Datenschutzerklärung
Stand: April 2026
1. Verantwortlicher
KHN Gastro GmbH
Geschäftsführer: Mustansar Ali
Lange Brücke 30, 99084 Erfurt
E-Mail: info@lahori-dhaba.de
Die Bestellplattform wird technisch über die Plattform Menüheld bereitgestellt (Auftragsverarbeiter gem. Art. 28 DSGVO).
2. Welche Daten wir erheben
a) Bei jeder Bestellung (auch ohne Kundenkonto):
- Name, E-Mail-Adresse, Telefonnummer
- Lieferadresse (bei Lieferung)
- Bestellinhalt, Bestellzeitpunkt, Zahlungsart
- Gerättyp (Mobil/Desktop) und Zeitstempel
b) Bei Erstellung eines Kundenkontos zusätzlich:
- Passwort (verschlüsselt gespeichert, niemals im Klartext)
- Treuepunkte-Stand, Bestellhistorie
- Gespeicherte Lieferadressen
c) Bei Nutzung der Website:
- Technisch notwendige Session-ID (Cookie „mh_session" bzw. „mh_customer")
- Warenkorb-Inhalt (lokal im Browser gespeichert)
- Seitenaufrufe und Interaktionen (z.B. Warenkorb-Aktionen, Checkout-Schritte) — anonymisiert, ohne IP-Adresse, ausschließlich zur Verbesserung des Bestellprozesses
d) Bei Reservierungen:
- Name, Telefonnummer, E-Mail-Adresse, Personenanzahl, Wunschtermin, Anmerkungen
3. Zweck der Datenverarbeitung
- Abwicklung deiner Bestellung und Lieferung (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung)
- Kommunikation: Bestellbestätigung, Lieferstatus, Reservierungsbestätigung per E-Mail und SMS (Art. 6 Abs. 1 lit. b DSGVO)
- Feedback-Anfrage nach Bestellung — zur Qualitätssicherung (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
- Treuepunkte und Rabattaktionen für Kundenkonten (Art. 6 Abs. 1 lit. b DSGVO)
- Verbesserung des Bestellprozesses durch anonymisierte Nutzungsanalyse (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
- Gesetzliche Aufbewahrungspflichten für Bestelldaten (Art. 6 Abs. 1 lit. c DSGVO)
4. Cookies und lokale Speicherung
Wir verwenden ausschließlich technisch notwendige Cookies:
| Cookie / Speicher | Zweck | Dauer |
|---|---|---|
| mh_session | Admin-Sitzung (Restaurantpersonal) | 30 Tage |
| mh_customer | Kunden-Sitzung (eingeloggtes Kundenkonto) | 60 Tage |
| localStorage: Warenkorb | Speichert den aktuellen Warenkorb | Bis manuell gelöscht |
| localStorage: Session-ID | Anonyme Sitzungs-ID für Nutzungsanalyse | 30 Minuten |
Es werden KEINE Werbe-Cookies, Tracking-Pixel oder Analyse-Tools von Drittanbietern (wie Google Analytics, Facebook Pixel o.ä.) eingesetzt. Ein Cookie-Consent-Banner ist daher nicht erforderlich (§ 25 Abs. 2 TDDDG — technisch notwendige Cookies sind einwilligungsfrei).
5. Drittanbieter und Datenübermittlung
Folgende Dienstleister verarbeiten Daten in unserem Auftrag:
a) Stripe Inc. (Zahlung)
- Zweck: Abwicklung von Online-Zahlungen
- Daten: Zahlungsdaten (Kreditkarte/Debitkarte) werden direkt an Stripe übermittelt. Wir speichern KEINE Kartennummern auf unserem Server.
- Sitz: USA, zertifiziert nach PCI-DSS, Datenverarbeitung auf Basis von Standardvertragsklauseln (SCCs)
- Datenschutz: https://stripe.com/de/privacy
b) Resend Inc. (E-Mail-Versand)
- Zweck: Versand von Bestellbestätigungen, Reservierungsmails, Feedback-Anfragen
- Daten: E-Mail-Adresse, Name, Bestellnummer
- Zustellstatus (zugestellt/geöffnet) wird zur Fehlerbehebung protokolliert
- Datenschutz: https://resend.com/legal/privacy-policy
c) Twilio Inc. (SMS-Versand)
- Zweck: SMS-Bestätigung und -Erinnerung bei Reservierungen (nur wenn vom Restaurant aktiviert)
- Daten: Telefonnummer, Reservierungsdetails
- Sitz: USA, Standardvertragsklauseln
- Datenschutz: https://www.twilio.com/legal/privacy
d) Google (Maps-Autovervollständigung)
- Zweck: Adresseingabe bei Lieferbestellungen
- Daten: Eingegebene Adresse wird an Google Places API übermittelt
- Datenschutz: https://policies.google.com/privacy
e) Google OAuth (optionale Anmeldung)
- Zweck: Registrierung/Anmeldung per Google-Konto (freiwillig)
- Daten: E-Mail-Adresse und Name aus dem Google-Profil
- Datenschutz: https://policies.google.com/privacy
f) Cloudflare (Bildspeicherung)
- Zweck: Speicherung von Produktbildern und Logos
- Daten: Keine personenbezogenen Daten — ausschließlich Bilddateien
- Datenschutz: https://www.cloudflare.com/privacypolicy/
g) Hetzner Online GmbH (Hosting)
- Zweck: Server-Hosting der gesamten Plattform
- Sitz: Deutschland (Rechenzentrum in Deutschland)
- Daten: Alle oben genannten Daten werden auf Hetzner-Servern in Deutschland gespeichert
- Datenschutz: https://www.hetzner.com/legal/privacy-policy
6. Speicherdauer
- Bestelldaten: 10 Jahre (gesetzliche Aufbewahrungspflicht gem. § 147 AO, § 257 HGB)
- Kundenkonto-Daten: Bis zur Löschung des Kontos durch den Kunden
- E-Mail-Versandprotokolle: 90 Tage
- Nutzungsanalyse-Events: 365 Tage
- Reservierungsdaten: 12 Monate nach Termin
- Session-Cookies: Siehe Tabelle unter Punkt 4
7. Deine Rechte (Art. 15–21 DSGVO)
Du hast jederzeit das Recht auf:
- Auskunft über deine gespeicherten Daten (Art. 15)
- Berichtigung unrichtiger Daten (Art. 16)
- Löschung deiner Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit — Export deiner Daten in maschinenlesbarem Format (Art. 20)
- Widerspruch gegen die Verarbeitung, insbesondere gegen Direktwerbung (Art. 21)
Zur Ausübung deiner Rechte genügt eine E-Mail an: info@lahori-dhaba.de
Du hast außerdem das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren:
Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit
Häßlerstraße 8, 99096 Erfurt
https://www.tlfdi.de
8. Datensicherheit
Alle Daten werden verschlüsselt übertragen (TLS/HTTPS). Passwörter werden mit dem scrypt-Algorithmus gehasht und niemals im Klartext gespeichert. Der Server befindet sich in einem deutschen Rechenzentrum (Hetzner, Nürnberg) und wird regelmäßig aktualisiert.
9. Änderungen
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslage oder Änderungen der Plattform anzupassen. Die aktuelle Version ist immer über den Link „Datenschutz" im Footer der Bestellseite erreichbar.