Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung (Titolare del Trattamento) ist:

Garberstub KG des Kuen Josef
Peter-Mitterhofer-Straße 7
39020 Partschins (BZ), Italien
E-Mail: info@mittagsbox.it
MwSt.-Nr.: IT02622350219

2. Welche Daten wir verarbeiten

• Stammdaten (Firmenkunden & Mitarbeiter): Firmenname, Vor-/Nachname, Benutzername, gehashtes Passwort, E-Mail-Adresse
• Bestellhistorie: bestellte Gerichte, Mengen, Lieferdatum, Preis, Notizen
• Server-Logs: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung (max. 30 Tage)
• Interne Seitenstatistik: aufgerufene Seite, Land, aktive Dauer und tägliche Besuchsschätzung. Vollständige IP-Adresse, User-Agent und Referrer werden in der Statistik nicht gespeichert.
• Audit-Log: sicherheitsrelevante Aktionen (Login, Änderungen am Konto)

3. Zweck der Verarbeitung

• Abwicklung der Essensbestellungen (Vertrag)
• Allergen-Kennzeichnung gem. EU-Verordnung 1169/2011
• Bestellerinnerungen per E-Mail (berechtigtes Interesse, jederzeit abbestellbar)
• Buchhalterische Aufbewahrung (gesetzliche Pflicht, 10 Jahre)
• IT-Sicherheit & Missbrauchsprävention
• Aggregierte Statistik zur Verbesserung von Inhalt und Bedienbarkeit unserer eigenen Webseite

4. Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, z.B. Steuerrecht)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: IT-Sicherheit, Reminder-Mails und aggregierte Statistik der eigenen Webseite)

5. Speicherdauer

• Konto-Daten: bis zur Löschung des Accounts
• Bestelldaten: 10 Jahre (gesetzliche Aufbewahrungspflicht, Art. 2220 ital. Zivilgesetzbuch)
• Server-Logs: max. 30 Tage
• Detailwerte der internen Seitenstatistik: max. 30 Tage
• Audit-Log: 1 Jahr

6. Empfänger & Auftragsverarbeiter

Wir geben Ihre Daten nicht zu Werbezwecken weiter. Folgende Dienstleister verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO – Auftragsverarbeitung):

• Hetzner Online GmbH (Deutschland) – Server-Hosting
• E-Mail-Versand: SMTP-Anbieter für Bestellerinnerungen (auf Anfrage genannt)

7. Externe Ressourcen & Drittland-Übermittlung

Stylesheets, Symbole und Schriften werden lokal von unserem Server ausgeliefert. Nur beim Öffnen der Karte auf der Kontaktseite wird eine Verbindung zu folgendem Anbieter hergestellt:

• OpenStreetMap Foundation (UK) – eingebettete Karte auf der Kontakt-Seite. Datenschutzhinweise: osmfoundation.org/wiki/Privacy_Policy

Für die Länderzuordnung verwenden wir eine lokale Kopie der DB-IP Country Lite-Datenbank. Während eines Besuchs erfolgt keine Anfrage an DB-IP und es wird keine IP-Adresse an DB-IP übertragen. IP Geolocation by DB-IP.

8. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies, für die nach § 25 Abs. 2 TTDSG / Art. 122 ital. Datenschutzkodex kein Consent erforderlich ist:

Cookie	Zweck	Dauer
mittagsbox_session	Login-Sitzung, Sprachpräferenz und CSRF-Schutz	8 Stunden

Es kommen keine Tracking-, Analyse- oder Werbe-Cookies zum Einsatz. Kein Google Analytics, Facebook Pixel oder Vergleichbares.

9. Interne Reichweitenmessung ohne Analyse-Cookies

Wir messen ausschließlich die zusammengefasste Nutzung unserer eigenen Webseite. Dabei verwenden wir keine Analyse-Cookies, kein localStorage/sessionStorage, kein dauerhaftes Geräte-Fingerprinting und keinen externen Analysedienst. Für jede Seite wird eine zufällige, kurzlebige Kennung erzeugt, die nur zur Schätzung der aktiven Dauer dieser einzelnen Seite dient. Sie wird nicht auf dem Gerät gespeichert und ermöglicht keine Wiedererkennung bei einem späteren Besuch.

Zur Schätzung der Besuche erzeugt der Server aus einem grob gekürzten IP-Netz und einer sehr allgemeinen Browserklasse einen täglich wechselnden Hash. Besuche verschiedener Tage können nicht miteinander verbunden werden. Die IP-Adresse wird zur Länderbestimmung nur kurz im Arbeitsspeicher verarbeitet und danach verworfen. Städte oder genaue Standorte werden nicht erfasst. Do Not Track und Global Privacy Control werden respektiert.

10. Ihre Rechte

Sie haben gem. Art. 15–22 DSGVO das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten
• Berichtigung unrichtiger Daten
• Löschung Ihrer Daten (sofern keine gesetzliche Aufbewahrungspflicht besteht)
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch gegen die Verarbeitung
• Widerruf erteilter Einwilligungen (mit Wirkung für die Zukunft)

Bitte richten Sie Anfragen an: info@mittagsbox.it

11. Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständige Behörde in Italien:

Garante per la protezione dei dati personali
Piazza Venezia 11
00187 Roma, Italien
Webseite: garanteprivacy.it

12. Datensicherheit

• Verbindung verschlüsselt via TLS/HTTPS
• Passwörter werden ausschließlich gehasht gespeichert (Werkzeug PBKDF2)
• Rate-Limit gegen Brute-Force-Login-Versuche
• CSRF-Schutz, Content-Security-Policy, tägliche Backups

Diese Datenschutzerklärung wird bei Anpassungen der verwendeten Technologien aktualisiert. Stand der Erklärung: Juli 2026.