: policies.google.com/privacy.

10. Interaktive Google-Karte

Auf der Startseite wird die eingebettete Google-Karte nicht automatisch geladen. Erst mit Klick auf „Google Maps laden“ wird eine Verbindung zu Google hergestellt. Dabei können IP-Adresse, Browserdaten und Cookies oder ähnliche Technologien verarbeitet werden. Grundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit Endgerätezugriffe erfolgen, Paragraf 25 Abs. 1 TDDDG. Ohne Klick bleibt die Karte blockiert; Adresse und Routenlinks sind auch ohne eingebettete Karte nutzbar. Das Schließen verhindert weitere Aufrufe, kann eine bereits erfolgte Übertragung aber nicht rückgängig machen.

11. Cookies und Browser-Speicher

Wir setzen kein Analyse-, Marketing- oder Profiling-System ein. Für eingeloggte Nutzer wird das technisch notwendige Cookie „pera_session“ mit einem zufälligen Token gesetzt. Es ist HttpOnly, Secure auf der Live-Seite, SameSite=Lax und spätestens 30 Tage gültig. Warenkorb, Bestellpräferenzen und erst im geöffneten Checkout eingegebene Kontaktdaten werden ausschließlich im Sitzungsspeicher des Browsers abgelegt, spätestens nach vier Stunden verworfen und beim Schließen des Tabs gelöscht. Ein kurzer Sitzungsmarker verhindert lediglich, dass dieselbe Feedbackfrage im selben Tab wiederholt angezeigt wird. Diese Speicherungen sind für ausdrücklich gewünschte Funktionen erforderlich. Weil vor einer freiwilligen Aktion keine optionalen Cookies oder externen Medien geladen werden, ist kein allgemeines Cookie-Auswahlbanner vorgeschaltet.

12. Sicherheit und Missbrauchsschutz

Zum Schutz von Login, Registrierung, Bestellungen, Newsletter und Feedback begrenzen wir ungewöhnlich viele Anfragen. IP-Adresse, E-Mail oder Bestelltoken werden dafür vor der Speicherung mit einem geheimen Schlüssel in einen nicht direkt lesbaren Prüfwert umgewandelt. Die Prüfeinträge werden nach Ende des jeweiligen kurzen Zeitfensters gelöscht. Sitzungen und Einmal-Links werden nur als kryptografische Hashwerte gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

13. Empfänger und Drittlandübermittlungen

Zugriff erhalten nur zuständige Beschäftigte sowie technisch erforderliche Dienstleister, insbesondere Railway für Hosting, Resend für E-Mail, Stripe bei Onlinezahlung und Google bei aktiv genutzter Adress- oder Kartenfunktion. OpenPLZ erhält nur die für Adressvorschläge nötigen Orts- und Straßendaten. Bei Empfängern außerhalb des Europäischen Wirtschaftsraums verwenden wir, soweit erforderlich, einen Angemessenheitsbeschluss, das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln und prüfen ergänzende Schutzmaßnahmen.

14. Konkrete Lösch- und Aufbewahrungsfristen

• Nicht abgeschlossene Onlinezahlungs- und Bestellentwürfe: Löschung nach 2 Tagen.
• Öffentliche Bestellstatuslinks: höchstens 90 Tage; bei Kontolöschung sofort gesperrt.
• Personenbezogene Bestell-, Liefer- und Freitextdaten: grundsätzlich bis zum Ende der regelmäßigen zivilrechtlichen Verjährung, danach Anonymisierung; technisch erfolgt dies nach drei vollen Kalenderjahren.
• Anonymisierte Buchungs- und Bestelldaten: acht volle Kalenderjahre entsprechend den gesetzlichen Belegfristen; längere Speicherung nur bei konkreter gesetzlicher Pflicht oder laufendem Verfahren.
• Kundenkonto: bis zur Löschung durch den Nutzer; Gastprofile ohne Bestellung nach 30 Tagen, sonst nach Anonymisierung der zugehörigen Vorgänge.
• Login-Sitzungen: höchstens 30 Tage; abgelaufene Sitzungen werden bereinigt.
• Passwort-Zurücksetzungslink: 60 Minuten gültig; verbrauchte Einträge spätestens nach einem weiteren Tag.
• Versandprotokolle mit Empfängeradresse: 90 Tage.
• Freie Feedback-Kommentare und technische Auditprotokolle: höchstens ein Jahr.
• Interne Problemnotizen: höchstens drei volle Kalenderjahre, sofern kein konkreter Rechtsstreit eine längere Sperrung erfordert.
• Unbestätigte Newsletter-Anmeldungen: 30 Tage. Aktive Newsletterdaten: bis zum Widerruf. Nachweise einer Abmeldung: drei volle Kalenderjahre.
• Gesetzliche Fristen beginnen regelmäßig mit dem Ende des jeweiligen Kalenderjahres. Daten können ausnahmsweise länger gesperrt statt gelöscht werden, wenn Rechtsansprüche, behördliche Anordnungen oder zwingende Aufbewahrungspflichten dies erfordern.

15. Rechte betroffener Personen

Du hast nach Maßgabe der Art. 15 bis 21 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen. Zur Ausübung genügt eine Nachricht an kontakt@peragrill.de. Wir können einen angemessenen Identitätsnachweis verlangen, damit Daten nicht an Unbefugte herausgegeben oder gelöscht werden.

16. Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für Nordrhein-Westfalen ist insbesondere zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, Telefon +49 211 38424-0, E-Mail poststelle@ldi.nrw.de, www.ldi.nrw.de.

17. Keine ausschließlich automatisierte Entscheidung

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung und kein Profiling im Sinne des Art. 22 DSGVO statt. Einschränkungen einzelner Zahlungsarten beruhen auf einer manuellen betrieblichen Entscheidung; eine Onlinezahlung oder Kontaktaufnahme mit dem Restaurant bleibt möglich.

18. Stand und Änderungen

Stand: 11. August 2026. Wir passen diese Erklärung an, wenn sich Dienste, Datenflüsse oder Rechtslage wesentlich ändern.