Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung (Titolare del Trattamento) ist:

Garberstub KG des Kuen Josef
Peter-Mitterhofer-Straße 7
39020 Partschins (BZ), Italien
E-Mail: info@mittagsbox.it
MwSt.-Nr.: IT02622350219

2. Welche Daten wir verarbeiten

• Stammdaten (Firmenkunden & Mitarbeiter): Firmenname, Vor-/Nachname, Benutzername, gehashtes Passwort, E-Mail-Adresse
• Bestellhistorie: bestellte Gerichte, Mengen, Lieferdatum, Preis, Notizen
• Server-Logs: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung (max. 30 Tage)
• Interne Seitenstatistik: aufgerufene Seite, Land, aktive Dauer und tägliche Besuchsschätzung. Vollständige IP-Adresse, User-Agent und Referrer werden in der Statistik nicht gespeichert.
• Audit-Log: sicherheitsrelevante Aktionen (Login, Änderungen am Konto)

3. Zweck der Verarbeitung

• Abwicklung der Essensbestellungen (Vertrag)
• Allergen-Kennzeichnung gem. EU-Verordnung 1169/2011
• Bestellerinnerungen per E-Mail (berechtigtes Interesse, jederzeit abbestellbar)
• Buchhalterische Aufbewahrung (gesetzliche Pflicht, 10 Jahre)
• IT-Sicherheit & Missbrauchsprävention
• Aggregierte Statistik zur Verbesserung von Inhalt und Bedienbarkeit unserer eigenen Webseite

4. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, z.B. Steuerrecht)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit, Reminder-Mails und aggregierte Statistik der eigenen Webseite einschließlich der Gerätestatistik im Kundenbereich)

5. Speicherdauer

• Konto-Daten: bis zur Löschung des Accounts
• Bestelldaten: 10 Jahre (gesetzliche Aufbewahrungspflicht, Art. 2220 ital. Zivilgesetzbuch)
• Server-Logs: max. 30 Tage
• Detailwerte der internen Seitenstatistik: max. 30 Tage
• Zählerstände der Gerätestatistik (Kundenbereich): max. 90 Tage ab Beginn der Messung
• Audit-Log: 1 Jahr

6. Empfänger & Auftragsverarbeiter

Wir geben Ihre Daten nicht zu Werbezwecken weiter. Folgende Dienstleister verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO – Auftragsverarbeitung):

• Hetzner Online GmbH (Deutschland) – Server-Hosting
• E-Mail-Versand: SMTP-Anbieter für Bestellerinnerungen (auf Anfrage genannt)

7. Externe Ressourcen & Drittland-Übermittlung

Stylesheets, Symbole und Schriften werden lokal von unserem Server ausgeliefert. Nur beim Öffnen der Karte auf der Kontaktseite wird eine Verbindung zu folgendem Anbieter hergestellt:

• OpenStreetMap Foundation (UK) – eingebettete Karte auf der Kontakt-Seite. Datenschutzhinweise: osmfoundation.org/wiki/Privacy_Policy

Für die Länderzuordnung verwenden wir eine lokale Kopie der DB-IP Country Lite-Datenbank. Während eines Besuchs erfolgt keine Anfrage an DB-IP und es wird keine IP-Adresse an DB-IP übertragen. IP Geolocation by DB-IP.

8. Cookies

Wir verwenden ausschließlich technisch notwendige bzw. diesen gleichgestellte Cookies (reine Statistik der eigenen Webseite, vgl. Leitlinien des Garante vom 10.06.2021), für die nach § 25 Abs. 2 TDDDG / Art. 122 ital. Datenschutzkodex kein Consent erforderlich ist:

Cookie	Zweck	Dauer
mittagsbox_session	Login-Sitzung, Sprachpräferenz und CSRF-Schutz; während einer Gerätestatistik zusätzlich der Vermerk „bereits gezählt“	8 Stunden

Es kommen keine Tracking-, Analyse- oder Werbe-Cookies zum Einsatz. Kein Google Analytics, Facebook Pixel oder Vergleichbares.

9. Interne Reichweitenmessung ohne Analyse-Cookies

Wir messen ausschließlich die zusammengefasste Nutzung unserer eigenen Webseite. Dabei verwenden wir keine Analyse-Cookies, kein localStorage/sessionStorage, kein dauerhaftes Geräte-Fingerprinting und keinen externen Analysedienst. Für jede Seite wird eine zufällige, kurzlebige Kennung erzeugt, die nur zur Schätzung der aktiven Dauer dieser einzelnen Seite dient. Sie wird nicht auf dem Gerät gespeichert und ermöglicht keine Wiedererkennung bei einem späteren Besuch.

Zur Schätzung der Besuche erzeugt der Server aus einem grob gekürzten IP-Netz und einer sehr allgemeinen Browserklasse einen täglich wechselnden Hash. Besuche verschiedener Tage können nicht miteinander verbunden werden. Die IP-Adresse wird zur Länderbestimmung nur kurz im Arbeitsspeicher verarbeitet und danach verworfen. Städte oder genaue Standorte werden nicht erfasst. Do Not Track und Global Privacy Control werden respektiert.

Im Kundenbereich (nur für angemeldete Kunden) führen wir gelegentlich eine auf höchstens sieben Tage befristete Gerätestatistik durch, um die Seiten besser an die tatsächlich genutzten Bildschirme anzupassen. Während einer solchen Messung übermittelt Ihr Browser einmal pro Anmeldung an unseren eigenen Server: Breite und Höhe des Browserfensters, ob ein Touchscreen genutzt wird, ob der Dunkelmodus aktiv ist und ob die Schrift vergrößert eingestellt ist. Der Server ordnet diese Angaben sofort groben Stufen zu (z. B. „Handy, 361–400 px“) und erhöht nur die zugehörigen Zähler; die genauen Werte werden verworfen. Zusammen mit den Zählern werden weder Ihr Kundenkonto noch Ihre IP-Adresse oder Browserkennung gespeichert, und es wird kein Geräte-Fingerabdruck gebildet. Damit nicht doppelt gezählt wird, vermerkt das bestehende Sitzungs-Cookie „mittagsbox_session“ für die Dauer der Anmeldung lediglich, dass die Meldung bereits erfolgt ist; ein weiteres Cookie oder localStorage/sessionStorage wird nicht verwendet. Die Zählerstände sind keiner Person zugeordnet, werden nicht an Dritte weitergegeben und spätestens 90 Tage nach Beginn der Messung gelöscht. Sendet Ihr Browser Do Not Track oder Global Privacy Control, findet keine Übermittlung statt.

10. Ihre Rechte

Sie haben gem. Art. 15–22 DSGVO das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten
• Berichtigung unrichtiger Daten
• Löschung Ihrer Daten (sofern keine gesetzliche Aufbewahrungspflicht besteht)
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen die Verarbeitung
• Widerruf erteilter Einwilligungen (mit Wirkung für die Zukunft)

Bitte richten Sie Anfragen an: info@mittagsbox.it

11. Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständige Behörde in Italien:

Garante per la protezione dei dati personali
Piazza Venezia 11
00187 Roma, Italien
Webseite: garanteprivacy.it

12. Datensicherheit

• Verbindung verschlüsselt via TLS/HTTPS
• Passwörter werden ausschließlich gehasht gespeichert (Werkzeug PBKDF2)
• Rate-Limit gegen Brute-Force-Login-Versuche
• CSRF-Schutz, Content-Security-Policy, tägliche Backups

Diese Datenschutzerklärung wird bei Anpassungen der verwendeten Technologien aktualisiert. Stand der Erklärung: Juli 2026.