Datenschutzerklärung
Stand: 28. Oktober 2026
Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir bei der Nutzung von Click'n'Eat (Website clickneat.at und die dahinterliegende Web-App) verarbeiten, wofür, wie lange, und welche Rechte du dabei hast. Wir verwenden dabei „wir“ für den unten genannten Verantwortlichen. Wir geben deine Daten nicht an Dritte weiter, nutzen sie nicht für Werbung und verkaufen sie nicht; die verwendeten Dienstleister sind in Abschnitt 8 aufgelistet.
1. Wer ist verantwortlich
Verantwortlich für die Datenverarbeitung ist:
Sebastian Gammer, Einzelunternehmer, handelnd unter „Click'n'Eat“Obere Dorfstraße 5, 4533 Piberbach, Österreich
E-Mail: team@clickneat.at
Bei Fragen zu deinen Daten ist die oben genannte E-Mail-Adresse die richtige Anlaufstelle.
2. Auf einen Blick: Welche Daten wir verarbeiten und warum
| Wenn du … | verarbeiten wir … | Rechtsgrundlage |
|---|---|---|
| ein Konto anlegst und dich einloggst | Name, E-Mail-Adresse, Passwort, Altersbestätigung, Kenntnisnahme der Datenschutzerklärung, die Schule, zu der dein Konto gehört | Vertragserfüllung |
| eine Bestellung aufgibst | Bestellinhalt, Abholtag, Abholzeit, Bestellcode, optional eine kurze Anmerkung | Vertragserfüllung |
| als Buffet-Betrieb bei uns registriert bist | Name, E-Mail als Ansprechperson | Vertragserfüllung |
| uns kontaktierst | deine Nachricht samt Absenderadresse | Vertragserfüllung / berechtigtes Interesse |
| die Website oder App nutzt | technisch notwendige Verbindungsdaten (z. B. für den Login-Cookie), Server-Logs bei unseren Hosting-Anbietern | berechtigtes Interesse (Betrieb und Sicherheit) |
| die Website oder App aufrufst | eine anonyme Reichweiten-Statistik (ohne Cookies, ohne dauerhafte Wiedererkennung deiner Person) | berechtigtes Interesse (bedarfsgerechte Gestaltung) |
| über den Link in einer Instagram-Story deines Buffets bestellst | eine Zählung „Bestellung über die Instagram-Story“ ohne Bestellinhalt, Namen oder Bestellcode; dafür werden IP-Adresse und Browser-Kennung kurz an die Reichweitenmessung übermittelt | berechtigtes Interesse (Wirksamkeit der Story messen) |
| dich anmeldest, registrierst, dein Passwort zurücksetzt oder bestimmte andere Aktionen ausführst (z. B. bestellen) | einen kurzlebigen, pseudonymisierten Zähler zum Schutz vor automatisierten Angriffen | berechtigtes Interesse (Sicherheit) |
| dich anmeldest oder dein Passwort zurücksetzt | eine automatische Sicherheitsprüfung, ob eine echte Person und kein Bot anfragt (IP-Adresse, technische Geräte-/Browser-Signale) | berechtigtes Interesse (Sicherheit) |
„Vertragserfüllung“ bedeutet: Die Verarbeitung ist zur Erbringung der Leistung erforderlich. „Berechtigtes Interesse“ bedeutet: Wir verfolgen einen nachvollziehbaren, begründeten Zweck (z. B. Sicherheit), der deine Interessen und Rechte nicht überwiegt.
Details zu jeder dieser Kategorien findest du in den folgenden Abschnitten.
3. Dein Konto
Um bei Click'n'Eat etwas zu bestellen, brauchst du ein eigenes Konto.
Welche Daten: Name, E-Mail-Adresse, ein sicher gehashtes Passwort (wir sehen dein Passwort selbst nie im Klartext), die Schule, bei der du dich registrierst (ein Konto gehört zu genau einer Schule), die Angabe, wann und in welcher Fassung du die Datenschutzerklärung zur Kenntnis genommen hast, sowie die Bestätigung „Ich bin mindestens 14 Jahre alt“ mit Zeitstempel. Ein Geburtsdatum speichern wir nicht — nur diese Ja/Nein-Angabe.
