Datenschutzerklärung

Stand: 17. Oktober 2026

1. Geltungsbereich und Rollen

Diese Datenschutzerklärung gilt für die Website hfoods.de einschließlich der Buchungsstrecke, für den Verwaltungsbereich admin.hfoods.de und für unsere Geschäftsbeziehungen zu Restaurants, Empfehlungspartnern und Interessenten. Dafür ist Karam Ali Murad-Murad, handelnd unter der Geschäftsbezeichnung hfoods, Verantwortlicher im Sinne der DSGVO.

Für die Bestellseiten und Bestell-Apps der Restaurants ist das jeweilige Restaurant Verantwortlicher, auch wenn eine App unter dem Entwicklernamen hfoods veröffentlicht ist. Die Daten der Gäste verarbeiten wir dort ausschließlich als Auftragsverarbeiter nach Weisung des Restaurants. Welche Daten verarbeitet werden, wer sie erhält, wie lange sie gespeichert werden und welche Rechte Gäste haben, steht in der Datenschutzerklärung des Restaurants, die im Shop und in der App verlinkt ist. Abschnitt 10 sagt dir, an wen du dich mit Fragen zu einem Gästekonto wendest.

Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst.

2. Verantwortliche Stelle

Karam Ali Murad-Murad, handelnd unter der Geschäftsbezeichnung hfoods
Birkenweg 34
51503 Rösrath
Deutschland

Telefon: 015560830004
E-Mail: info@highfoods.de

Einen Datenschutzbeauftragten haben wir nicht bestellt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor. Bei Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter den oben genannten Kontaktdaten.

3. Wenn du hfoods.de und den Verwaltungsbereich nutzt

a) Auslieferung, Hosting und Orte

Die Website hfoods.de liefert die Google Ireland Limited über Firebase Hosting aus. Beim Aufruf werden deine IP-Adresse, der Browsertyp, das Betriebssystem, die Referrer-Adresse und der Zeitpunkt des Zugriffs erfasst.

Der Verwaltungsbereich admin.hfoods.de läuft bei der Vercel Inc.; seine Serverfunktionen werden derzeit in den Vereinigten Staaten von Amerika ausgeführt. Unsere Datenbank (Cloud Firestore, Region Frankfurt am Main) und unsere eigenen Serverfunktionen liegen bei Google in der Europäischen Union. Die Anmeldung über Firebase Authentication und Identity Platform verarbeitet Google in den Vereinigten Staaten von Amerika. Push-Nachrichten stellt Firebase Cloud Messaging auf der weltweiten Infrastruktur von Google zu. E-Mails versenden wir über den in Abschnitt 7 genannten Anbieter. Lieferadressen und Adresseingaben prüfen wir über die Google Maps Platform.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und zuverlässiger Betrieb. Zu den Übermittlungen außerhalb der Europäischen Union siehe Abschnitt 8.

b) Zugang zum Verwaltungsbereich

Für den Verwaltungsbereich verarbeiten wir deine E-Mail-Adresse, dein verschlüsseltes Passwort, deinen Namen, deine Rolle in deinem Betrieb und die Zeitpunkte deiner Anmeldungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

c) Speicherung in deinem Browser

Diese Website setzt keine Cookies. Sie legt im Speicher deines Browsers nur das ab, was du selbst ausgelöst hast.

Im Web-Speicher bleiben deine Sprachwahl im Sprachhinweis und die Tatsache, dass du den Hinweis auf den Chat weggeklickt hast. Meldest du dich im Verwaltungsbereich an, legt Firebase Authentication dort zusätzlich deine Anmeldung ab, damit du angemeldet bleibst. Würde dir eines Tages ein Einwilligungsband gezeigt, käme deine dort getroffene Entscheidung als weiterer Eintrag hinzu; wir fragen dich dann vorher.

Im Sitzungsspeicher, den dein Browser mit dem Schließen des Tabs leert, liegt der Entwurf deiner Buchung mit den Angaben, die du in der Buchungsstrecke schon eingetragen hast. Er sorgt dafür, dass ein Schritt zurück oder ein Neuladen deine Eingaben nicht verwirft.

Sprachwahl, Chat-Hinweis und Buchungsentwurf verlassen deinen Browser nicht; die Angaben aus der Buchungsstrecke übermitteln wir erst, wenn du die Buchung absendest. Deine Anmeldung prüfen wir über Firebase Authentication; dazu Abschnitt 3 b und Abschnitt 8. Grundlage für alle diese Einträge ist § 25 Abs. 2 Nr. 2 TDDDG: Sie sind unbedingt erforderlich, damit wir dir den von dir ausdrücklich gewünschten Dienst zur Verfügung stellen können.

Der Link Cookie-Einstellungen am Fuß jeder Seite öffnet eine schlichte Übersicht darüber, was diese Website in deinem Browser ablegt, damit du das jederzeit selbst nachsehen kannst.

4. Werbung und Messung

Wir setzen auf dieser Website keinen Werbe- oder Analysedienst ein. Es ist kein Anbieter eingebunden, es wird kein Werbe- oder Analyseskript geladen, und für diese Zwecke wird keine Kennung gesetzt. Es gibt hier also nichts, wofür wir deine Einwilligung bräuchten, und wir fragen dich auch nicht danach. Deshalb findest du auf dieser Website kein Einwilligungsband.

Anonyme Zählung der Paketbuchung

Auf den Seiten der Paketbuchung zählen wir, wie viele Besuche welchen Schritt erreichen, damit wir Hürden in der Buchung erkennen und beseitigen können. Dafür sendet die Seite bei einzelnen Schritten, etwa Seite geöffnet, Paket gewählt, Buchung abgeschickt oder weiter zur Zahlungsart, eine kurze Meldung an unsere eigene Serverfunktion in Frankfurt am Main. Sie enthält nur den Schritt und grobe Merkmale: die Sprache der Seite, Land und Paket der Buchung, bei einem Fehler dessen Art (nie deine Eingaben), die Kampagnenangaben utm_source, utm_medium und utm_campaign aus der Adresse. Aus der Browserkennung leiten wir nur ab, ob ein Handy, ein Tablet oder ein Computer genutzt wird.

Gespeichert werden ausschließlich Tagessummen, etwa „heute 12 Besuche vom Handy“. Zu dir entsteht kein Eintrag: Wir speichern weder deine IP-Adresse noch deine Browserkennung, setzen kein Cookie, legen nichts in deinem Browser ab, lesen nichts daraus, vergeben keine Kennung und führen die Zählung nicht mit anderen Daten zusammen. Deine IP-Adresse wird nur flüchtig verarbeitet, weil sie für die Übertragung technisch nötig ist. Ein Werbe- oder Analyseanbieter ist nicht beteiligt, wir geben die Zahlen nicht weiter; Serverfunktion und Datenbank betreibt Google in der Europäischen Union für uns (Abschnitt 3 a). Rechtsgrundlage ist unser berechtigtes Interesse an einer verständlichen und funktionierenden Buchung (Art. 6 Abs. 1 lit. f DSGVO). Die Tagessummen löschen wir nach 25 Monaten.

Sollten wir später eine Werbe-Messung einführen, liefe sie ausschließlich auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Wir würden dich vorher fragen, und diese Erklärung würde den Anbieter, die Daten und die Speicherdauern vorher benennen.

5. Kontaktaufnahme

Kontaktformular

Schickst du uns eine Anfrage über das Kontaktformular, speichern wir deine Angaben einschließlich der Kontaktdaten, um die Anfrage zu bearbeiten und für Anschlussfragen. Diese Daten geben wir nicht ohne deine Einwilligung weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Wir speichern deine Anfrage, bis sie erledigt ist, und löschen sie spätestens 24 Monate nach Eingang, wenn daraus kein Vertrag entsteht.

Für Anfragen über den Empfehlungslink eines Empfehlungspartners gilt zusätzlich der Abschnitt Empfehlungsprogramm unter Abschnitt 6.

E-Mail und Telefon

Schreibst oder rufst du uns an, speichern wir deine Anfrage einschließlich aller daraus hervorgehenden personenbezogenen Daten zur Bearbeitung. Diese Daten geben wir nicht ohne deine Einwilligung weiter.

WhatsApp

Schreibst du uns über WhatsApp, verarbeitet die WhatsApp Ireland Limited deine Telefonnummer und den Inhalt deiner Nachrichten nach ihren eigenen Bedingungen. Auf diese Verarbeitung haben wir keinen Einfluss. Willst du das vermeiden, schreib uns eine E-Mail.

Chat auf dieser Website

Auf dieser Website bieten wir einen Chat an, der Fragen zu unseren Produkten automatisiert beantwortet. Die Antworten erzeugt ein Sprachmodell. Auf diesen Umstand weisen wir im Chatfenster selbst hin, wie es Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 verlangt. Die Antworten können Fehler enthalten und sind keine verbindliche Zusage.

Verarbeitet werden der Inhalt deiner Nachrichten und der Verlauf des laufenden Gesprächs. Diese Daten gehen an unsere Serverfunktion in der Europäischen Union (Google Cloud Functions, Region Niederlande) und von dort an die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, die uns das Sprachmodell bereitstellt. Das Sprachmodell läuft in den Vereinigten Staaten von Amerika. Deine IP-Adresse verarbeiten wir dabei ausschließlich im Arbeitsspeicher, um die Zahl der Anfragen zu begrenzen und Missbrauch zu verhindern; sie wird nicht gespeichert.

Gesprächsinhalte speichern wir nicht dauerhaft. Wir erfassen lediglich tagesbezogene Zählwerte über die Menge der verarbeiteten Anfragen, um die Kosten zu kontrollieren. Ein Personenbezug ist daraus nicht herstellbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die schnelle Beantwortung von Produktfragen, sowie Art. 6 Abs. 1 lit. b DSGVO, soweit das Gespräch der Anbahnung eines Vertrags dient.

Bitte gib im Chat keine besonderen Kategorien personenbezogener Daten und keine Zugangsdaten ein. Für ein persönliches Gespräch erreichst du uns per Telefon oder E-Mail.

6. Kunden, Empfehlungspartner und Interessenten

Buchung und Kundenkonto

Buchst du ein Paket, verarbeiten wir deine Firmen- und Kontaktdaten, die Angaben zu deinem Betrieb, den Zeitpunkt deiner Zustimmungen, die Fassungen von AGB, Auftragsverarbeitungs­ver­ein­bar­ung und Datenschutzerklärung, die IP-Adressen der Verbindung und die Kennung deines Browsers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Beweissicherung Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, den Inhalt und den Zeitpunkt deiner Zustimmung später belegen zu können.

Die Angabe dieser Daten ist weder gesetzlich noch vertraglich vorgeschrieben; du bist nicht verpflichtet, sie bereitzustellen. Sie ist aber für den Abschluss des Vertrages erforderlich: Ohne deine Firmen- und Kontaktdaten, ohne die Angaben zu deinem Betrieb und ohne eine hinterlegte Zahlungsart können wir den Vertrag nicht schließen und dir das Bestellsystem nicht bereitstellen. Eine andere Folge hat es nicht.

Zahlungsart

Unsere Rechnungen bezahlst du über unseren Zahlungsdienstleister Stripe. Deine Zahlungsdaten, je nach gewählter Zahlungsart etwa deine Bankverbindung oder deine Karte, gibst du direkt auf einer Seite von Stripe ein. Wir erhalten davon nur, was wir für die Zuordnung und Anzeige brauchen, etwa die Art der Zahlungsart, die letzten Ziffern, eine Mandatsreferenz oder ein Ablaufdatum, dazu die Kennungen deines Kundenkontos bei Stripe. Vollständige Bank- oder Kartendaten erhalten wir nie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe kann Daten in den Vereinigten Staaten von Amerika verarbeiten; Einzelheiten stehen in Abschnitt 8.

Rechnungen und Buchhaltung

Rechnungen erstellen und versenden wir per E-Mail und übertragen sie an Lexware Office der Haufe-Lexware GmbH und Co. KG, Freiburg im Breisgau. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 14b UStG, § 147 Abs. 1 Nr. 4 und Abs. 3 AO), steuerlich bedeutsame Geschäftsbriefe sechs Jahre (§ 147 Abs. 1 Nr. 2 und 3 und Abs. 3 AO), jeweils ab dem Ende des Kalenderjahres. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Vertragsakte

Zu jedem Vertrag führen wir eine Vertragsakte mit den Ereignissen des Vertragsverlaufs, etwa Zustimmung, Buchung, Rechnungen, Änderungen und Kündigung. Wir bewahren sie bis zum Ende des dritten Kalenderjahres nach dem Ende des Vertrages auf, steuerlich bedeutsame Bestandteile sechs Jahre. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

Kündigung über „Verträge hier kündigen“

Kündigst du über die Seite „Verträge hier kündigen“, speichern wir deine Kündigungserklärung mit Art der Kündigung, gegebenenfalls dem Grund, deinem Namen, der E-Mail-Adresse deines Kontos, dem Namen deines Betriebs, dem gewünschten Zeitpunkt, Datum und Uhrzeit des Eingangs, den IP-Adressen der Verbindung und der Kennung deines Browsers. Wir gleichen die E-Mail-Adresse und den Namen des Betriebs mit unseren Vertragsakten ab, um die Kündigung dem richtigen Vertrag zuzuordnen, führen sie aus und schicken dir eine Eingangsbestätigung an die angegebene Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB, für die Ausführung der Kündigung Art. 6 Abs. 1 lit. b DSGVO und für den Schutz vor missbräuchlichen Kündigungen Art. 6 Abs. 1 lit. f DSGVO. Wir bewahren die Erklärung bis zum Ende des dritten Kalenderjahres nach ihrem Eingang auf; gehört sie zu einem Vertrag, wird sie Teil der Vertragsakte.

Partnerbewerbung

Bewirbst du dich als Integrationspartner oder als Empfehlungspartner, verarbeiten wir die Angaben aus deiner Bewerbung, etwa Firma, Ansprechperson, E-Mail-Adresse, Telefonnummer, Anschrift, Umsatzsteuer-Identifikationsnummer und deine Nachricht, zur Prüfung der Bewerbung und zur Anbahnung des Vertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Für Empfehlungspartner gilt zusätzlich der folgende Abschnitt Empfehlungsprogramm.

Lehnen wir deine Bewerbung ab, löschen wir sie sechs Monate nach der Ablehnung oder, wenn du dich danach erneut beworben hast, sechs Monate nach der letzten erneuten Bewerbung. Mit ihr löschen wir die Zustimmung zum Vertrag, die du bei der Registrierung gegeben hast, samt der Vertragsakte dazu, und dein Konto, solange es nur ein Bewerberkonto ist. Wirst du Partner, gehören die Angaben zu deinem Vertrag.

Bewirbst du dich als Integrationspartner über den Werbe-Link eines anderen Partners, ordnen wir deine Bewerbung diesem Partner zu. Solange deine Bewerbung offen ist, sieht er in seinem Partnerbereich den Namen deiner Firma, das Datum und den Stand deiner Bewerbung. Nach deiner Freischaltung sieht er, ob dein Partnerkonto aktiv ist, die Zahl deiner aktiven Restaurants und die Provision, die er dafür von uns erhält. Hast du keine Firma angegeben, sieht er statt eines Namens nur das Datum. Deine E-Mail-Adresse, Telefonnummer und Anschrift geben wir ihm nicht weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den werbenden Partner richtig und nachprüfbar zu vergüten. Der werbende Partner verarbeitet diese Angaben als eigener Verantwortlicher. Du kannst der Zuordnung nach Art. 21 Abs. 1 DSGVO widersprechen (Abschnitt 9). Bewirbst du dich als Empfehlungspartner, sieht der werbende Partner deine Bewerbung nicht.

Empfehlungsprogramm

Im Empfehlungsprogramm empfehlen Empfehlungspartner hfoods an Restaurants. Teilnehmen können Privatpersonen und Unternehmer. Kommt mit einem Restaurant ein Vertrag zustande, erhält der Empfehlungspartner eine Provision auf die Rechnungen, die das Restaurant an uns bezahlt. Dafür verarbeiten wir Daten der Empfehlungspartner und Daten der empfohlenen Betriebe.

a) Daten der Empfehlungspartner. Für deine Bewerbung gilt der Abschnitt Partnerbewerbung. Schließt du die Empfehlungspartner-Vereinbarung ab oder bestätigst du dein Konditionenblatt, legen wir eine Vertragsakte an: die Fassung und den Fingerabdruck des Textes, dem du zugestimmt hast, den Zeitpunkt, die IP-Adressen der Verbindung, die Kennung deines Browsers, deine Nutzerkennung, deine E-Mail-Adresse und die Teilnahmeart, die du angegeben hast (Privatperson oder Unternehmer). Nimmst du als Privatperson teil, speichern wir die IP-Adressen und die Kennung deines Browsers dabei nicht.

Nimmst du als natürliche Person teil, also als Privatperson oder als Einzelunternehmer, fragen wir bei der Registrierung dein Geburtsdatum ab. Wir prüfen damit, ob du volljährig bist, denn teilnehmen können nur volljährige Personen; bist du jünger als 18 Jahre, ist keine Registrierung möglich. Außerdem übernehmen wir es in die Einrichtung deines Auszahlungskontos, damit du es dort nicht noch einmal eingeben musst. Bestehen begründete Zweifel an deiner Volljährigkeit, können wir einen Nachweis verlangen; eine Ausweiskopie speichern wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Lehnen wir deine Bewerbung ab, löschen wir das Geburtsdatum mit ihr (Abschnitt Partnerbewerbung). Sonst bewahren wir es auf, solange du teilnimmst, und löschen es mit dem Ende des dritten Kalenderjahres nach dem Ende deiner Teilnahme.

Für die Abrechnung verarbeiten wir deine Stammdaten (Name, Firma, Rechtsform, Teilnahmeart, Anschrift und die E-Mail-Adresse für Abrechnungen), die Provisionen, die du verdienst, und die Belege, mit denen wir über sie abrechnen. Nimmst du als Unternehmer teil, verarbeiten wir außerdem deine Steuerangaben (Steuernummer oder Umsatzsteuer-Identifikationsnummer, als Kleinunternehmer gegebenenfalls deine Kleinunternehmer-Identifikationsnummer, und deinen Umsatzsteuerstatus) und rechnen per Gutschrift ab (§ 14 Abs. 2 Satz 5 UStG). Nimmst du als Privatperson teil, erheben wir keine Steuerangaben und rechnen mit einer Provisionsabrechnung ohne Umsatzsteuer ab; teilst du uns mit, dass du umsatzsteuerlich Unternehmer geworden bist, speichern wir das mit dem Tag, ab dem es gilt. Gutschriften und Provisionsabrechnungen schicken wir dir per E-Mail, zeigen sie in deinem Partnerbereich und übertragen sie mit deinem Namen als Lieferant an Lexware Office.

Ausgezahlt wird auf dein Auszahlungskonto bei unserem Zahlungsdienstleister, der Stripe Payments Europe, Limited, Dublin, Irland. Du richtest es einmal über deinen Partnerbereich ein; Stripe legt dafür ein mit uns verbundenes Konto an. Damit du Angaben nicht doppelt eingeben musst, übermitteln wir Stripe dabei deinen Namen, deine E-Mail-Adresse, deine Anschrift, deine Telefonnummer, wenn du sie angegeben hast, dein Geburtsdatum, ob du als Person oder als Gesellschaft teilnimmst, eine kurze Beschreibung deiner Tätigkeit als Empfehlungspartner und die Kennung deines Partnerkontos; später je Auszahlung den Betrag und die Nummer der Gutschrift oder Provisionsabrechnung. Du kannst die übermittelten Angaben bei Stripe vor der Bestätigung prüfen und ändern. Deine Identität und deine Bankverbindung erfasst Stripe direkt auf einer Seite von Stripe und prüft sie als eigener Verantwortlicher; dafür gilt die Datenschutzerklärung von Stripe. Von Stripe speichern wir nur die Kennung des Kontos und seinen Stand, etwa ob Auszahlungen möglich sind oder ob Angaben fehlen, nicht deine Ausweisdaten.

Eine Bankverbindung speichern wir bei uns nur, wenn du eine Überweisung beantragst, weil Stripe dein Auszahlungskonto abgelehnt oder geschlossen hat, du die Einrichtung nicht abschließen kannst oder dir die Nutzung aus wichtigem Grund nicht zumutbar ist, wenn wir dich um sie bitten, weil wir dir per Überweisung auszahlen, oder wenn du nach einer früheren Fassung der Vereinbarung teilnimmst, die die Angabe im Partnerbereich vorsieht. Dann speichern wir deine Bankverbindung mit IBAN, BIC und Kontoinhaber und verwenden sie für den Überweisungsauftrag an unsere Bank.

Deine Angaben als Empfehlungspartner verwenden wir ausschließlich, um unsere Pflichten aus der Vereinbarung zu erfüllen, also für Freischaltung, Zuordnung, Abrechnung und Auszahlung, und um gesetzliche Pflichten zu erfüllen, und zu keinem anderen Zweck. Werbung, etwa einen Newsletter, schicken wir dir aus diesen Daten nicht.

Deinen Anzeigenamen (deine Firma, sonst deinen Namen) zeigt die Seite deines Empfehlungslinks jedem, der den Link öffnet, als Empfehlung von dir. Wir nennen ihn außerdem Betrieben, die sich über deinen Link eintragen, in der E-Mail zur Bestätigung ihrer Anfrage, und Betrieben, die du selbst meldest, als Herkunft ihrer Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Nennung als Herkunft Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 14 Abs. 2 lit. f DSGVO.

Rechtsgrundlage für Bewerbung, Vertrag, Abrechnung und Auszahlung ist Art. 6 Abs. 1 lit. b DSGVO. Für Gutschriften, Provisionsabrechnungen, Buchungsbelege und ihre Aufbewahrung ist es Art. 6 Abs. 1 lit. c DSGVO mit den Aufbewahrungspflichten nach § 257 HGB, § 147 AO und § 14b UStG; wir bewahren sie acht Jahre ab dem Ende des Kalenderjahres auf. Nimmst du als Unternehmer teil, gilt für die Vertragsakte zusätzlich Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, Abschluss, Inhalt und Zeitpunkt deiner Zustimmung später belegen zu können. Nimmst du als Privatperson teil, führen wir die Vertragsakte nur, um den Vertrag zu erfüllen und unsere gesetzlichen Pflichten zu erfüllen (Art. 6 Abs. 1 lit. b und c DSGVO). Empfänger sind die Stripe Payments Europe, Limited für das Auszahlungskonto und die Auszahlungen, die Haufe-Lexware GmbH und Co. KG für die Buchhaltung in Lexware Office und der in Abschnitt 7 genannte Anbieter für den Versand der E-Mails.

Deine Vertragsakte bewahren wir auf, solange aus deinem Vertrag noch Provision entstehen kann. Danach rechnen wir ab dem spätesten dieser Tage: Ende des Vertrags, letzte Provision, letzte Gutschrift und Ende der letzten Zuordnung eines Betriebs. Mit dem Ende des dritten Kalenderjahres danach löschen wir aus der Akte die IP-Adressen, die Kennung deines Browsers, deine E-Mail-Adresse und deine Nutzerkennung, weil dann die Ansprüche aus dem Vertrag in der Regel verjährt sind (§§ 195, 199 BGB). Mit dem Ende des achten Kalenderjahres löschen wir die Akte selbst; bis dahin belegt sie das vereinbarte Gutschriftverfahren, so lange wie wir die Gutschriften aufbewahren. Lehnen wir deine Bewerbung ab, gilt die Frist aus dem Abschnitt Partnerbewerbung.

b) Daten empfohlener Betriebe. Trägst du deinen Betrieb über den Empfehlungslink eines Empfehlungspartners selbst ein, verarbeiten wir die Angaben aus dem Formular: Name des Betriebs, Ansprechperson, E-Mail-Adresse, Telefonnummer, Ort und, wenn angegeben, Postleitzahl und Nachricht.

Nach dem Absenden schicken wir dir eine E-Mail, mit der du deine Anfrage bestätigst. Erst mit dieser Bestätigung gilt deine Anfrage und deine Einwilligung; vorher melden wir uns nicht bei dir, und der Empfehlungspartner sieht die Anfrage nicht. Bestätigst du nicht innerhalb von 7 Tagen, löschen wir die Anfrage nach Ablauf dieser Frist. Kann die E-Mail nicht gesendet werden, löschen wir die Anfrage sofort. An dieselbe E-Mail-Adresse geht höchstens eine solche E-Mail in 24 Stunden. Zu deiner Einwilligung speichern wir ihren Wortlaut, ihre Fassung, den Zeitpunkt der Anfrage und den Zeitpunkt der Bestätigung.

Meldet ein Empfehlungspartner deinen Betrieb, erhalten wir die Angaben von ihm: Name des Betriebs, Ansprechperson, E-Mail-Adresse, Ort und, wenn er sie angibt, Telefonnummer, Postleitzahl und eine Notiz zu deinem Betrieb. Er erklärt uns dabei, dass du ihm vorher in Textform eingewilligt hast, und gibt an, auf welchen Wegen (E-Mail, Telefon) wir dich kontaktieren dürfen, an welchem Tag und in welcher Form (E-Mail, Messenger-Nachricht oder unterschriebenes Formular) du eingewilligt hast und wer für deinen Betrieb eingewilligt hat. Diese Angaben speichern wir zusammen mit dem Wortlaut, den er dafür bestätigt hat. Wir kontaktieren dich nur auf den Wegen, die er angegeben hat. Über die Meldung informieren wir dich sofort per E-Mail an die gemeldete Adresse. Kommt sie nicht an, informieren wir dich beim ersten Kontakt und reichen die Information in Textform nach, spätestens einen Monat nach der Meldung.

Zum Schutz vor Missbrauch zählen wir die Anfragen über Empfehlungslinks je Verbindung und Tag. Deine IP-Adresse (bei IPv6 ihren /64-Bereich) speichern wir dafür nur als Prüfwert zusammen mit dem Tag, nie im Klartext, und löschen ihn nach spätestens drei Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, das Formular vor massenhaften und missbräuchlichen Anfragen zu schützen.

Wir nutzen die Angaben, um dich zu deiner Anfrage zu kontaktieren, um sie dem Empfehlungspartner zuzuordnen, über dessen Link oder Meldung sie kam, um doppelte Meldungen desselben Betriebs zu erkennen und, wenn du Kunde wirst, um die Provision des Empfehlungspartners abzurechnen. Rechtsgrundlage für die Kontaktaufnahme ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit für die Zukunft widerrufen kannst. Für die Zuordnung, die Prüfung auf doppelte Meldungen und die Mitteilung an den Empfehlungspartner ist es Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, unsere Empfehlungspartner richtig und nachvollziehbar zu vergüten. Für die E-Mail zur Bestätigung, die Aufbewahrung unbestätigter Anfragen bis zu ihrer Löschung und die Angaben zu deiner Einwilligung ist es ebenfalls Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, nachweisen zu können, dass die Anfrage und die Einwilligung von deinem Betrieb stammen (Art. 7 Abs. 1 DSGVO). Die Angaben im Formular und bei der Meldung brauchen wir, um dich zu deiner Anfrage zu kontaktieren; ohne sie können wir die Anfrage nicht bearbeiten. Eine andere Folge hat es nicht. Wirst du Kunde, gilt für deine Daten als Kunde im Übrigen der Abschnitt Buchung und Kundenkonto.

Abweichend von Abschnitt 5 erfährt der Empfehlungspartner, dass dein Betrieb über seinen Link oder seine Meldung zu uns gekommen ist. In seinem Partnerbereich sieht er den Namen und den Ort deines Betriebs und den Stand der Anfrage, etwa ob sie geprüft wird, abgelehnt oder abgelaufen ist oder ob du Kunde geworden bist und seit wann. Wirst du Kunde, sieht er zur Abrechnung seiner Provision je bezahlter Rechnung an hfoods die Rechnungsnummer, den Zeitraum, den Tag der Zahlung, den Nettobetrag und die daraus berechnete Provision mit ihrem Stand. Dazu gehört, ob die Provision zurückgehalten wird oder entfällt, weil eine deiner Zahlungen angefochten oder zurückgebucht wurde. Ob eine andere Rechnung offen ist, erfährt er nicht. Rechnungsnummer, Zeitraum und Nettobetrag stehen auch auf seinen Gutschriften. Deine Ansprechperson, deine E-Mail-Adresse und deine Telefonnummer geben wir ihm nicht weiter. Der Empfehlungspartner verarbeitet diese Angaben als eigener Verantwortlicher.

Kommt kein Vertrag zustande, löschen wir die Angaben zu deinem Betrieb zwölf Monate nach dem Eingang der Anfrage. Wirst du Kunde, löschen wir Ansprechperson, E-Mail-Adresse, Telefonnummer und Nachricht aus der Anfrage, sobald die Provision des Empfehlungspartners für deinen Betrieb endet. Die Zuordnung zum Empfehlungspartner mit Name und Ort deines Betriebs bewahren wir bis zum Ende des dritten Kalenderjahres nach dem Ende der Provision auf, damit wir seine Abrechnung belegen können, und die Angaben in Gutschriften und Buchungsbelegen für die gesetzlichen Fristen (acht Jahre, § 147 AO, § 14b UStG). Deine Rechte aus Abschnitt 9 gelten auch hier. Der Zuordnung und der Mitteilung an den Empfehlungspartner kannst du nach Art. 21 Abs. 1 DSGVO widersprechen, der Kontaktaufnahme zu Werbezwecken jederzeit und ohne Begründung nach Art. 21 Abs. 2 DSGVO.

Register „Kein Kontakt gewünscht“. Widersprichst du der Kontaktaufnahme oder sagst du uns, dass du keinen Kontakt wünschst, tragen wir deine E-Mail-Adresse und deine Telefonnummer in ein Sperrregister ein, und zwar nur als Prüfwert, nicht im Klartext, mit der Art der Angabe und dem Tag der Eintragung, ohne den Namen deines Betriebs und ohne den Empfehlungspartner. Zugleich lehnen wir offene Anfragen zu deinem Betrieb ab und löschen bei allen Anfragen zu deinem Betrieb Ansprechperson, E-Mail-Adresse, Telefonnummer und Nachricht. Meldet dich später ein Empfehlungspartner, gleichen wir seine Angaben mit dem Register ab: Bei einem Treffer legen wir die Meldung nicht an, und er erfährt nur, dass dein Betrieb nicht von uns kontaktiert werden möchte. Trägt sich jemand mit deiner E-Mail-Adresse über einen Empfehlungslink ein, nehmen wir die Anfrage nicht an; steht nur deine Telefonnummer im Register, vermerken wir das an der Anfrage und rufen dich nicht an.

Zweck des Registers ist, deinen Widerspruch dauerhaft zu beachten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 21 Abs. 3 DSGVO, denn nach einem Widerspruch gegen Werbung dürfen wir deine Daten dafür nicht mehr verarbeiten, und ohne Abgleich könnten wir das bei einer neuen Meldung nicht sicherstellen. Wünschst du keinen Kontakt, ohne ausdrücklich zu widersprechen, ist es Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, dich nicht gegen deinen erkennbaren Willen anzusprechen (§ 7 Abs. 1 Satz 2 UWG). Den Eintrag bewahren wir auf, solange dein Wunsch gilt; eine feste Löschfrist gibt es nicht, weil wir ihn sonst nicht mehr beachten könnten. Bestätigst du später selbst eine Anfrage über einen Empfehlungslink per E-Mail, löschen wir den Eintrag zu deiner E-Mail-Adresse. Im Übrigen löschen wir ihn, wenn du uns sagst, dass du wieder Kontakt wünschst.

7. Empfänger

Wir geben Daten nur an die folgenden Empfänger weiter. Die Rolle steht bei jedem Anbieter einzeln: Mit den Auftragsverarbeitern haben wir einen Vertrag nach Art. 28 DSGVO geschlossen; wer eigener Verantwortlicher ist, entscheidet über seine Verarbeitung selbst und informiert darüber in seiner eigenen Datenschutzerklärung.

Darüber hinaus geben wir Daten an Steuerberatung, Behörden und Gerichte weiter, soweit wir dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO).

8. Übermittlung in Länder außerhalb der Europäischen Union

Wie Abschnitt 3 a und die Tabelle in Abschnitt 7 zeigen, finden einzelne Verarbeitungen regelmäßig außerhalb des Europäischen Wirtschaftsraums statt, insbesondere die Anmeldung über Firebase Authentication, die Zustellung von Push-Nachrichten und die Serverfunktionen des Verwaltungsbereichs bei Vercel.

Grundlage für Übermittlungen an Empfänger in den Vereinigten Staaten von Amerika ist der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), solange der Empfänger zertifiziert und der Beschluss in Kraft ist, hilfsweise die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 aus den Datenverarbeitungsbedingungen des jeweiligen Anbieters. Für die Anthropic Ireland, Limited ist Grundlage der mit ihr geschlossene Datenverarbeitungszusatz einschließlich der Standardvertragsklauseln.

Entfällt eine dieser Grundlagen, prüfen wir die Übermittlung neu und passen diese Erklärung an.

9. Deine Rechte

Nach der DSGVO stehen dir folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Du kannst Auskunft über deine bei uns gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Du kannst die Korrektur unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung (Art. 18 DSGVO): Du kannst die eingeschränkte Verarbeitung deiner Daten verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Du kannst deine Daten in einem maschinenlesbaren Format erhalten.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung kannst du jederzeit für die Zukunft widerrufen.

Zur Ausübung deiner Rechte schreib uns an info@highfoods.de.

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Über deine Buchung, über den Vertrag, über den Preis und über eine Kündigung entscheidet immer ein Mensch. Auch der Chat auf dieser Website trifft keine Entscheidung über deinen Vertrag; er beantwortet Fragen.

10. Fragen zu einem Gästekonto oder einer Bestellung

Fragen zu deinem Konto oder deinen Bestellungen in einem Bestellshop oder einer Bestell-App richtest du bitte an das Restaurant. Es ist dafür Verantwortlicher, und seine Datenschutzerklärung ist im Shop und in der App verlinkt. Erreicht uns eine solche Anfrage, leiten wir sie unverzüglich an das Restaurant weiter und handeln nach dessen Weisung.

Ein Gästekonto löschst du selbst in den Kontoeinstellungen der Bestellseite des jeweiligen Restaurants.

11. Speicherdauer

Soweit oben keine besondere Dauer genannt ist, speichern wir deine Daten, bis der Zweck der Verarbeitung entfällt. Im Einzelnen:

• Kontaktanfragen löschen wir drei Jahre nach dem Ende des Kalenderjahres der letzten Nachricht.
• Führt die Anfrage zu einem Vertrag, bewahren wir steuerlich bedeutsame Geschäftsbriefe sechs Jahre und Rechnungen sowie Buchungsbelege acht Jahre ab dem Ende des Kalenderjahres auf (§ 147 AO, § 14b UStG).
• Die Vertragsakte bewahren wir bis zum Ende des dritten Kalenderjahres nach dem Ende des Vertrages auf, steuerlich bedeutsame Bestandteile sechs Jahre.
• Kündigungen über „Verträge hier kündigen“ bewahren wir bis zum Ende des dritten Kalenderjahres nach ihrem Eingang auf.
• Angaben zu Betrieben, die uns über einen Empfehlungspartner empfohlen wurden, löschen wir zwölf Monate nach dem Eingang der Anfrage, wenn kein Vertrag zustande kommt. Wird der Betrieb Kunde, löschen wir die Kontaktangaben aus der Anfrage mit dem Ende der Provision und die Zuordnung zum Empfehlungspartner mit dem Ende des dritten Kalenderjahres danach.
• Anfragen über einen Empfehlungslink, die du nicht bestätigst, löschen wir, sobald die 7 Tage für die Bestätigung abgelaufen sind.
• Den Prüfwert deiner IP-Adresse zum Schutz der Empfehlungsseite löschen wir nach spätestens drei Tagen.
• Einträge im Register „Kein Kontakt gewünscht“ bewahren wir auf, solange dein Wunsch gilt (Abschnitt 6).
• Abgelehnte Partnerbewerbungen löschen wir sechs Monate nach der Ablehnung oder der letzten erneuten Bewerbung.
• Das Geburtsdatum eines Empfehlungspartners löschen wir mit einer abgelehnten Bewerbung, sonst mit dem Ende des dritten Kalenderjahres nach dem Ende seiner Teilnahme.
• Aus der Vertragsakte eines Empfehlungspartners löschen wir IP-Adressen, Browserkennung, E-Mail-Adresse und Nutzerkennung mit dem Ende des dritten Kalenderjahres, die Akte selbst mit dem Ende des achten Kalenderjahres nach dem spätesten der in Abschnitt 6 genannten Tage.
• Die Tagessummen der anonymen Zählung der Paketbuchung löschen wir nach 25 Monaten.
• Protokolle der Serverfunktionen löschen wir nach 30 Tagen.
• Datensicherungen überschreiben wir nach 98 Tagen; bis dahin können gelöschte Daten in Sicherungen noch enthalten sein, sie werden aber nicht mehr genutzt.
• Die Einträge im Web-Speicher deines Browsers bleiben dort, bis du die Daten dieser Website in deinem Browser löschst; die gespeicherte Anmeldung endet mit deiner Abmeldung.
• Den Entwurf deiner Buchung im Sitzungsspeicher verwirft dein Browser, sobald du den Tab schließt.

12. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine Daten zu schützen:

• TLS-Verschlüsselung für alle Datenübertragungen
• Verschlüsselte Speicherung von Passwörtern
• Keine Speicherung von Kartendaten bei uns; vollständige Bankverbindungen speichern wir nur für Überweisungen an Empfehlungspartner
• Zugriffsbeschränkte Datenbanken mit rollenbasierter Zugriffskontrolle
• Daten werden je Restaurant getrennt verwaltet
• Sicherung der Datenbank mindestens einmal wöchentlich, Aufbewahrung 98 Tage

13. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2 bis 4
40213 Düsseldorf
www.ldi.nrw.de

14. Schriftarten

Die Schriftarten dieser Website sind lokal eingebunden. Beim Aufruf dieser Website wird dafür keine Verbindung zu Servern von Google aufgebaut.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Rechtslage oder unsere Dienste ändern. Die jeweils geltende Fassung steht auf dieser Seite, mit dem Stand oben.