Datenschutzerklärung

1. Kurz vorab

Hier steht, welche Daten anfallen, wenn du unsere Webseite besuchst oder uns kontaktierst. Und warum, wie lange und wer sie sieht.

Das Wichtigste in drei Sätzen:

2. Wer ist verantwortlich?

Mini Café
Mahdi Aslani Kord Kandi (Einzelunternehmen)
Sechsschimmelgasse 24, 1090 Wien, Österreich
Telefon: +43 681 84370918
E-Mail: office@minicafe.at

Für alle Fragen zum Datenschutz ruf uns an oder schreib uns an diese Adresse. Einen eigenen Datenschutzbeauftragten haben wir nicht benannt.

Die Rechtsgrundlagen unten sind Artikel der Datenschutz-Grundverordnung (DSGVO). Wir nennen sie jeweils in Klammern.

3. Aufruf der Webseite

Wozu: Damit die Webseite überhaupt zu dir kommt und sicher läuft.

Welche Daten: Unser Hoster Cloudflare verarbeitet bei jedem Aufruf technische Daten, die dein Browser mitschickt: vor allem deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Browser und Betriebssystem (Server-Protokolle). Wie lange Cloudflare diese Protokolle aufbewahrt, legt Cloudflare nach seinen eigenen Vorgaben fest (siehe die Datenschutzhinweise von Cloudflare unter cloudflare.com/privacypolicy/).

Schriften: Die Schriften unserer Webseite liegen auf unserem eigenen Server. Beim Aufruf wird keine Verbindung zu Google oder einem anderen Schriften-Anbieter aufgebaut.

Formular für Catering: Das Anfrage-Formular für Catering ist derzeit nicht freigeschaltet (dort steht „kommt bald“). Es schickt nichts an uns und speichert nichts. Für eine Anfrage ruf uns an oder schreib uns (Abschnitt 7).

Rechtsgrundlage: unser berechtigtes Interesse an einer sicheren, funktionierenden Webseite (Art. 6 Abs. 1 lit. f).

Wer sie sieht: Cloudflare als unser Hoster und unser Technik-Dienstleister (Abschnitt 8).

4. Speicher in deinem Browser (Cookies und Ähnliches)

Unsere Webseite setzt selbst keine Cookies und speichert auf deinem Gerät nichts, solange du nur die Seiten ansiehst (kein localStorage, kein sessionStorage). Nur beim Bestellen im Café (Abschnitt 5, auch localStorage für Gerätekennung und Bestell-Ticket) und bei der Anmeldung im Mini Club (Abschnitt 6) wird etwas im Browser gespeichert. Die Sprache wählst du nur über die Adresse der Seite (zum Beispiel ?lang=de), gespeichert wird sie nicht. Deshalb gibt es auf unserer Webseite auch kein Cookie-Fenster. Ausnahmen sind das Bestellen im Café (Abschnitt 5) und die Anmeldung im Mini Club (Abschnitt 6).

Mögliches Cookie unseres Hosters: Cloudflare kann zur Sicherheit ein kurzlebiges Cookie setzen (__cf_bm). Es unterscheidet Menschen von automatischen Zugriffen und läuft ab, wenn du 30 Minuten lang nichts auf der Seite tust. Dafür braucht es keine Einwilligung, weil es unbedingt nötig ist, damit wir dir die Webseite sicher bereitstellen können (§ 165 Abs. 3 Telekommunikationsgesetz 2021). Du kannst Cookies jederzeit in deinem Browser löschen.

5. Bestellen im Café (per QR-Code)

Wozu: Du scannst den QR-Code im Café und bestellst am Handy. Wir brauchen deine Angaben, um die Bestellung zuzubereiten, dich beim Abholen aufzurufen und zuzuordnen, ob sie schon bezahlt ist.

Welche Daten: dein Name (Pflicht, ein Vorname genügt), deine Tischnummer (freiwillig), deine Bestellung (Produkte, Summe, Zeitpunkt) und ob die Bestellung an der Kassa schon bezahlt ist. Bezahlt wird an der Kassa bar oder mit Karte. Eine Online-Zahlung gibt es nicht, wir bekommen über die Webseite keine Zahlungsdaten. Zusätzlich verarbeiten wir technische Daten (deine IP-Adresse), damit niemand die Bestellfunktion missbraucht, zum Beispiel mit Massen-Bestellungen.

Speicher in deinem Browser: Öffnest du die Bestellseite über den QR-Code im Café, merkt sich dein Browser auf deinem Gerät deinen Warenkorb, dass du im Café bestellst, deine Tischnummer und nach dem Absenden deine Bestellnummer, damit wir dir den Stand deiner Bestellung zeigen können. Das ist für die Bestellung technisch notwendig, wird nicht an Dritte weitergegeben und dient nicht dem Verfolgen. Warenkorb, Café-Modus und Tischnummer löscht dein Browser, wenn du den Tab schließt. Die Bestellnummer wird nach der Abholung gelöscht.