Warum: Ohne Konto keine Bestellfunktion — die Verarbeitung ist zur Erfüllung des Nutzungsvertrags zwischen dir und uns notwendig (Art. 6 Abs. 1 lit. b DSGVO). Die Angabe von Name, E-Mail-Adresse und Altersbestätigung ist Voraussetzung für die Kontoeröffnung: Ohne diese Daten können wir dir keinen Zugang zur Bestellfunktion einrichten.
Altersgrenze: Click'n'Eat richtet sich an Schüler:innen ab 14 Jahren. Ab 14 Jahren kannst du in Österreich selbst entscheiden, ob du einen Online-Dienst wie Click'n'Eat nutzt (§ 4 Abs. 4 Datenschutzgesetz), ohne dass deine Eltern zusätzlich zustimmen müssen. Dass du in diesem Alter auch den Bestellvertrag selbst wirksam abschließen kannst, ergibt sich zusätzlich aus § 170 Abs. 3 ABGB, der altersübliche, geringfügige Alltagsgeschäfte wie den Kauf von Essen erlaubt. Für Kinder unter 14 Jahren gibt es aktuell keine Möglichkeit, ein Konto anzulegen — auch nicht mit Zustimmung der Eltern; dieser Fall ist derzeit technisch nicht vorgesehen. Die Altersbestätigung ist eine Angabe von dir selbst; eine zusätzliche Prüfung (z. B. per Ausweis) findet nicht statt.
Hinweis für Eltern: Wenn du der Ansicht bist, dass ein Kind unter 14 Jahren entgegen dieser Vorgabe ein Konto angelegt hat, wende dich bitte an team@clickneat.at — wir prüfen den Fall und löschen das Konto gegebenenfalls.
Wie lange wir deine Kontodaten speichern: Solange dein Konto aktiv ist. Loggst du dich 24 Monate lang nicht ein, löschen wir dein Konto automatisch; 30 Tage vorher erhältst du eine Erinnerungs-E-Mail, mit der sich das durch ein erneutes Einloggen verhindern lässt. Du kannst dein Konto außerdem selbst löschen — in den Kontoeinstellungen, oder formlos per E-Mail an team@clickneat.at. Solange du noch offene Vorbestellungen hast, ist das Löschen in den Kontoeinstellungen gesperrt: Bis zur Abholung brauchen wir deine Daten, um die Bestellung abzuwickeln (Art. 6 Abs. 1 lit. b DSGVO). Sobald keine Vorbestellung mehr offen ist, geht es wieder. Schreibst du uns in dieser Zeit eine E-Mail, löschen wir dein Konto, sobald deine letzte offene Vorbestellung abgeholt oder ihr Abholtag vorbei ist.
4. Deine Bestellungen
Welche Daten: was du bestellt hast, an welchem Tag und zu welcher Uhrzeit du es abholst, sowie ein Bestellcode, den du am Buffet vorzeigst. Optional kannst du deiner Bestellung eine kurze Anmerkung mitgeben (z. B. bei einem Sonderwunsch). Das Anmerkungsfeld ist freiwillig und in der Länge begrenzt; bitte trage dort keine Gesundheits- oder sonstigen besonders sensiblen Angaben ein — dafür ist es nicht vorgesehen.
Warum: Auch das ist zur Erfüllung des Bestellvertrags zwischen dir und dem Buffet notwendig, den wir technisch abwickeln (Art. 6 Abs. 1 lit. b DSGVO). Wir bewahren Bestellungen für einen begrenzten Zeitraum über die Abholung hinaus auf: zur Klärung von Reklamationen (z. B. bei einer falschen oder fehlenden Bestellung) und, ohne Personenbezug, für die Planung des Buffet-Betriebs (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse).
Wie lange: Der Personenbezug einer Bestellung (also die Verknüpfung zu dir) wird 90 Tage nach dem Abholtermin automatisch entfernt. Was danach bleibt, sind anonyme Kennzahlen ohne Bezug zu einer Person. Löschst du dein Konto, werden deine Bestellungen sofort anonymisiert — unabhängig von den 90 Tagen.
Zur Bestellung speichern wir außerdem einen Bearbeitungsvermerk (ob und wann die Bestellung am Buffet ausgegeben wurde), damit das Buffet-Personal den Ausgabestatus intern nachvollziehen kann (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem geordneten Ausgabebetrieb). Für die Ausgabe am Buffet kann die Bestellübersicht außerdem als Papierausdruck verwendet werden. Ausdrucke werden zeitnah nach der Abholung vernichtet; die genaue Frist legen wir im Vertrag mit dem jeweiligen Buffet-Betrieb fest.
Empfänger: Deine Bestellung wird ausschließlich dir selbst und dem Buffet, bei dem du bestellst, angezeigt. Das Buffet sieht in seiner Bestellübersicht den Bestellinhalt, die Abholzeit, den Bestellcode, deinen Vor- und Nachnamen und eine ggf. von dir hinterlassene Anmerkung — Letzteres, damit das Buffet-Personal deine Bestellung bei der Abholung zuordnen und dich ansprechen kann sowie bei Rückfragen oder Reklamationen weiß, um wessen Bestellung es geht (Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung, ergänzend lit. f für die reibungslose Ausgabe). Weitere Angaben aus deinem Konto — insbesondere deine E-Mail-Adresse und deine Altersbestätigung — bekommt das Buffet nicht. Das Buffet sieht ausschließlich Bestellungen des eigenen Standorts. Sobald der Personenbezug einer Bestellung entfernt wird (siehe „Wie lange“), verschwindet auch dein Name aus der Bestellübersicht des Buffets.
Der Buffet-Betrieb verarbeitet deinen Namen und die Bestelldaten für seine eigenen Zwecke (Zubereitung, Ausgabe, eigene betriebliche und steuerliche Aufzeichnungen) und ist insofern datenschutzrechtlich eigenverantwortlich — er handelt nicht in unserem Auftrag (kein Auftragsverarbeiter, siehe Abschnitt 8).
5. Wenn du ein Buffet betreibst
Für Ansprechpersonen von Buffet-Betrieben (nicht für Kund:innen als Besteller:innen) gilt zusätzlich:
Welche Daten: Name und E-Mail-Adresse als Ansprechperson, sowie die von dir gepflegten Speisekarten-, Preis- und Öffnungszeiteninformationen deines Buffets.
Story-Bild für Instagram: Aus deinem Wochenplan kannst du im Buffet-Bereich ein Bild für eine Instagram-Story erzeugen. Es enthält nur Angaben aus deiner Speisekarte (Gerichte, Preise und die Tage, an denen noch bestellt werden kann), keine Daten von Besteller:innen, und wird bei uns nicht gespeichert. Das Bild teilst du selbst über das Teilen-Menü deines Handys auf Instagram; wir übermitteln dabei nichts an Instagram bzw. Meta. Für die Veröffentlichung auf deinem Instagram-Account bist du selbst verantwortlich.
Warum: Zur Erfüllung des Vertrags zwischen dem Buffet-Betrieb und Click'n'Eat (Art. 6 Abs. 1 lit. b DSGVO) bzw. unseres berechtigten Interesses an der Vertragsabwicklung (lit. f).
Wie lange: Solange der Vertrag läuft. Endet der Vertrag, wird der Zugang deaktiviert (kein Login mehr möglich); wir bewahren die Daten danach noch 7 Jahre auf, weil das der gesetzlichen Aufbewahrungspflicht für geschäftliche Unterlagen entspricht (§ 132 Bundesabgabenordnung).
6. Wenn du uns kontaktierst
Schreibst du uns eine E-Mail, verarbeiten wir deine Nachricht samt Absenderadresse, um sie zu beantworten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Unsere Geschäftspostfächer werden über den E-Mail-Anbieter Zoho Mail betrieben (siehe Abschnitt 8). Wir bewahren die Kommunikation so lange auf, wie es für die Bearbeitung deines Anliegens erforderlich ist, spätestens jedoch 24 Monate nach deiner letzten Nachricht an uns.
7. Cookies, Reichweitenmessung und Server-Logs
Login-Cookie: Damit du nach dem Einloggen eingeloggt bleibst, setzen wir genau einen technisch notwendigen Cookie (verwaltet über unseren Auth-Anbieter Supabase). Ohne diesen Cookie funktioniert der Login nicht — er ist für den von dir ausdrücklich gewünschten Dienst (eingeloggt bleiben) technisch erforderlich und daher nach § 165 Abs. 3 Telekommunikationsgesetz 2021 ohne gesonderte Einwilligung zulässig.
Reichweitenmessung ohne Cookies: Um zu verstehen, wie Website und App genutzt werden, setzen wir Vercel Web Analytics ein — einen Dienst unseres Hosting-Anbieters Vercel (siehe Abschnitt 8). Dabei werden keine Cookies gesetzt und keine Daten auf deinem Gerät gespeichert oder ausgelesen; eine dauerhafte Wiedererkennung oder eine Zuordnung zu deiner Person findet nicht statt. Um Besuche zählen zu können, bildet Vercel aus der Anfrage (u. a. IP-Adresse und Browser-Kennung) einen Prüfwert; diese Besuchskennung wird nach spätestens 24 Stunden verworfen. Ausgewertet werden nur anonyme Gesamtwerte wie Seitenaufrufe, ungefähre Besucherzahl, welche Seiten aufgerufen wurden, die zuvor besuchte Seite, über welchen Link-Typ jemand gekommen ist (z. B. die Kennzeichnung „instagram / story“ im Link aus einer Instagram-Story deines Buffets) sowie grobe technische Angaben (ungefährer Standort, höchstens auf Ebene der Stadt, Gerätetyp, Betriebssystem, Browser). Deine IP-Adresse wird dabei nicht dauerhaft gespeichert. Bevor eine Seitenadresse an Vercel geht, bereinigen wir sie: Kennungen wie die Nummer einer Bestellung ersetzen wir durch einen Platzhalter, von angehängten Parametern bleibt nur die Link-Kennzeichnung übrig, und alles nach einem „#“ fällt weg. Den Buffet-Bereich und den Bereich unseres Teams messen wir gar nicht. Vercel speichert die Messwerte für mindestens 12 Monate (Berichtszeitraum) und behält sich eine längere Speicherung vor; sie lassen sich keiner Person zuordnen. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO); du kannst der Reichweitenmessung widersprechen (Abschnitt 10). Weil wir die Messwerte keiner Person zuordnen können, können wir dafür keine einzelnen Einträge heraussuchen oder löschen; die Messung unterbleibt, wenn dein Browser Statistik-Skripte blockiert (z. B. mit einem Tracking-Schutz).
Zählung von Bestellungen über die Instagram-Story des Buffets: Buffets können ihren Wochenplan als Instagram-Story teilen; der Link darin führt direkt zur Bestellseite. Bestellst du über diesen Link – auch wenn du dich dafür zuerst anmeldest oder ein Konto anlegst –, meldet unser Server nach dem Anlegen der Bestellung an die Reichweitenmessung nur: „eine Bestellung, Herkunft Instagram-Story“, zusammen mit der Adresse der Bestellseite (ggf. mit dem gewählten Gericht und Datum, ohne Angaben zu dir). Damit Vercel die Meldung einem Besuch zuordnen und daraus ungefähren Standort und Gerätetyp ableiten kann, übermittelt unser Server dabei deine IP-Adresse (bei IPv6-Adressen nur gekürzt) und die Browser-Kennung (User-Agent), die dein Browser beim Bestellen ohnehin mitschickt. Nicht übermittelt werden dein Name, deine E-Mail-Adresse, dein Konto, der Bestellinhalt, der Betrag, die Abholzeit oder der Bestellcode, und auch nicht dein Login-Cookie. Auf deinem Gerät wird dafür nichts gespeichert oder ausgelesen. Wir sehen danach nur Gesamtzahlen (z. B. „12 Bestellungen über die Story in dieser Woche“), nie, wer bestellt hat. Zweck ist, herauszufinden, ob die Story tatsächlich zu mehr Bestellungen führt. Rechtsgrundlage ist unser berechtigtes Interesse, die Wirksamkeit dieses Angebots für die Buffets zu messen (Art. 6 Abs. 1 lit. f DSGVO). Weil viele unserer Nutzer:innen minderjährig sind, beschränken wir die Zählung auf diese eine Angabe ohne Bezug zu deiner Person und nutzen sie nicht für Werbung oder Profile. Du kannst auch dieser Zählung widersprechen (Abschnitt 10). Weil wir die Zählung keiner Person zuordnen können, geht das am einfachsten so: Rufst du die Bestellseite direkt auf statt über den Link aus der Story, wird deine Bestellung nicht mitgezählt. Für die Zählung gelten dieselben Fristen wie oben: Die Besuchskennung wird nach 24 Stunden verworfen, die Zählwerte speichert Vercel mindestens 12 Monate. Legst du über den Story-Link ein Konto an, steht die Kennzeichnung auch im Bestätigungslink der E-Mail an dich (Versand über Resend, Abschnitt 8); ausgewertet wird sie dort nicht.
Keine Marketing- oder Tracking-Cookies: Cookies für Werbung, seitenübergreifendes Tracking oder Profilbildung setzen wir nicht ein. Sollten wir künftig Analyse- oder Marketing-Cookies verwenden, holen wir vorher deine Einwilligung ein und passen diese Erklärung an.
Server-Logs: Unsere Hosting-Anbieter (siehe Abschnitt 8) protokollieren aus technischen Gründen befristet Zugriffsdaten wie IP-Adressen (z. B. zur Missbrauchs- und Angriffserkennung); diese Aufbewahrung ist auf einen kurzen Zeitraum (in der Regel wenige Tage) begrenzt, eine längere Speicherung erfolgt nur anlassbezogen, etwa bei einer laufenden Untersuchung eines Angriffs. Wir selbst speichern IP-Adressen nicht dauerhaft in einer eigenen Datenbank. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
Schutz vor Missbrauch (Rate-Limiting): Um Login, Registrierung, Passwort-Zurücksetzen und einige weitere Aktionen (z. B. Bestellen, Konto löschen oder das Erzeugen eines Story-Bilds im Buffet-Bereich) vor automatisierten Angriffen und Missbrauch zu schützen (z. B. dem Ausprobieren vieler Passwörter), zählen wir Versuche kurzzeitig pro IP-Adresse bzw. pro Konto mit. Dafür nutzen wir den Dienst Upstash (siehe Abschnitt 8). Gespeichert wird dabei nicht deine IP-Adresse oder E-Mail-Adresse im Klartext, sondern ein mit einem geheimen Schlüssel gebildeter Prüfwert, aus dem sich deine Adresse ohne diesen Schlüssel nicht zurückrechnen lässt. Die Zähler werden abhängig von der jeweiligen Regel automatisch nach 10 bis 60 Minuten wieder gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
Sicherheitsprüfung beim Login und Passwort-Reset (Turnstile): Der oben genannte Zähler zählt nur Versuche — er erkennt nicht, ob überhaupt ein Mensch dahintersteckt. Dafür prüft zusätzlich ein Sicherheits-Häkchen unseres Anbieters Cloudflare (siehe Abschnitt 8), bevor eine Anmeldung oder eine Passwort-Zurücksetzung verarbeitet wird, ob wirklich ein Mensch und kein automatisiertes Programm anfragt. Dabei verarbeitet Cloudflare deine IP-Adresse sowie technische Signale deines Browsers und Geräts (z. B. wie du dich auf der Seite bewegst) — genau das braucht es, um Mensch von Programm zu unterscheiden, ohne dass sich jemand deine Nutzung im Einzelnen ansieht. Nicht verarbeitet werden deine Formulareingaben wie E-Mail-Adresse oder Passwort, die Cloudflare laut eigener Auskunft nicht einsieht. Im hier eingesetzten Modus setzt Turnstile keinen Cookie und speichert nichts auf deinem Gerät. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb der Plattform und am Schutz vor automatisierten Angriffen (Art. 6 Abs. 1 lit. f DSGVO) — wie beim Login-Cookie handelt es sich um eine für den von dir gewünschten, sicheren Dienst technisch notwendige Prüfung, dafür ist kein gesondertes Einwilligungsbanner nötig (§ 165 Abs. 3 TKG 2021).
Cloudflare verarbeitet die geprüften Signale in unserem Auftrag, um dir die Sicherheitsprüfung bereitzustellen. Für einen Teil dieser Signale ist Cloudflare zusätzlich eigenständig verantwortlich: Es nutzt sie auch, um seine eigene Bot-Erkennung generell zu verbessern — losgelöst von unserer Website. Nähere Informationen dazu findest du in Cloudflares eigener Turnstile-Datenschutzerklärung (cloudflare.com/turnstile-privacy-policy).
8. Wer sonst noch Zugriff auf Daten hat (Dienstleister und weitere Empfänger)
Wir verwenden für den Betrieb von Click'n'Eat folgende Dienstleister, die in unserem Auftrag Daten verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO). Mit den meisten ist bereits ein Auftragsverarbeitungsvertrag abgeschlossen; bei zwei Dienstleistern ist der Vertrag in Abschluss (siehe Hinweis unter der Tabelle):
| Anbieter | Zweck | Wo die Daten verarbeitet werden |
|---|---|---|
| Supabase | Datenbank, Login/Registrierung, Datei-Speicher | EU (Irland) |
| Vercel | Hosting der Website und App; anonyme Reichweitenmessung (Vercel Web Analytics, ohne Cookies), einschließlich der Zählung von Bestellungen über Instagram-Story-Links | App-Ausführung in der EU (Frankfurt, Region fra1); die Messwerte der Reichweitenmessung kann Vercel auch in den USA speichern; Unternehmenssitz USA |
| Resend | Versand von System-E-Mails (Konto-Bestätigung, Passwort-Reset, Erinnerung vor automatischer Konto-Löschung) | Versand aus der EU (Irland); Speicherung der Inhalte/Protokolle für 30 Tage in den USA |
| Zoho Mail | Unsere geschäftlichen E-Mail-Postfächer | EU (Amsterdam/Dublin) |
| INWX | Domain-Registrierung und -Verwaltung für clickneat.at | Deutschland (EU) |
| Upstash | Kurzzeitiger, pseudonymisierter Zähler zum Schutz vor Missbrauch bei Login, Registrierung, Passwort-Reset und einigen weiteren Aktionen (Rate-Limiting) | Redis-Datenbank in der EU; Unternehmenssitz USA |
| Cloudflare | Sicherheitsprüfung gegen automatisierte Angriffe (Turnstile) bei Login und Passwort-Reset | Weltweites Netzwerk (Anfrage wird über den jeweils nächstgelegenen Standort geprüft, nicht auf die EU beschränkt); Unternehmenssitz USA |
Bei Zoho Mail und INWX ist der Auftragsverarbeitungsvertrag zum Stand dieser Fassung noch nicht beidseitig unterschrieben, aber in Abschluss. Beide Dienstleister verarbeiten dabei ausschließlich Daten im Rahmen ihrer jeweiligen Funktion (Zoho: Inhalt einer an uns gerichteten E-Mail; INWX: technische Verwaltung der Domain clickneat.at, ohne Zugriff auf Nutzerdaten der App).
Kein Auftragsverarbeiter, aber Empfänger deiner Bestelldaten ist außerdem der Buffet-Betrieb, bei dem du bestellst: Er erhält Bestellinhalt, Abholzeit, Bestellcode, deinen Vor- und Nachnamen und eine ggf. hinterlassene Anmerkung (siehe Abschnitt 4). Der Buffet-Betrieb verarbeitet diese Daten für eigene Zwecke und ist dafür selbst verantwortlich; wir regeln die Zusammenarbeit vertraglich mit ihm.
Wir geben deine Daten nicht an andere Dritte weiter, insbesondere nicht zu Werbezwecken, und verkaufen keine Daten.
9. Übermittlung in Länder außerhalb der EU
Vier unserer Dienstleister (Vercel, Resend, Upstash, Cloudflare) haben ihren Firmensitz in den USA. Die eigentliche Verarbeitung deiner Daten findet bei Vercel, Resend und Upstash aber so weit wie möglich in der EU statt (siehe Tabelle oben). Für die wenigen Fälle, in denen doch aus den USA zugegriffen wird (z. B. technischer Support, bei Vercel die Messwerte der Reichweitenmessung oder bei Resend die Speicherung von E-Mail-Protokollen), setzen wir rechtlich anerkannte Schutzmechanismen ein — die sogenannten EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der EU-Kommission) sowie bei Resend und Upstash zusätzlich deren Zertifizierung unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Beide Mechanismen sind von der EU-Kommission anerkannt, um sicherzustellen, dass deine Daten auch dort nach EU-Datenschutzniveau geschützt bleiben.
Bei Cloudflare (Turnstile) ist das anders: Die Sicherheitsprüfung läuft über Cloudflares weltweites Netzwerk und wird technisch bedingt über den jeweils nächstgelegenen Standort abgewickelt — das kann, anders als bei den übrigen Dienstleistern, auch außerhalb der EU und der USA sein. Für Übermittlungen in die USA gilt auch hier die Zertifizierung unter dem EU-US Data Privacy Framework; darüber hinaus nimmt Cloudflare die EU-Standardvertragsklauseln in seinen Auftragsverarbeitungsvertrag auf, die unabhängig vom tatsächlichen Verarbeitungsort greifen.
Eine Kopie der EU-Standardvertragsklauseln bzw. nähere Informationen zu diesen Schutzmechanismen kannst du formlos per E-Mail an team@clickneat.at anfordern.
10. Deine Rechte
Du hast jederzeit das Recht auf:
- Auskunft darüber, welche Daten wir über dich gespeichert haben (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung deiner Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
- Einschränkung der Verarbeitung in bestimmten Fällen (Art. 18 DSGVO)
- Datenübertragbarkeit, also die Herausgabe deiner Daten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
- Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht (Art. 21 DSGVO)
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft, falls eine Verarbeitung auf einer Einwilligung beruht
Du kannst diese Rechte formlos per E-Mail an team@clickneat.at geltend machen. Wir antworten spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).
Darüber hinaus hast du das Recht, dich bei der österreichischen Datenschutzbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt:
Österreichische DatenschutzbehördeBarichgasse 40–42, 1030 Wien
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at
11. Automatisierte Entscheidungen
Wir treffen keine Entscheidungen, die ausschließlich automatisch getroffen werden (z. B. durch automatische Erstellung von Persönlichkeits- oder Verhaltensprofilen) und rechtliche oder ähnlich erhebliche Wirkung für dich haben (Art. 22 DSGVO).
12. Datensicherheit
Wir schützen deine Daten unter anderem durch: verschlüsselte Übertragung (HTTPS), sicheres Hashing von Passwörtern, strikte Zugriffsbeschränkung nach Rolle (du siehst nur deine eigenen Bestellungen; ein Buffet-Betrieb sieht nur die Bestellungen des eigenen Standorts und davon nur die in Abschnitt 4 genannten Felder — insbesondere nicht deine E-Mail-Adresse), Datenbank-Zugriffsregeln, die diese Trennung zusätzlich technisch erzwingen, sowie eine Protokollierung, wenn unser Team ausnahmsweise auf Nutzerdaten zugreift (z. B. zur Bearbeitung einer Auskunftsanfrage). Wer Zugriff auf deine Bestellungen hat, steht in Abschnitt 4.
13. Änderungen dieser Datenschutzerklärung
Wir passen diese Erklärung an, wenn sich unsere Datenverarbeitung ändert. Die jeweils aktuelle Fassung findest du immer unter clickneat.at/datenschutz, mit Datum oben im Text.
14. Kontakt
Fragen zu dieser Datenschutzerklärung oder zu deinen Daten beantworten wir gerne unter: team@clickneat.at