Datenschutzerklärung
Kurz gesagt: Wir verarbeiten nur die Daten, die für Website, Konto, Abo und deine Arbeit in cook&kalk nötig sind, und verkaufen nichts weiter. Hier steht im Detail, welche Dienstleister wir einsetzen, wo deine Daten liegen und welche Rechte du hast.
1. Verantwortlicher
cook&kalk e.U.
Inhaber: Stefan Pichler
Birkenweg 7, 7083 Purbach am Neusiedlersee, Österreich
FN 687407 v, Landesgericht Eisenstadt
E-Mail: office@cook-kalk.com
Für personenbezogene Daten, die ein Kunde in cook&kalk über seine Mitarbeiter und Teammitglieder erfasst, ist der jeweilige Kunde (Betrieb) Verantwortlicher. Wir verarbeiten diese Daten in seinem Auftrag – geregelt im Auftragsverarbeitungsvertrag (AVV).
2. Unsere Dienstleister auf einen Blick
- Cloudflare, Inc. (USA) – Auslieferung von Website und App (Cloudflare Pages) und Weiterleitung von E-Mails an office@cook-kalk.com (Email Routing). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Cloudflare ist zertifiziert) bzw. der Standardvertragsklauseln der EU-Kommission.
- Supabase, Inc. (USA) – Konto, Anmeldung, Datenbank und Server-Funktionen. Serverstandort EU (Frankfurt, Deutschland); soweit ein Zugriff aus den USA möglich ist, gelten die Standardvertragsklauseln laut Auftragsverarbeitungsvertrag des Anbieters.
- Stripe – Zahlungen und Abo-Verwaltung. Vertragspartner für Kunden in der EU ist die Stripe Payments Europe, Ltd., Irland. Eine Übermittlung an die Stripe, Inc. (USA) ist möglich; sie erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln.
- Resend, Inc. (USA) – Versand von Transaktions-E-Mails (z. B. Team-Einladungen). Übermittlung auf Grundlage der Standardvertragsklauseln.
3. Aufruf von Website und App (Hosting)
Website und App werden über Cloudflare Pages ausgeliefert. Dabei fallen beim Anbieter technisch notwendige Server-Logs an – insbesondere IP-Adresse, Zeitpunkt des Zugriffs und abgerufene Seite –, damit die Seiten ausgeliefert, der Betrieb gesichert und Angriffe abgewehrt werden können. Wie lange diese Protokolle gespeichert werden, richtet sich nach den Vorgaben von Cloudflare; wir führen sie nicht mit anderen Daten zusammen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Die Schriften der Website laden wir von unserem eigenen Webspace; es wird keine Verbindung zu Google Fonts aufgebaut.
4. Kontakt per E-Mail
Schreibst du an office@cook-kalk.com, wird deine Nachricht über Cloudflare Email Routing an das Postfach des Inhabers weitergeleitet. Wir verwenden deine Angaben nur, um deine Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst lit. f), und bewahren sie so lange auf, wie es dafür oder für gesetzliche Aufbewahrungspflichten nötig ist.
5. Registrierung, Konto und Profil
Für dein Konto verarbeiten wir deine E-Mail-Adresse und – wenn du eines festlegst – dein Passwort, das nur als Hash gespeichert wird. Du meldest dich per E-Mail-Link oder mit Passwort an. Nach der ersten Anmeldung fragen wir einmalig dein Profil ab: Vorname, Nachname, Firma, Straße, PLZ, Ort und Land (Pflichtangaben – ohne sie können wir keinen Vertrag schließen und keine korrekte Rechnung ausstellen) sowie optional Telefonnummer und UID-Nummer. Außerdem speichern wir deinen Abo-Status (Testphase, Tarif, Laufzeit).
Wenn du nach der Testphase freiwillig eine Bewertung (1–10) abgibst, speichern wir sie mit Zeitpunkt zu deinem Konto, um unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).
Diese Daten liegen bei Supabase in einem Rechenzentrum in Frankfurt am Main (Deutschland). Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
6. Deine Inhalte, Team und Protokoll
Was du in cook&kalk anlegst, speichern wir für dich in der Datenbank in Frankfurt: Gerichte, Preise, Lieferanten, Speisekarten und Monats-WES. Lädst du Mitarbeiter ein, verarbeiten wir zu jedem Teammitglied E-Mail-Adresse, Name, Rolle und Einladungsstatus und verschicken die Einladung per E-Mail. Das Protokoll hält fest, wer wann was geändert hat, damit Änderungen im Team nachvollziehbar sind. Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO); für die Daten der Teammitglieder handeln wir im Auftrag des Kunden (AVV).
7. Zahlungsabwicklung
Kostenpflichtige Abos wickeln wir über Stripe ab; Vertragspartner für Kunden in der EU ist die Stripe Payments Europe, Ltd., Irland. Die Zahlungsdaten gibst du direkt bei Stripe ein; Stripe verarbeitet sie eigenverantwortlich. Wir erhalten von Stripe deine Kunden-ID, den Abo-Status und die Rechnungsdaten – vollständige Kartendaten erhalten wir nicht. Eine Übermittlung an die Stripe, Inc. (USA) ist möglich (EU-US Data Privacy Framework bzw. Standardvertragsklauseln). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Rechnungsdaten bewahren wir wegen gesetzlicher Pflichten auf (Art. 6 Abs. 1 lit. c DSGVO, siehe Punkt 11). Näheres in der Datenschutzerklärung von Stripe.
8. E-Mails, die wir verschicken
Anmelde-Links, E-Mails zum Passwort und Team-Einladungen versenden wir über Supabase bzw. Resend, Inc. (USA). Dabei wird deine E-Mail-Adresse – bei Einladungen auch der Name des Betriebs, der Name der einladenden Person und die vorgesehene Rolle – ausschließlich für den Versand der jeweiligen Nachricht verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Übermittlung in die USA auf Grundlage der Standardvertragsklauseln.
Über neue Registrierungen, Abo-Abschlüsse und ablaufende Testphasen informieren wir uns intern per E-Mail an unsere eigene Adresse (ebenfalls über Resend). Diese Mail enthält deine Profilangaben (Name, Firma, Adresse, Telefon, E-Mail) und den Abo-Status, damit wir dich bei Fragen persönlich betreuen können (Art. 6 Abs. 1 lit. f DSGVO).
9. Speicher im Browser, keine Tracking-Cookies
Website und App nutzen den Speicher deines Browsers (localStorage und sessionStorage) nur, soweit es für die Funktion technisch notwendig ist – etwa für deine Anmeldesitzung, die gewählte Sprache und deinen Arbeitsstand. Wir setzen keine Tracking- oder Marketing-Cookies ein. Für technisch notwendige Speicherungen ist keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021); deshalb gibt es kein Einwilligungsbanner.
10. Reichweitenmessung
Sofern aktiviert, nutzen wir Cloudflare Web Analytics: eine cookielose Reichweitenmessung ohne personenbezogene Profile. Wir sehen dabei nur zusammengefasste Werte (z. B. Seitenaufrufe). Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung der Website (Art. 6 Abs. 1 lit. f DSGVO).
Herkunft der Registrierung: Kommst du über einen Link mit Herkunftsangabe zu uns (z. B. aus einer Google-Anzeige: ?von=google), speichern wir bei deiner Registrierung nur diese kurze Angabe zu deinem Konto. So sehen wir, welche Werbung tatsächlich zu Anmeldungen führt. Dafür werden keine Cookies gesetzt und nichts in deinem Browser gespeichert; der Link-Zusatz wird nur beim Wechsel zur Anmeldeseite weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse an wirtschaftlicher Werbung (Art. 6 Abs. 1 lit. f DSGVO).
Auswahl „Was beschreibt deinen Betrieb am besten?“: Auf der Startseite kannst du freiwillig angeben, ob du Koch, Wirt, Hotel oder Catering bist. Damit wir sehen, welche Betriebe sich für cook&kalk interessieren, zählen wir anonym: den Seitenaufruf, die gewählte Gruppe und ob danach die Demo oder „Kostenlos testen“ angeklickt wurde – je Seitenaufruf jedes Ereignis höchstens einmal. Gespeichert werden nur Ereignis, Gruppe, Werbe-Herkunft (z. B. google), Zeitpunkt und eine Zufallsnummer, die nur für diesen einen Seitenaufruf gilt. Wir speichern dabei keine IP-Adresse, keine E-Mail, keine Cookies und nichts in deinem Browser; ein Wiedererkennen über mehrere Besuche ist nicht möglich. Registrierst du dich danach, wird die gewählte Gruppe – wie die Herkunft – als kurze Angabe zu deinem Konto gespeichert. Die Zähldaten liegen bei Supabase (Frankfurt), sind nur für uns einsehbar und werden nach 13 Monaten gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO).
11. Speicherdauer
- Konto, Profil und Inhalte: bis zur Löschung deines Kontos. Du kannst dein Konto jederzeit selbst in der App löschen.
- Testphase: Damit die kostenlose Testphase nicht durch eine neue Registrierung wiederholt werden kann, behalten wir nach einer Kontolöschung nur E-Mail-Adresse und Testzeitraum (Art. 6 Abs. 1 lit. f DSGVO).
- Rechnungsdaten: sieben Jahre (§ 132 BAO).
- Server-Logs: laut Vorgaben des Anbieters (siehe Punkt 3).
- Anonyme Zählung der Startseite (Punkt 10): 13 Monate.
12. Warteliste
Vor der Öffnung für neue Kunden konnte man sich mit der E-Mail-Adresse auf eine Warteliste setzen. Diese Adressen verwenden wir ausschließlich für eine einmalige Nachricht zum Start (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Du kannst die Einwilligung jederzeit per E-Mail an office@cook-kalk.com widerrufen; dann löschen wir deine Adresse umgehend. Spätestens nach dieser Nachricht wird die Liste gelöscht, sofern du kein Konto anlegst.
13. Deine Rechte
Du hast das Recht auf Auskunft über deine gespeicherten Daten sowie auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerruf erteilter Einwilligungen und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen. Wende dich dafür einfach an office@cook-kalk.com. Außerdem kannst du dich bei der Aufsichtsbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.
Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.
14. Datensicherheit
Alle Verbindungen zu Website und App sind per TLS verschlüsselt. Auf deine Daten kommst du nur über die Anmeldung; auf Datenbankebene stellt eine Zugriffskontrolle (Row Level Security) sicher, dass jeder Betrieb ausschließlich seine eigenen Daten sieht.
15. Änderungen
Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern – die jeweils aktuelle Fassung findest du auf dieser Seite.
Stand: 13.10.2026