Datenschutzerklärung

Der Schutz personenbezogener Daten ist uns wichtig. Wir verarbeiten Daten nur, soweit es zur Bestellabwicklung erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Diese Erklärung informiert Sie nach Artikel 13 DSGVO darüber, welche Daten wir wann, wozu und auf welcher Rechtsgrundlage verarbeiten.

1. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten im Sinne der DSGVO ist:

La Luna Moers
Germendonks Kamp 37
47443Moers, DE
Vertreten durch: Ali Bakri
E-Mail: laluna.service@outlook.de
Telefon: 02841/537676

2. Auftragsverarbeitung

Der Online-Bestellprozess wird auf der Thunderhub-Plattform bereitgestellt, betrieben von der clouddish UG (haftungsbeschränkt), Schultenweg 35, 45279 Essen. Die Plattformbetreiberin handelt dabei als Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Ein Vertrag zur Auftragsverarbeitung (AVV) liegt zwischen La Luna Moers und der Plattformbetreiberin vor.

3. Welche Daten verarbeiten wir?

Bei einer Bestellung erheben wir die folgenden personenbezogenen Daten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer
• Lieferadresse (bei Lieferbestellungen): Straße, Hausnummer, Postleitzahl, Stadt, optional Lieferhinweis (Etage, Hinterhof o.ä.)
• Bestelldaten: ausgewählte Speisen, Konfigurationen, Bestellzeitpunkt, Bestellsumme
• Zahlungsbezogene Daten: bei Online-Zahlung übermitteln Sie Ihre Zahlungsdaten direkt an unseren Zahlungsdienstleister (Stripe Payments Europe Ltd., siehe §6). Wir erhalten von Stripe lediglich Bestätigungs-Metadaten (Zahlungs-ID, Methode, Betrag) — keine vollständigen Karteninformationen.

4. Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt zur Erfüllung des Bestellvertrages (Art. 6 Abs. 1 lit. b DSGVO). Ohne diese Daten können wir Ihre Bestellung nicht annehmen, zubereiten oder ausliefern.

Für gesetzlich vorgeschriebene Aufbewahrungsfristen (z.B. § 257 HGB, § 147 AO) ist die Verarbeitung auf Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) gestützt.

5. Speicherdauer

Wir speichern Ihre Bestelldaten für die Dauer der Vertragsabwicklung sowie für die Dauer gesetzlicher Aufbewahrungspflichten (in der Regel 10 Jahre nach § 147 AO für steuerlich relevante Belege). Nach Ablauf dieser Fristen werden die Daten gelöscht.

6. Empfänger der Daten

Die Verarbeitung Ihrer Bestelldaten erfolgt durch folgende Auftragsverarbeiter (Art. 28 DSGVO) im Auftrag des Verantwortlichen:

• Cloudflare (EU-Edge-Netzwerk) — hostet den Webshop (Cloudflare Pages) und die Bestell-API (Cloudflare Workers). Verarbeitet Verbindungsmetadaten und leitet Bestellanfragen weiter. Anbieter: Cloudflare Germany GmbH, Rosental 7, 80331 München; Mutterunternehmen Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. EU-US Data Privacy Framework zertifiziert.
• Supabase (PostgreSQL-Datenbank, EU-Region Frankfurt) — speichert die Bestelldaten dauerhaft. Anbieter: Supabase Inc., 970 Toa Payoh North, Singapore. EU-Hosting via AWS Frankfurt (eu-central-1). Datenverarbeitung erfolgt ausschließlich in der EU; mit Supabase Inc. bestehen Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO als Grundlage für etwaige Drittland-Übermittlungen.
• Zustelldienstleister, sofern Sie eine Lieferung wählen — entweder eigene Mitarbeiter des Restaurants oder beauftragte Logistik-Partner. Übermittelt werden ausschließlich die für die Zustellung notwendigen Daten (Name, Adresse, Telefon, Bestellinhalt).
• Stripe Payments Europe Ltd. (Zahlungsabwicklung) — Zweck: Abwicklung von Online-Zahlungen sowie zahlungsbezogene Betrugsprävention. Anbieter: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Datenverarbeitung primär in der EU; bei konzerninterner Übermittlung an Stripe, Inc. (USA) greifen Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO sowie das EU-US Data Privacy Framework. Kartendaten werden in einem von Stripe gestellten iframe direkt zu Stripe übermittelt und berühren unsere Server nicht (PCI-DSS-Scope SAQ-A). Speicherdauer auf Stripe-Seite: nach den Vorgaben des Zahlungsdiensterechts (in der Regel 10 Jahre) zur Erfüllung aufsichtsrechtlicher Aufbewahrungspflichten. Datenschutzerklärung Stripe: stripe.com/de/privacy . Hinweis: Stripe verarbeitet einen Teil der Daten (z. B. zur Betrugsprävention sowie zur Erfüllung eigener gesetzlicher Pflichten nach Zahlungsdiensterecht) als eigenständiger Verantwortlicher; im Übrigen als Auftragsverarbeiter im Auftrag des Verantwortlichen.
• Mailjet GmbH (E-Mail-Versand) — versendet in unserem Auftrag die transaktionalen Bestell-Statusmeldungen (Bestellbestätigung, Bestellung unterwegs, abholbereit, Stornierung) an die von Ihnen angegebene E-Mail-Adresse. Übermittelt werden dabei ausschließlich Ihre E-Mail-Adresse, Ihr Name, die Bestellnummer, der Restaurantname, die Bestellsumme sowie ein signierter Link zur Bestellverfolgung — keine Lieferadresse, keine Telefonnummer, keine Bestellpositionen. Diese E-Mails enthalten kein Öffnungs- oder Klick-Tracking (keine Zählpixel, keine zu Trackingzwecken umgeschriebenen Links) und dienen keiner Profilbildung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Anbieter: Mailjet GmbH, Alt Moabit 2, 10557 Berlin, Deutschland (Teil der Sinch-Gruppe). Die Verarbeitung erfolgt in der EU; für etwaige konzerninterne Übermittlungen innerhalb der Sinch-Gruppe an Drittländer greifen Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO.
• Bei Bestellung über Drittplattformen wie Lieferando, Wolt oder Uber Eats sind diese eigenständige Verantwortliche (nicht unsere Auftragsverarbeiter). Es gelten deren jeweilige Datenschutzbestimmungen.

Mit allen Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Eine darüber hinausgehende Weitergabe an Dritte erfolgt nur, soweit dies zur Vertragserfüllung notwendig oder gesetzlich vorgeschrieben ist.

Zukünftige Auftragsverarbeiter (sobald aktiviert): Sentry (technisches Logging, mit PII-Redaktion). Bei deren Aktivierung wird diese Erklärung entsprechend ergänzt (Verschiebung in die Liste der aktiven Auftragsverarbeiter samt exakter Firmierung).

7. Cookies und Tracking

Wir setzen auf dieser Website keine Tracking-Cookies und keine Analyse-Cookies. Es findet keine Profilbildung statt.

Es werden ausschließlich technisch notwendige Cookies gesetzt (§ 25 Abs. 2 Nr. 2 TTDSG, Art. 6 Abs. 1 lit. b DSGVO i.V.m. Art. 6 Abs. 1 lit. f DSGVO):

• __cf_bm — Cookie des Content-Delivery-Network- Anbieters Cloudflare. Dient ausschließlich dem Bot-Management und damit der Sicherheit der Website. Enthält keine personenbezogenen Profile. Speicherdauer: 30 Minuten.
• th_track_<Bestellnummer> — Wird gesetzt, sobald Sie eine Bestellung absenden. Enthält ausschließlich einen kryptographisch signierten Verweis auf Ihre konkrete Bestellung (keine personenbezogenen Inhalte, keine Profilbildung) und ermöglicht Ihnen, den Bestellstatus auf der Seite /orders/<Bestellnummer> einzusehen. Das Cookie ist HttpOnly (für JavaScript nicht lesbar) und auf den eigenen Webshop beschränkt. Speicherdauer: 7 Tage ab Bestellung. Anschließend können Auskünfte zur Bestellung weiterhin über den Verantwortlichen (siehe Abschnitt 1) eingeholt werden.

8. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Wenden Sie sich zur Wahrnehmung Ihrer Rechte bitte an laluna.service@outlook.de.

9. Beschwerderecht

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO).