Datenschutzerklärung

1.1. Verantwortlicher für die personenbezogenen Daten ist der Betreiber der Website:

• Firma oder Vor- und Nachname: KEBAB HOUSE BONE’MA
• Adresse der Betriebsstätte: třída T. G. Masaryka 1077, 293 01 Mladá Boleslav 1
• Identifikationsnummer (IČO): 03350339
• Steuer-Identifikationsnummer (DIČ): CZ03350339
• Telefon: 326210955
• Website: kebab-house-bonema.vercel.app
• Kontaktformular: Kontaktseite
• Chat: Chatfenster auf der Website

1.2. Der Verantwortliche hat keinen Datenschutzbeauftragten benannt, da ihm diese Pflicht nach Art. 37 DSGVO nicht obliegt. In allen Angelegenheiten des Schutzes personenbezogener Daten können sich die betroffenen Personen unmittelbar an den Verantwortlichen wenden, und zwar über jedes in Absatz 1.1 angegebene Kommunikationsmittel (im Folgenden „in Artikel 1 angegebene Kontaktdaten“).

2.1. Diese Erklärung gilt für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Website des Verantwortlichen, einschließlich ihrer als Web-App installierten Form, mit Bestellungen von Waren, dem Kundenkonto, dem Treueprogramm, dem Kundensupport, der Zusendung von Benachrichtigungen, Kurierbewerbungen, Vereinbarungen mit Kurieren und der Erfassung ihrer Arbeit. Begriffe, die in dieser Erklärung nicht definiert sind, haben die in den Allgemeinen Geschäftsbedingungen angegebene Bedeutung.

2.2. Der Verantwortliche verarbeitet personenbezogene Daten im Einklang mit der DSGVO, mit dem Gesetz Nr. 110/2019 Slg., über die Verarbeitung personenbezogener Daten, mit dem Gesetz Nr. 127/2005 Slg., über elektronische Kommunikation, und mit dem Gesetz Nr. 480/2004 Slg., über bestimmte Dienste der Informationsgesellschaft.

2.3. Mit Ausnahme der in Artikel 11 beschriebenen Verarbeitung gilt diese Erklärung nicht für die Verarbeitung personenbezogener Daten von Beschäftigten und sonstigen Mitarbeitern des Verantwortlichen, über die diese Personen gesondert informiert werden.

3.1. Die folgende Tabelle fasst die Zwecke der Verarbeitung zusammen; Einzelheiten sind in den Artikeln 4 bis 11 angegeben.

• Zweck

  Bestellungen

  Personenbezogene Daten

  Name, Telefon, E-Mail, Lieferadresse, Inhalt der Bestellung und Anmerkungen, Zahlungsdaten, Statusverlauf, Zeitangaben

  Rechtsgrundlage

  Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse

  Speicherdauer

  3 Jahre ab Abschluss oder Stornierung der Bestellung; Angaben in Buchhaltungs- und Steuerbelegen für die gesetzlich festgelegte Dauer

• Zweck

  Kundenkonto und Treueprogramm

  Personenbezogene Daten

  E-Mail, Name, Telefon, Passwort-Hash, Adressen, Lieblingsgerichte, Warenkorb, Bestellungen, Punkte, Sprache, Einstellungen, Einwilligungen

  Rechtsgrundlage

  Vertragserfüllung, berechtigtes Interesse

  Speicherdauer

  bis zur Löschung des Kontos

• Zweck

  Kundensupport

  Personenbezogene Daten

  Name, Kontaktdaten, Inhalt der Nachrichten, zugehörige Bestellung

  Rechtsgrundlage

  berechtigtes Interesse, Vertragserfüllung, rechtliche Verpflichtung

  Speicherdauer

  24 Monate ab der letzten Nachricht; Anfragen zu Bestellungen und Reklamationen 3 Jahre ab ihrer Erledigung

• Zweck

  Sicherheit und Missbrauchsprävention

  Personenbezogene Daten

  gesalzener Hash der IP-Adresse, Serverprotokolle, Anmeldeprotokolle, Audit-Protokolle

  Rechtsgrundlage

  berechtigtes Interesse

  Speicherdauer

  24 Stunden bis 3 Jahre je nach Art des Protokolls (Absatz 5.3 und Artikel 7)

• Zweck

  Werbemitteilungen

  Personenbezogene Daten

  E-Mail, Name, Sprache, Aufzeichnung der Einwilligung

  Rechtsgrundlage

  Einwilligung

  Speicherdauer

  bis zum Widerruf der Einwilligung oder zur Löschung des Kontos

• Zweck

  Push-Benachrichtigungen

  Personenbezogene Daten

  Abonnement-Adresse, Verschlüsselungsschlüssel, Verknüpfung mit dem Konto, Browserkennung

  Rechtsgrundlage

  Einwilligung

  Speicherdauer

  bis zur Abbestellung oder zum Erlöschen des Abonnements

• Zweck

  Cookies und Speicher im Gerät

  Personenbezogene Daten

  siehe Cookie-Richtlinie

  Rechtsgrundlage

  Vertragserfüllung, berechtigtes Interesse

  Speicherdauer

  siehe Cookie-Richtlinie

• Zweck

  Kurierbewerbungen

  Personenbezogene Daten

  Name, Telefon, E-Mail, Fahrzeug, Gebiet oder Ort, zeitliche Verfügbarkeit, Nachricht, Sprache der Seite

  Rechtsgrundlage

  vorvertragliche Maßnahmen

  Speicherdauer

  6 Monate ab der letzten Änderung der Bewerbung

• Zweck

  Vereinbarungen mit Kurieren

  Personenbezogene Daten

  Name, Geburtsdatum, Staatsangehörigkeit, ständiger Wohnsitz, Geburtsnummer, Kontonummer, Krankenkasse, Erklärung des Steuerpflichtigen, Fahrerlaubnis und Fahrzeug, private E-Mail, Aufzeichnung über die Unterzeichnung der Vereinbarung

  Rechtsgrundlage

  Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse

  Speicherdauer

  für die Dauer der Vereinbarung und danach für die durch Versicherungs-, Steuer- und Buchhaltungsvorschriften festgelegte Dauer; nicht geschlossene Vereinbarungen 6 Monate, Vereinbarungen nach Rücktritt 1 Jahr

• Zweck

  Arbeit der Kuriere

  Personenbezogene Daten

  Anmelde-E-Mail, Name, Telefon, Rolle, Zugangsschlüssel, Schichten und Pausen (Arbeitszeiterfassung), gefahrene Kilometer, übernommene Lieferungen und deren Zeitangaben, Anteile an Bestellungen, kassiertes Bargeld, Abrechnung, Standort während der Lieferung

  Rechtsgrundlage

  Vertragserfüllung, rechtliche Verpflichtung, berechtigtes Interesse

  Speicherdauer

  für die Dauer der Vereinbarung und danach für die durch Versicherungs-, Steuer- und Buchhaltungsvorschriften festgelegte Dauer; Standort bis zur Zustellung oder Stornierung der Bestellung

4.1. Bei einer Bestellung verarbeitet der Verantwortliche den Namen, die Telefonnummer und die E-Mail-Adresse des Käufers; bei Lieferung die Lieferadresse und den Hinweis für den Kurier; den Inhalt der Bestellung einschließlich Varianten, Extras und Anmerkungen; den Preis, angewandte Rabatte und Treuepunkte; die Art der Übernahme; die Zahlungsart und den Zahlungsstatus einschließlich der Kennung der Zahlungstransaktion und der Angaben zur Rückerstattung der Zahlung; die Bestellnummer und den Link zur Bestellstatusseite; den Status der Bestellung und den Verlauf seiner Änderungen einschließlich des Grundes einer etwaigen Stornierung; Zeitangaben und die Sprache der Bestellung sowie bei einem registrierten Käufer auch die Verknüpfung der Bestellung mit dem Kundenkonto.

4.2. Zweck der Verarbeitung ist der Abschluss und die Erfüllung des Kaufvertrags, insbesondere die Bestätigung, Zubereitung, Ausgabe und Lieferung der Bestellung, die Entgegennahme der Zahlung, die Information über den Bestellstatus, die Bearbeitung von Widerrufen oder Rücktritten vom Vertrag und von Reklamationen sowie die Führung von Aufzeichnungen über Bestellungen.

4.3. Rechtsgrundlage der Verarbeitung sind die Erfüllung des Vertrags und die Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person (Art. 6 Abs. 1 Buchst. b) DSGVO), die Erfüllung rechtlicher Verpflichtungen des Verantwortlichen, insbesondere im Bereich der Buchhaltung, der Steuern und des Verbraucherschutzes (Art. 6 Abs. 1 Buchst. c) DSGVO), sowie das berechtigte Interesse des Verantwortlichen am Schutz seiner Rechtsansprüche und an der Verhinderung eines Missbrauchs des Bestellsystems (Art. 6 Abs. 1 Buchst. f) DSGVO). Die Angabe des Namens, der Telefonnummer, der E-Mail-Adresse und bei Lieferung der Lieferadresse ist erforderlich; ohne sie kann keine Bestellung aufgegeben werden.

4.4. Zugang zu den Bestelldaten haben nur befugte Mitarbeiter des Verantwortlichen und Kuriere in dem für ihre Tätigkeit erforderlichen Umfang. Die Kontaktdaten und die Lieferadresse sehen nur diejenigen, die sie für die Abwicklung der Bestellung benötigen, insbesondere das Bedienpersonal und der Kurier, der die Lieferung der Bestellung übernommen hat (Absatz 4.9); die Küchenmitarbeiter haben keinen Zugang zu ihnen.

4.5. Online-Zahlungen werden von der Stripe Payments Europe, Limited, mit Sitz in Irland, abgewickelt. Die Zahlungskartendaten gibt die betroffene Person direkt auf der Seite des Zahlungsportals ein; der Verantwortliche verarbeitet sie nicht und hat keinen Zugriff auf sie. Vom Zahlungsdienstleister erhält der Verantwortliche nur die Information über das Ergebnis der Zahlung, die Transaktionskennung und Angaben zur Rückerstattung der Zahlung. Stripe verarbeitet die Zahlungsdaten teils als Auftragsverarbeiter und teils als eigenständiger Verantwortlicher, insbesondere zur Erfüllung seiner rechtlichen Verpflichtungen und zur Betrugsprävention; Einzelheiten enthält die Datenschutzerklärung von Stripe.

4.6. Die personenbezogenen Daten zur Bestellung speichert der Verantwortliche für die Dauer der Erfüllung des Kaufvertrags und danach für die Dauer von 3 Jahren ab dem Abschluss oder der Stornierung der Bestellung, die der allgemeinen Verjährungsfrist für die Geltendmachung von Ansprüchen aus dem Kaufvertrag entspricht; wurde ein Verfahren über einen Anspruch eingeleitet, speichert er sie bis zu dessen rechtskräftigem Abschluss. Danach löscht oder anonymisiert er die Kontaktdaten, die Lieferadresse und die Anmerkungen. Bestellungen eines registrierten Käufers bleiben bis zur Löschung des Kundenkontos Bestandteil der Bestellhistorie im Konto; bei der Löschung des Kontos werden sie gemäß Absatz 5.5 anonymisiert.

4.7. Angaben, die Bestandteil von Buchhaltungsunterlagen oder Steuerbelegen sind, speichert der Verantwortliche für die durch Rechtsvorschriften festgelegte Dauer, insbesondere 10 Jahre ab dem Ende des Besteuerungszeitraums, in dem die Leistung erbracht wurde (§ 35 des Gesetzes Nr. 235/2004 Slg., über die Mehrwertsteuer), und 5 Jahre ab dem Ende des Rechnungslegungszeitraums, auf den sie sich beziehen (§ 31 des Gesetzes Nr. 563/1991 Slg., über die Rechnungslegung). Diese Unterlagen enthalten in der Regel keine Kontaktdaten des Käufers.

4.8. Nach der Bestätigung der Bestellung wird auf der Bestellstatusseite eine Karte mit der Betriebsstätte angezeigt. Bei Lieferung kann der Kurier, der die Bestellung ausliefert, seinen Standort teilen, gleich ob er Mitarbeiter der Betriebsstätte oder ein Kurier ist, der auf Grundlage einer Vereinbarung arbeitet (Artikel 11); der Käufer sieht dann auf der Karte den ungefähren Standort des Kuriers, auf etwa 10 Meter gerundet, und zwar nur für die Dauer der Zustellung. Der Verantwortliche speichert nur den letzten Standort des Kuriers, löscht ihn nach der Zustellung oder Stornierung der Bestellung und bewahrt keinen Routenverlauf auf. Wählt der Käufer auf der Karte „Mich zeigen“, wird sein Standort nur in seinem Browser ermittelt und verarbeitet und nicht an den Verantwortlichen übermittelt. Die Kartendaten stellt der Dienst OpenFreeMap bereit (Artikel 13).

4.9. Die Lieferungen führen Kuriere durch, d. h. Mitarbeiter der Betriebsstätte oder Kuriere, die für den Verantwortlichen auf Grundlage einer Vereinbarung über die Durchführung einer Arbeit oder einer Vereinbarung über eine Arbeitstätigkeit arbeiten (Artikel 11); sie handeln im Namen des Verantwortlichen und sind zur Verschwiegenheit verpflichtet. Solange ein Kurier eine Lieferung nicht übernommen hat, zeigt ihm das Kurierportal bei einer angebotenen Bestellung nur den Straßennamen ohne Hausnummer, den Ort, die Anzahl der Artikel, den Bestellbetrag, den voraussichtlichen Anteil des Kuriers und die Zahlungsart an. Der Kurier, der die Lieferung übernimmt, sieht den Namen und die Telefonnummer des Käufers, die Lieferadresse und den Hinweis für den Kurier, die Anmerkung zur Bestellung, die bestellten Artikel und den zu zahlenden Betrag, und zwar nur bei dieser Lieferung und nur, solange sie aktiv ist. Nach der Zustellung zeigt die Lieferhistorie des Kuriers nur die Bestellnummer, das Datum und die Beträge an, nicht aber die Daten des Käufers.

5.1. Im Zusammenhang mit dem Kundenkonto verarbeitet der Verantwortliche die E-Mail-Adresse, den Namen, gegebenenfalls die Telefonnummer, das Passwort in Form eines kryptografischen Hashwerts, die bevorzugte Sprache, gespeicherte Lieferadressen, Lieblingsgerichte, den Inhalt des gespeicherten Warenkorbs, die Bestellhistorie, Angaben zu Treuepunkten und deren Bewegungen, die Benachrichtigungseinstellungen und die Mitteilungen im Konto, den Zeitpunkt des letzten Starts der installierten App (nur damit im Browser keine Aufforderung zur Installation der App angezeigt wird), Angaben zu erteilten Einwilligungen und zur Bestätigung der Allgemeinen Geschäftsbedingungen einschließlich ihres Zeitpunkts, einen etwaigen Antrag auf Löschung des Kontos und technische Angaben zur Anmeldung.

5.2. Zweck der Verarbeitung ist die Einrichtung und Führung des Kundenkontos, die Bereitstellung seiner Funktionen, der Betrieb des Treueprogramms und die Sicherung des Kontos. Rechtsgrundlage sind die Erfüllung des Vertrags über das Kundenkonto, dessen Bestandteil die Regeln des Treueprogramms sind (Art. 6 Abs. 1 Buchst. b) DSGVO), sowie das berechtigte Interesse des Verantwortlichen an der Sicherheit der Konten und am Nachweis, dass der Käufer den Allgemeinen Geschäftsbedingungen zugestimmt hat (Art. 6 Abs. 1 Buchst. f) DSGVO). Die Angabe des Namens, der E-Mail-Adresse und des Passworts ist für die Einrichtung des Kontos erforderlich; die übrigen Angaben ergänzt die betroffene Person freiwillig, je nachdem, welche Funktionen des Kontos sie nutzt.

5.3. Die Anmeldung und die Verwaltung der Passwörter erfolgen über den Authentifizierungsdienst Supabase Auth. Das Passwort wird ausschließlich in Form eines kryptografischen Hashwerts (Hash) gespeichert; weder der Verantwortliche noch seine Mitarbeiter haben Zugriff darauf. Bei der Registrierung, der Anmeldung, dem Zurücksetzen des Passworts und ähnlichen Ereignissen zeichnet der Authentifizierungsdienst Sicherheitsdaten auf, insbesondere Zeitpunkt und Art des Ereignisses, die IP-Adresse und die Browserkennung, die dem Schutz des Kontos vor unbefugtem Zugriff dienen. Angaben zur aktiven Anmeldung werden für deren Dauer gespeichert, Aufzeichnungen über Sicherheitsereignisse höchstens 90 Tage.

5.4. Die personenbezogenen Daten im Kundenkonto verarbeitet der Verantwortliche für die Dauer des Bestehens des Kontos. Die im Kundenkonto angezeigten Mitteilungen werden nach 180 Tagen automatisch gelöscht. Der Inhalt des gespeicherten Warenkorbs wird bis zu dessen Leerung oder bis zum Absenden der Bestellung gespeichert.

5.5. Die betroffene Person kann im Bereich Datenschutz & Daten des Kundenkontos einen Antrag auf Löschung des Kontos stellen und ihn bis zu seiner Bearbeitung zurückziehen. Der Antrag wird von einem befugten Mitarbeiter des Verantwortlichen unverzüglich, spätestens innerhalb eines Monats bearbeitet. Bei der Bearbeitung des Antrags hebt der Verantwortliche den Zugang zum Konto auf und löscht die Kontodaten; in den Bestellungen anonymisiert er den Namen, die Telefonnummer, die E-Mail-Adresse, die Lieferadresse, den Hinweis für den Kurier, die Anmerkung zur Bestellung und die Anmerkungen zu einzelnen Artikeln, anonymisiert den Inhalt der über das Support-Formular bei der Bestellung gestellten Anfragen und löscht die mit dem Kundenkonto verbundenen Chat-Unterhaltungen. Die für die Erfüllung der Pflichten im Bereich der Buchhaltung und der Steuern erforderlichen Bestelldaten bewahrt er in anonymisierter Form auf. Daten, die der Verantwortliche weiterhin aufbewahren darf oder muss, beispielsweise wenn eine Reklamation oder ein Streit anhängig ist, bewahrt er für die unbedingt erforderliche Dauer auf.

5.6. In demselben Bereich kann die betroffene Person jederzeit eine Kopie ihrer personenbezogenen Daten, insbesondere des Profils, der Adressen, der Bestellungen, der Treuepunkte, der Support-Anfragen und der Chat-Unterhaltungen, im maschinenlesbaren Format JSON herunterladen.

5.7. Nimmt der Kunde am Programm BONE’MA Crew teil, verarbeitet der Verantwortliche seinen persönlichen Empfehlungscode, Angaben zu Bestellungen mit diesem Code (ob es die erste Bestellung eines neuen Kunden war, ob sie abgeschlossen oder storniert wurde, und das Ergebnis der Prüfung, dass es sich nicht um das eigene Konto, dieselbe Telefonnummer oder dieselbe Lieferadresse handelt) und die gutgeschriebenen Punkte, ferner Links zu Videos, die der Kunde zur Freigabe sendet, den von ihm angegebenen Namen und die Nachricht, die Einwilligung in die Veröffentlichung und das Ergebnis der Prüfung. Zweck ist der Betrieb des Programms nach seinen Regeln und der Schutz vor Missbrauch. Rechtsgrundlage ist die Erfüllung des Vertrags über das Kundenkonto (Art. 6 Abs. 1 lit. b DSGVO) und das berechtigte Interesse des Verantwortlichen an der Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO); Videos zeigt der Verantwortliche auf der Website und in seinen sozialen Netzwerken nur mit Einwilligung des Kunden (Art. 6 Abs. 1 lit. a DSGVO), die jederzeit widerrufen werden kann. Der Empfehlende erfährt nur die Anzahl der Empfehlungen und der gutgeschriebenen Punkte, nicht aber den Namen oder andere Daten des empfohlenen Kunden. Der Verantwortliche verarbeitet die Daten für die Dauer des Kundenkontos; bei dessen Löschung werden die Videolinks gelöscht und die Empfehlungsdatensätze vom Konto getrennt.

6.1. Wendet sich die betroffene Person über den Chat, das Kontaktformular, das Support-Formular bei der Bestellung, per E-Mail oder telefonisch an den Verantwortlichen, verarbeitet der Verantwortliche ihren Namen, ihre Kontaktdaten, den Inhalt der Nachrichten einschließlich ihres Zeitpunkts, gegebenenfalls die Nummer der zugehörigen Bestellung und weitere Angaben, die die betroffene Person selbst macht. Die Chat-Unterhaltung eines nicht angemeldeten Besuchers ordnet die Website mithilfe des Cookies kh_chat zu, das in der Cookie-Richtlinie beschrieben ist.

6.2. Zweck der Verarbeitung ist die Bearbeitung einer Anfrage, eines Ersuchens, einer Beschwerde oder einer Reklamation. Rechtsgrundlage ist das berechtigte Interesse des Verantwortlichen an der Kommunikation mit den Kunden und an der Bearbeitung ihrer Anliegen (Art. 6 Abs. 1 Buchst. f) DSGVO); betrifft die Kommunikation den Abschluss oder die Erfüllung eines Vertrags, auch Art. 6 Abs. 1 Buchst. b) DSGVO, und bei der Bearbeitung von Reklamationen die Erfüllung rechtlicher Verpflichtungen nach dem Gesetz über den Verbraucherschutz (Art. 6 Abs. 1 Buchst. c) DSGVO).

6.3. Die Nachrichten im Chat werden von Mitarbeitern des Verantwortlichen beantwortet. Der Chat kann auf häufige Fragen, beispielsweise zu Öffnungszeiten, Adresse, Lieferung oder Bestellstatus, automatische Antworten mit vorab vorbereitetem Inhalt geben. Der Verantwortliche verwendet für die Kommunikation mit den betroffenen Personen derzeit keine Werkzeuge der künstlichen Intelligenz; führt er künftig einen Assistenten ein, der künstliche Intelligenz nutzt, wird die betroffene Person hierüber im Voraus und deutlich informiert, und diese Erklärung wird entsprechend ergänzt.

6.4. Nachrichten im Chat und aus dem Kontaktformular sowie die zugehörigen Angaben speichert der Verantwortliche für die Dauer von 24 Monaten ab der letzten Nachricht in der jeweiligen Unterhaltung. Über das Support-Formular bei der Bestellung gestellte Anfragen und sonstige Unterlagen zu Reklamationen speichert er für die Dauer von 3 Jahren ab ihrer Erledigung.

7.1. Zum Schutz der Website vor automatisierten Angriffen und Missbrauch, beispielsweise vor massenhaften Anmeldeversuchen, wiederholtem Absenden von Bestellungen oder dem Erraten von Rabattcodes, begrenzt der Verantwortliche die Anzahl der Anfragen aus einer Quelle. Die IP-Adresse wird zu diesem Zweck nur in Form eines mit einem geheimen Schlüssel erzeugten Einweg-Hashwerts (sog. gesalzener Hash) gespeichert, aus dem sie ohne Kenntnis dieses Schlüssels nicht ermittelt werden kann; die Einträge werden spätestens nach 24 Stunden gelöscht.

7.2. Der Hosting-Anbieter zeichnet bei Anfragen an die Website technische Daten, insbesondere die IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, die Browserkennung und das Ergebnis der Anfrage, in Serverprotokollen auf, die der Sicherstellung des Betriebs, der Fehlererkennung und dem Schutz vor Angriffen dienen. Diese Protokolle werden kurzfristig gespeichert, in der Regel höchstens 30 Tage. Die Fehlerprotokolle der Anwendung enthalten weder E-Mail-Adressen noch Telefonnummern.

7.3. Handlungen der Mitarbeiter des Verantwortlichen im Bestellsystem, beispielsweise Statusänderungen und Stornierungen von Bestellungen, Rückerstattungen von Zahlungen oder die Bearbeitung von Anträgen auf Löschung des Kontos, werden unter Angabe des Zeitpunkts und der Person, die die Handlung vorgenommen hat, in Audit-Protokollen aufgezeichnet. Die Audit-Protokolle dienen der Gewährleistung von Verantwortlichkeit und Sicherheit sowie dem Nachweis der ordnungsgemäßen Abwicklung von Bestellungen und werden 3 Jahre lang aufbewahrt.

7.4. Konten von Mitarbeitern sind durch eine Zwei-Faktor-Authentifizierung geschützt (für Konten mit Zugang zur Administration verpflichtend); Kuriere und andere Nutzer können sie freiwillig einschalten. Den geheimen Schlüssel der Authenticator-App speichert der Authentifizierungsdienst Supabase Auth. Nutzer können sich auch mit einem Zugangsschlüssel (Passkey) anmelden: Den Schlüssel erstellt und speichert ihr Gerät oder ihr Passwort-Manager und schützt ihn durch Fingerabdruck, Gesichtserkennung oder die PIN des Geräts. An den Verantwortlichen übermittelt und vom Dienst Supabase Auth gespeichert werden nur der öffentliche Teil des Schlüssels, seine Bezeichnung sowie der Zeitpunkt seiner Erstellung und seiner letzten Verwendung; biometrische Daten sendet das Gerät nicht an den Verantwortlichen, und der Verantwortliche verarbeitet sie nicht. Bei der Anmeldung eines Mitarbeiters oder Kuriers erfasst der Verantwortliche den Zeitpunkt der Anmeldung, eine Beschreibung des Geräts (Browser und Betriebssystem) sowie einen Einweg-Hash einer zufälligen, in einem Cookie gespeicherten Gerätekennung, um auf Anmeldungen von einem neuen Gerät hinweisen zu können. In den Sicherheitsprotokollen werden außerdem Änderungen von Berechtigungen, das Einschalten und Entfernen der Zwei-Faktor-Authentifizierung, das Hinzufügen und Entfernen eines Zugangsschlüssels, wiederholte fehlgeschlagene Anmeldeversuche (mit einem Hash der IP-Adresse) und blockierte Versuche, unzulässige Inhalte auf der Website zu laden (ohne personenbezogene Daten), erfasst. Sicherheitsprotokolle und Gerätedaten werden 1 Jahr aufbewahrt.

7.5. Die in der Bestellung angegebene Telefonnummer verwendet der Verantwortliche auch zur Begrenzung der Anzahl gleichzeitig offener Bestellungen, die ohne Registrierung aufgegeben wurden.

7.6. Rechtsgrundlage der Verarbeitung nach diesem Artikel ist das berechtigte Interesse des Verantwortlichen an der Gewährleistung der Sicherheit und Funktionsfähigkeit der Website und am Schutz vor Missbrauch, Betrug und Angriffen (Art. 6 Abs. 1 Buchst. f) DSGVO); die Verarbeitung dient zugleich der Gewährleistung der Sicherheit der personenbezogenen Daten nach Art. 32 DSGVO.

8.1. Erteilt die betroffene Person bei der Registrierung oder später in den Einstellungen des Kundenkontos ihre Einwilligung in die Zusendung von Werbemitteilungen, kann ihr der Verantwortliche per E-Mail Informationen über Neuigkeiten, Angebote und Aktionen des Restaurants senden. Werbemitteilungen sendet der Verantwortliche nur auf Grundlage einer Einwilligung.

8.2. Rechtsgrundlage ist die Einwilligung der betroffenen Person (Art. 6 Abs. 1 Buchst. a) DSGVO und § 7 des Gesetzes Nr. 480/2004 Slg.). Die Erteilung der Einwilligung ist freiwillig und keine Voraussetzung für den Abschluss des Kaufvertrags oder die Einrichtung des Kundenkontos.

8.3. Die Einwilligung kann jederzeit im Bereich Persönliche Daten des Kundenkontos, über den Abmeldelink, der in jeder Werbemitteilung enthalten sein wird, oder über die in Artikel 1 angegebenen Kontaktdaten widerrufen werden. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

8.4. Die Daten für die Zusendung von Werbemitteilungen verarbeitet der Verantwortliche bis zum Widerruf der Einwilligung oder bis zur Löschung des Kundenkontos. Die Aufzeichnung über die Erteilung und den Widerruf der Einwilligung bewahrt er für die Dauer von 3 Jahren ab dem Widerruf der Einwilligung auf, um die Rechtmäßigkeit der Zusendung nachweisen zu können (Art. 6 Abs. 1 Buchst. f) DSGVO). Der Verantwortliche führt kein Profiling für Zwecke der Direktwerbung durch.

9.1. Erlaubt ein angemeldeter Nutzer im Browser oder in der installierten Web-App die Zusendung von Benachrichtigungen (Push-Benachrichtigungen), verarbeitet der Verantwortliche die Abonnementdaten: die vom Push-Dienst des Browsers bereitgestellte Abonnement-Adresse, die Verschlüsselungsschlüssel, die Verknüpfung mit dem Kundenkonto, die Sprache, die Browser- und Gerätekennung sowie den Zeitpunkt der Einrichtung des Abonnements und der letzten erfolgreichen Zustellung. Die Benachrichtigungen informieren über Änderungen des Bestellstatus und über Antworten der Mitarbeiter des Verantwortlichen im Chat; Kuriere werden während ihrer Schicht über neue zur Übernahme verfügbare Lieferungen und darüber informiert, dass eine von ihnen übernommene Bestellung fertig ist.

9.2. Der Inhalt der Benachrichtigungen ist für das konkrete Gerät verschlüsselt und enthält nur die Bestellnummer, die Art des Ereignisses und gegebenenfalls den Betrag oder die Anzahl der Artikel, bei einer Antwort im Chat nur die Information, dass eine Antwort eingegangen ist; er enthält weder den Namen noch die Telefonnummer, die Adresse oder den Text der Nachrichten. Die Benachrichtigungen werden von den Push-Diensten der Browseranbieter zugestellt, beispielsweise Google, Apple, Mozilla oder Microsoft, die den Inhalt der Benachrichtigungen nicht lesen können.

9.3. Rechtsgrundlage ist die durch das Erlauben der Benachrichtigungen erklärte Einwilligung der betroffenen Person (Art. 6 Abs. 1 Buchst. a) DSGVO). Die Einwilligung kann jederzeit durch Deaktivieren der Benachrichtigungen im Kundenkonto oder in den Einstellungen des Browsers oder Geräts widerrufen werden. Die Abonnementdaten verarbeitet der Verantwortliche bis zur Abbestellung des Abonnements; Abonnements, die der Push-Dienst als ungültig kennzeichnet, werden automatisch gelöscht.

9.4. Mitteilungen über Änderungen des Bestellstatus im Kundenkonto und E-Mails zu Bestellungen und zum Kundenkonto, beispielsweise die Bestätigung der Bestellung, die Änderung ihres Status, die Bestätigung der Registrierung, das Zurücksetzen des Passworts oder die Änderung der E-Mail-Adresse, sendet der Verantwortliche auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 Buchst. b) DSGVO); es handelt sich nicht um Werbemitteilungen.

10.1. Die Website verwendet nur notwendige und funktionale Cookies und ähnliche Technologien von Erstanbietern, die ihrem Funktionieren dienen, beispielsweise der Anmeldung, der Aufbewahrung des Warenkorbs, dem Merken der Sprache und dem Speichern der Cookie-Einstellungen. Analyse- oder Werbe-Cookies oder Cookies von Drittanbietern verwendet die Website derzeit nicht. Einzelheiten sind in der Cookie-Richtlinie angegeben.

10.2. Schriftarten werden vom Server der Website geladen, nicht von Diensten Dritter. Mit Ausnahme der Karte auf der Bestellstatusseite (Absatz 4.8) sind Karten und soziale Netzwerke auf der Website nur verlinkt und nicht in sie eingebettet; nach dem Wechsel zu ihnen richtet sich die Verarbeitung personenbezogener Daten nach den Bedingungen ihrer Betreiber. Die Online-Zahlung erfolgt auf den Seiten des Zahlungsportals Stripe, die den Richtlinien von Stripe unterliegen.

Bewerbungen

11.1. Wer als Kurier mit dem Verantwortlichen zusammenarbeiten möchte (im Folgenden „Bewerber“), kann sich über das Formular auf der Seite der Website für Kurierbewerbungen bewerben. Der Verantwortliche verarbeitet dabei den Namen, die Telefonnummer und die E-Mail-Adresse des Bewerbers und die Art seines Fahrzeugs (Auto, Motorroller oder Motorrad, Fahrrad oder sonstiges) sowie, sofern der Bewerber sie angibt, das Gebiet oder den Ort, Angaben zu seiner zeitlichen Verfügbarkeit und eine Nachricht; zusammen mit der Bewerbung wird die Sprache der Seite gespeichert, von der sie gesendet wurde. Anstatt das Formular auszufüllen, kann sich der Bewerber auch telefonisch an den Verantwortlichen wenden.

11.2. Zweck der Verarbeitung ist die Beurteilung des Bewerbers und die Vereinbarung einer Zusammenarbeit mit ihm als Kurier. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person (Art. 6 Abs. 1 Buchst. b) DSGVO). Die Angabe des Namens, der Telefonnummer, der E-Mail-Adresse und der Art des Fahrzeugs ist erforderlich; ohne sie kann die Bewerbung nicht gesendet werden. Die übrigen Angaben im Formular macht der Bewerber freiwillig.

11.3. Die Bewerbungen werden in der Datenbank des Verantwortlichen gespeichert (Absatz 13.2), und Zugang zu ihnen haben nur befugte Mitarbeiter des Verantwortlichen, die das Team verwalten. Zu jeder Bewerbung werden außerdem der Bearbeitungsstand, eine interne Notiz, wer sie wann bearbeitet hat, und bei einer angenommenen Bewerbung die Verknüpfung mit der Vereinbarung und dem Kurierkonto erfasst. Bei der Beurteilung der Bewerbungen findet keine automatisierte Entscheidungsfindung statt. Der Verantwortliche löscht eine Bewerbung automatisch 6 Monate nach ihrer letzten Änderung, unabhängig davon, ob sie angenommen, abgelehnt oder nicht beantwortet wurde.

Vereinbarung mit dem Kurier

11.4. Kuriere arbeiten für den Verantwortlichen auf Grundlage einer Vereinbarung über die Durchführung einer Arbeit oder einer Vereinbarung über eine Arbeitstätigkeit nach dem tschechischen Arbeitsgesetzbuch (im Folgenden „Vereinbarung“). Die Vereinbarung bereitet ein befugter Mitarbeiter des Verantwortlichen vor; der Bewerber erhält an die in der Bewerbung angegebene E-Mail-Adresse einen persönlichen Link zur Unterschrift, der 14 Tage gültig ist und nur in Form eines Einweg-Hashwerts gespeichert wird.

11.5. Bei der Unterzeichnung der Vereinbarung gibt der Kurier folgende Daten an, die der Verantwortliche verarbeitet: den vollständigen Namen, das Geburtsdatum, die Staatsangehörigkeit, die Adresse des ständigen Wohnsitzes, die Geburtsnummer (sofern sie zugeteilt wurde), die Nummer des Bankkontos für die Auszahlung der Vergütung, die Krankenkasse und die Angabe, ob er die Erklärung des Steuerpflichtigen unterzeichnen möchte; fährt der Kurier mit dem Auto oder dem Motorroller, außerdem die Klassen und die Gültigkeit der Fahrerlaubnis und das Kennzeichen des Fahrzeugs sowie bei vereinbarter Reisekostenerstattung die Kraftstoffart und den durchschnittlichen Verbrauch des Fahrzeugs. Ferner gibt er eine private E-Mail-Adresse an, an die ihm die Ausfertigung der Vereinbarung zugestellt wird. Die Geburtsnummer, die Kontonummer, die Adresse und der Wortlaut der unterzeichneten Vereinbarung werden mit einem getrennt von der Datenbank aufbewahrten Schlüssel verschlüsselt (AES-256-GCM) gespeichert. Die vollständigen Daten kann sich nur ein befugter Mitarbeiter des Verantwortlichen nach erneuter Zwei-Faktor-Authentifizierung anzeigen lassen, und jede Anzeige wird aufgezeichnet.

11.6. Der Kurier unterzeichnet die Vereinbarung elektronisch: Er bestätigt sein Einverständnis mit ihrem Wortlaut, schreibt seinen vollständigen Namen und gibt einen an die private E-Mail-Adresse gesendeten Einmalcode ein. Für den Verantwortlichen unterzeichnet die Vereinbarung eine zu seiner Vertretung berechtigte Person, die mit Zwei-Faktor-Authentifizierung angemeldet ist. Bei der Unterschrift werden der Zeitpunkt, der Hashwert des Wortlauts der Vereinbarung (SHA-256), ein Einweg-Hash der IP-Adresse und eine Beschreibung des Browsers aufgezeichnet; der Ablauf der Vereinbarung (Versand, Öffnen des Links, Codes, Unterschriften, Zustellung, Beendigung) wird in einem gegen Änderungen geschützten Verlauf festgehalten. Die Ausfertigung der Vereinbarung im PDF-Format sendet der Verantwortliche dem Kurier an die private E-Mail-Adresse (§ 21 des tschechischen Arbeitsgesetzbuchs), und der Kurier kann sie auch im Kurierportal herunterladen.

11.7. Zweck der Verarbeitung sind der Abschluss und die Erfüllung der Vereinbarung, die Berechnung und Auszahlung der Vergütung, die Erfüllung der Pflichten des Verantwortlichen als Arbeitgeber gegenüber der Tschechischen Sozialversicherungsverwaltung (ČSSZ), den Krankenkassen und der Steuerbehörde, die Arbeitszeiterfassung und der Schutz der Rechtsansprüche des Verantwortlichen. Rechtsgrundlage sind die Vertragserfüllung (Art. 6 Abs. 1 Buchst. b) DSGVO), die Erfüllung rechtlicher Verpflichtungen des Verantwortlichen nach den Vorschriften über Arbeitsrecht, Sozial- und Krankenversicherung, Steuern und Buchhaltung (Art. 6 Abs. 1 Buchst. c) DSGVO) sowie das berechtigte Interesse des Verantwortlichen am Nachweis des Abschlusses und des Inhalts der Vereinbarung und an der Gewährleistung der Sicherheit (Art. 6 Abs. 1 Buchst. f) DSGVO). Die Angabe der Daten nach Absatz 11.5 ist gesetzlich und vertraglich vorgeschrieben; ohne sie kann die Vereinbarung nicht geschlossen werden. Beim Abschluss der Vereinbarung findet keine automatisierte Entscheidungsfindung statt.

Kurierportal und Arbeitszeiterfassung

11.8. Nach der Unterzeichnung der Vereinbarung durch beide Parteien erhält der Kurier Zugang zum Kurierportal. Er meldet sich mit einem Zugangsschlüssel (Absatz 7.4) oder mit einem Passwort an; die Zwei-Faktor-Authentifizierung kann er freiwillig einschalten. Die Anmeldung sichert der Authentifizierungsdienst Supabase Auth ebenso wie beim Kundenkonto (Absatz 5.3). Welche Daten der Käufer ein Kurier bei der Lieferung sieht, beschreibt Absatz 4.9.

11.9. Der Kurier beginnt und beendet im Portal die Schicht und die Pausen. Der Verantwortliche erfasst Beginn und Ende jedes Arbeitsabschnitts, die mit dem eigenen Fahrzeug gefahrenen Kilometer (sofern eine Reisekostenerstattung vereinbart ist) und die von befugten Mitarbeitern des Verantwortlichen vorgenommenen Korrekturen der Aufzeichnungen einschließlich ihrer Begründung. Diese Aufzeichnungen bilden die Arbeitszeiterfassung nach § 96 des tschechischen Arbeitsgesetzbuchs und dienen auch der Berechnung der Vergütung einschließlich der Aufstockung auf den Mindestlohn und der Zuschläge sowie der Überwachung des nach der Vereinbarung zulässigen Arbeitsumfangs. Nur während der Schicht kann der Kurier Lieferungen übernehmen und erhält er Benachrichtigungen über neue Lieferungen.

11.10. Über Kuriere verarbeitet der Verantwortliche ferner die für die Anmeldung verwendete E-Mail-Adresse, den Namen, die Telefonnummer und die Rolle im System; Angaben zu den Lieferungen, die der Kurier übernommen hat, d. h. die Bestellnummer und die Zeitpunkte der Übernahme der Lieferung, der Abholung der Bestellung und ihrer Zustellung; den Anteil des Kuriers an jeder zugestellten Bestellung nach dem in der Vereinbarung festgelegten Prozentsatz; das Bargeld, das der Kurier bei der Zustellung von den Käufern kassiert hat; sowie die Aufzeichnung über die Abrechnung dieses Bargelds.

11.11. Während der Lieferung kann der Kurier seinen Standort gemäß Absatz 4.8 teilen: Der Standort wird nur für die Dauer der Lieferung verarbeitet, und der Verantwortliche speichert nur den letzten Standort, zeigt ihn dem Käufer gerundet an und löscht ihn nach der Zustellung oder Stornierung der Bestellung. Rechtsgrundlage ist das berechtigte Interesse des Verantwortlichen an der Information des Käufers über den Fortgang der Zustellung (Art. 6 Abs. 1 Buchst. f) DSGVO).

Speicherdauer

11.12. Eine Vereinbarung, die nicht geschlossen wurde, weil der Verantwortliche sie storniert hat oder der Link zur Unterschrift abgelaufen ist, löscht der Verantwortliche 6 Monate danach; eine Vereinbarung, von der der Kurier zurückgetreten ist, löscht er 1 Jahr nach dem Rücktritt. Links zur Unterschrift und Einmalcodes werden nur als Hashwerte gespeichert und spätestens 90 Tage nach Ablauf ihrer Gültigkeit gelöscht. Geschlossene Vereinbarungen, die für die Auszahlung der Vergütung, für die Versicherung und für die Steuern erforderlichen Daten, die Arbeitszeiterfassung und die Angaben zu den Lieferungen speichert der Verantwortliche für die Dauer der Vereinbarung und danach für die durch die Vorschriften über die Renten-, Krankengeld- und Krankenversicherung, die Steuern und die Buchhaltung festgelegte Dauer; anschließend löscht er sie. Mit der Beendigung der Vereinbarung verliert der Kurier den Zugang zum Kurierportal.

12.1. Der Verantwortliche verlangt keine Angaben über den Gesundheitszustand. Macht die betroffene Person in der Anmerkung zur Bestellung, im Chat oder in einer anderen Nachricht freiwillig Angaben zu einer Allergie, Unverträglichkeit oder sonstigen gesundheitlichen Einschränkung, verwendet der Verantwortliche diese ausschließlich zur Zubereitung der Bestellung oder zur Beantwortung der Anfrage, und zwar auf Grundlage der durch ihre Angabe erklärten ausdrücklichen Einwilligung der betroffenen Person (Art. 9 Abs. 2 Buchst. a) DSGVO). Die Einwilligung kann jederzeit widerrufen werden; eine solche Angabe wird zusammen mit den Bestelldaten oder mit der Nachricht, in der sie gemacht wurde, gespeichert und gelöscht. Den betroffenen Personen wird empfohlen, nur die für die Zubereitung der Speise erforderlichen Angaben zu machen.

12.2. Die Dienste der Website sind nicht für Kinder unter 15 Jahren bestimmt, und ein Kundenkonto kann nur eine Person einrichten, die das 15. Lebensjahr vollendet hat (§ 7 des Gesetzes Nr. 110/2019 Slg.). Stellt der Verantwortliche fest, dass eine Person unter 15 Jahren ein Konto eingerichtet hat, löscht er das Konto und die personenbezogenen Daten.

13.1. Personenbezogene Daten macht der Verantwortliche nur in dem für den jeweiligen Zweck erforderlichen Umfang zugänglich, und zwar:

• befugten Mitarbeitern des Verantwortlichen und Kurieren, die im Namen des Verantwortlichen liefern (Absatz 4.9); sie alle sind zur Verschwiegenheit verpflichtet;
• den in Absatz 13.2 genannten Auftragsverarbeitern, die personenbezogene Daten für den Verantwortlichen auf Grundlage eines Vertrags über die Auftragsverarbeitung nach Art. 28 DSGVO verarbeiten;
• Dienstleistern, die personenbezogene Daten teilweise als eigenständige Verantwortliche verarbeiten, insbesondere dem Zahlungsdienstleister und den Betreibern der Push-Dienste der Browser;
• externen Anbietern von Buchhaltungs-, Steuer-, Rechts- und IT-Dienstleistungen, die zur Verschwiegenheit verpflichtet sind;
• öffentlichen Stellen, insbesondere Gerichten, Strafverfolgungsbehörden, Steuerbehörden und Aufsichtsbehörden, sofern eine Rechtsvorschrift dies vorsieht; bei Kurieren außerdem der Tschechischen Sozialversicherungsverwaltung und den Krankenkassen in dem Umfang, den die Versicherungsvorschriften verlangen.

13.2. Die wichtigsten Auftragsverarbeiter und sonstigen Empfänger sind:

• Empfänger

  Supabase Pte. Ltd.

  Tätigkeit

  Datenbank, Authentifizierung der Nutzer, Dateispeicher

  Sitz und Ort der Verarbeitung

  Singapur; die Daten werden in der EU gespeichert (Frankfurt am Main, Deutschland); technischen Support kann auch eine Gesellschaft der Supabase-Gruppe in den USA leisten

  Garantien bei Übermittlung außerhalb des EWR

  Standardvertragsklauseln

• Empfänger

  Vercel Inc.

  Tätigkeit

  Hosting der Website, Content-Delivery-Netzwerk (CDN), Serverfunktionen

  Sitz und Ort der Verarbeitung

  USA; die Serverfunktionen der Website laufen in der Region Frankfurt am Main

  Garantien bei Übermittlung außerhalb des EWR

  EU–US Data Privacy Framework, Standardvertragsklauseln

• Empfänger

  Anbieter des Dienstes für den Versand von E-Mails zu Bestellungen, zum Kundenkonto und zu Vereinbarungen mit Kurieren, sofern genutzt (z. B. Resend, Inc.)

  Tätigkeit

  Zustellung von E-Mail-Nachrichten, bei Kurieren einschließlich des Codes zur Unterschrift und der Ausfertigung der Vereinbarung

  Sitz und Ort der Verarbeitung

  USA

  Garantien bei Übermittlung außerhalb des EWR

  EU–US Data Privacy Framework

• Empfänger

  Stripe Payments Europe, Limited, sofern die Online-Zahlung auf der Website angeboten wird

  Tätigkeit

  Abwicklung von Online-Zahlungen

  Sitz und Ort der Verarbeitung

  Irland

  Garantien bei Übermittlung außerhalb des EWR

  gemäß den Richtlinien von Stripe, insbesondere EU–US Data Privacy Framework und Standardvertragsklauseln

• Empfänger

  Betreiber der Push-Dienste der Browser (z. B. Google, Apple, Mozilla, Microsoft)

  Tätigkeit

  Zustellung verschlüsselter Benachrichtigungen

  Sitz und Ort der Verarbeitung

  je nach Browseranbieter

  Garantien bei Übermittlung außerhalb des EWR

  gemäß den Bedingungen des Betreibers

• Empfänger

  Hyperknot Software Kft. (Dienst OpenFreeMap), sofern die Karte zur Bestellung angezeigt wird

  Tätigkeit

  Kartendaten für die Karte auf der Bestellstatusseite; beim Anzeigen der Karte verbindet sich der Browser mit den Servern des Dienstes, die dadurch die IP-Adresse, Angaben zum Browser und den angezeigten Kartenausschnitt sehen; nach der Datenschutzerklärung des Dienstes wird die IP-Adresse nur in Fehlerprotokollen (höchstens 7 Tage) und bei der Untersuchung von Sicherheitsvorfällen (höchstens 30 Tage) gespeichert

  Sitz und Ort der Verarbeitung

  Ungarn (EU); der Dienst kann das Content-Delivery-Netzwerk von Cloudflare nutzen

  Garantien bei Übermittlung außerhalb des EWR

  für das Cloudflare-Netzwerk das EU–US Data Privacy Framework

13.3. Der Verantwortliche verkauft personenbezogene Daten nicht und gibt sie nicht für deren Marketingzwecke an Dritte weiter.

14.1. Einige Empfänger haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums oder können aus Ländern außerhalb desselben Zugriff auf die Daten haben, insbesondere aus den USA und Singapur. Der Verantwortliche übermittelt personenbezogene Daten in Drittländer nur unter den Bedingungen von Kapitel V DSGVO, und zwar:

• an Empfänger in den USA, die im Rahmen des EU–US Data Privacy Framework zertifiziert sind, auf Grundlage des Durchführungsbeschlusses (EU) 2023/1795 der Kommission vom 10. Juli 2023 über die Angemessenheit des Schutzniveaus für personenbezogene Daten (Art. 45 DSGVO), dessen Gültigkeit das Gericht der Europäischen Union mit Urteil vom 3. September 2025 in der Rechtssache T-553/23 bestätigt hat;
• in den übrigen Fällen auf Grundlage der mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c) DSGVO), gegebenenfalls ergänzt durch zusätzliche Schutzmaßnahmen.

14.2. Die Datenbank der Website ist in einem Rechenzentrum in Deutschland gespeichert. Eine Kopie der Garantien nach Absatz 14.1 oder die Information darüber, wo sie zugänglich gemacht wurden, stellt der Verantwortliche auf Anfrage zur Verfügung.

15.1. Der Verantwortliche führt keine automatisierte Entscheidungsfindung einschließlich Profiling durch, die gegenüber den betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen würde (Art. 22 DSGVO).

15.2. Die Berechnung des Bestellpreises anhand der veröffentlichten Preise und Rabattbedingungen, die automatischen Antworten im Chat und technische Sicherheitsmaßnahmen, beispielsweise die vorübergehende Begrenzung der Anzahl der Anfragen oder der gleichzeitig offenen Bestellungen, sind keine Entscheidungen im Sinne von Art. 22 DSGVO. Sie haben technischen und vorübergehenden Charakter, und die betroffene Person kann ihre etwaigen Auswirkungen mit den Mitarbeitern des Verantwortlichen klären.

16.1. Der Verantwortliche hat technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen, insbesondere verschlüsselte Datenübertragung (HTTPS), rollenbasierte Zugriffssteuerung mit der niedrigsten erforderlichen Berechtigungsstufe und Berechtigungsprüfung auf Datenbankebene, Speicherung von Passwörtern ausschließlich in Form eines kryptografischen Hashwerts, Verschlüsselung der Geburtsnummer, der Kontonummer, der Adresse und der Vereinbarungen der Kuriere auf Anwendungsebene, getrennte Speicherung der Kontaktdaten aus Bestellungen, Audit-Protokolle über Handlungen der Mitarbeiter und Verarbeitung der Zahlungsdaten ausschließlich durch den Zahlungsdienstleister.

16.2. Nach Ablauf der Speicherdauer löscht oder anonymisiert der Verantwortliche die personenbezogenen Daten. In Datenbanksicherungen können die Daten für die Dauer ihrer Aufbewahrung fortbestehen, in der Regel höchstens 30 Tage; die Sicherungen dienen ausschließlich der Wiederherstellung von Daten.

16.3. Im Falle einer Verletzung des Schutzes personenbezogener Daten verfährt der Verantwortliche nach Art. 33 und 34 DSGVO.

17.1. Die betroffene Person hat unter den in der DSGVO festgelegten Voraussetzungen das Recht:

• auf Auskunft über die personenbezogenen Daten und auf Erhalt einer Kopie davon (Art. 15 DSGVO);
• auf Berichtigung unrichtiger und Vervollständigung unvollständiger personenbezogener Daten (Art. 16 DSGVO);
• auf Löschung personenbezogener Daten, mit Ausnahme von Daten, deren Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 DSGVO);
• auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
• auf Übertragbarkeit der Daten, die auf Grundlage eines Vertrags oder einer Einwilligung automatisiert verarbeitet werden (Art. 20 DSGVO);
• Widerspruch gegen die Verarbeitung auf Grundlage eines berechtigten Interesses einzulegen; gegen die Verarbeitung für Zwecke der Direktwerbung kann jederzeit Widerspruch eingelegt werden, und der Verantwortliche verarbeitet die Daten danach nicht mehr für diesen Zweck (Art. 21 DSGVO);
• eine erteilte Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3 DSGVO);
• nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO);
• Beschwerde bei einer Aufsichtsbehörde einzulegen (Art. 77 DSGVO).

17.2. Ein registrierter Käufer kann eine Reihe von Rechten direkt im Kundenkonto ausüben: Profildaten und gespeicherte Adressen kann er berichtigen oder löschen, die Einwilligung in die Zusendung von Werbemitteilungen und die Erlaubnis für Benachrichtigungen kann er in den Kontoeinstellungen widerrufen, und im Bereich Datenschutz & Daten kann er eine Kopie seiner Daten im Format JSON herunterladen oder die Löschung des Kontos beantragen.

18.1. Die Rechte können über die in Artikel 1 angegebenen Kontaktdaten ausgeübt werden. Der Verantwortliche ist berechtigt, die Identität des Antragstellers zu überprüfen, insbesondere zu verlangen, dass der Antrag von der im Kundenkonto oder in der Bestellung angegebenen E-Mail-Adresse gesendet wird oder dass der Antragsteller die Bestellnummer und weitere Angaben nennt, die nur der Käufer kennt.

18.2. Der Verantwortliche bearbeitet den Antrag unverzüglich, spätestens innerhalb eines Monats nach seinem Eingang; unter Berücksichtigung der Komplexität und der Anzahl der Anträge kann er diese Frist um weitere zwei Monate verlängern, worüber er den Antragsteller unter Angabe der Gründe informiert. Die Ausübung der Rechte ist kostenlos; sind Anträge offenkundig unbegründet oder exzessiv, insbesondere weil sie sich wiederholen, kann der Verantwortliche ein angemessenes Entgelt verlangen oder sich weigern, den Anträgen nachzukommen (Art. 12 DSGVO).

18.3. Die betroffene Person hat das Recht, Beschwerde beim Amt für den Schutz personenbezogener Daten (Úřad pro ochranu osobních údajů) mit Sitz an der Adresse Pplk. Sochora 727/27, 170 00 Praha 7, E-Mail: posta@uoou.gov.cz, Datenbox: qkbaa2n, Website: https://uoou.gov.cz, oder bei der Aufsichtsbehörde des Mitgliedstaats der Europäischen Union einzulegen, in dem sie ihren gewöhnlichen Aufenthaltsort oder ihren Arbeitsplatz hat oder in dem es zu dem mutmaßlichen Verstoß gekommen ist.

19.1. Der Verantwortliche ist berechtigt, diese Erklärung zu aktualisieren, insbesondere bei einer Änderung der Art und Weise der Verarbeitung, der Empfänger oder der Rechtslage. Die aktuelle Fassung wird auf der Website unter Angabe des Datums ihres Inkrafttretens veröffentlicht. Über wesentliche Änderungen, die registrierte Käufer betreffen, informiert der Verantwortliche diese im Kundenkonto oder per E-Mail vor deren Wirksamwerden.