Gerätekennung und Bestell-Ticket (Browser-Speicher, localStorage): Damit nicht jeder einen alten oder weitergeschickten QR-Code benutzen kann, merkt sich dein Browser eine zufällige Gerätekennung (eine Zeichenfolge ohne Bezug zu dir) und ein Bestell-Ticket. Das Ticket gilt für genau eine Bestellung und ist nach 15 Minuten oder nach deiner Bestellung ungültig. Wir speichern dazu keinen Standort und keine weiteren persönlichen Daten; die Kennung liegt bei uns am Server nur als Hash (verschlüsselter Wert, aus dem man sie nicht zurückrechnen kann). Das ist für die Bestellung im Café technisch notwendig, wird nicht an Dritte weitergegeben und dient nicht dem Verfolgen. So lange bleibt es gespeichert: Die Gerätekennung hat im Browser kein Ablaufdatum und bleibt, bis du die Browserdaten für diese Seite löschst. Das Bestell-Ticket gilt 15 Minuten. Abgelaufene Tickets werden bei uns am Server in der Regel nach 24 Stunden gelöscht. Löschen kannst du beides jederzeit selbst, indem du in deinem Browser die Website-Daten bzw. den Verlauf für diese Seite löschst. Danach bekommst du beim nächsten Scannen ein neues Ticket.

QR-Anzeige an der Kassa: Das Handy an der Kassa und der Fernseher im Café zeigen nur einen Code, der sich alle paar Minuten ändert. Dieses Gerät sammelt keine Daten von Gästen und speichert nichts über dich.

Ein Konto ist nicht nötig. Bestellungen, die nicht bezahlt werden, verfallen nach 30 Minuten automatisch.

Rechtsgrundlage: Vertrag mit dir, nämlich deine Bestellung (Art. 6 Abs. 1 lit. b). Für den Schutz vor Missbrauch: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Für die Aufbewahrung von Belegen und Aufzeichnungen, die wir steuerlich brauchen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).

Wie lange: Deinen Namen und die Tischnummer löschen oder trennen wir 90 Tage nach der Bestellung von der Bestellung. Die Bestellung selbst (Produkte und Summe, ohne deinen Namen) bewahren wir so lange auf, wie wir sie für die Buchhaltung brauchen (in Österreich in der Regel 7 Jahre). Die technischen Daten für den Missbrauchsschutz löschen wir nach 7 Tagen.

6. Mini Club (Stempelkarten und Kundenkonto)

Wozu: Der Mini Club ist unsere digitale Stempelkarte. Es gibt zwei Karten, eine für Kaffee und eine für Bowls. Du sammelst Stempel: Bei der Kaffee-Karte ist der Kaffee nach 10 Stempeln gratis, bei der Bowl-Karte die Bowl nach 8 Stempeln. Einen Stempel gibt es für jedes Kaffeegetränk und jedes Matcha-Getränk (Kaffee-Karte) bzw. jede Bowl (Bowl-Karte), Gebäck, Tee und Limonade zählen nicht. Mit deinem Konto kannst du außerdem vorbestellen und eine Abholzeit angeben. Mitmachen ist freiwillig. Das Konto legt Mahdi mit dir vor Ort im Café an. Online kannst du dich nicht selbst anmelden.

Welche Daten: dein Name, deine Telefonnummer und deine E-Mail-Adresse (alle drei brauchen wir, sonst legen wir kein Konto an). Dazu die PIN, die du beim Anlegen festlegst: Wir speichern sie nur in verschlüsselter Form (als Hash, aus dem man die PIN nicht zurückrechnen kann), im Klartext sehen wir sie nie. Außerdem ein zufälliger Code (QR-Code) für deine Karten, deine Stempel auf beiden Karten und das Protokoll der Buchungen: Wann (Datum und Uhrzeit) und von welchem Gerät im Café ein Stempel eingetragen oder eingelöst wurde. Bestellst du mit deinem Konto vor, speichern wir diese Vorbestellung samt Abholzeit. Wir schicken dir derzeit keine E-Mails und keine SMS, auch keine Werbung.

Rechtsgrundlage: Dein Konto und deine Stempelkarten führen wir nur, weil du dem am Tablet im Café mit einem Haken zugestimmt hast (Einwilligung, Art. 6 Abs. 1 lit. a). Ohne diesen Haken legen wir kein Konto an. Für deine Vorbestellungen ist es der Vertrag mit dir (Art. 6 Abs. 1 lit. b). Das Protokoll der Buchungen und den Schutz der PIN (Wartezeit nach Fehlversuchen) führen wir aus unserem berechtigten Interesse an einer fehlerfreien und missbrauchssicheren Stempelkarte (Art. 6 Abs. 1 lit. f). Belege über Vorbestellungen bewahren wir, soweit wir sie steuerlich brauchen, aufgrund einer rechtlichen Verpflichtung auf (Art. 6 Abs. 1 lit. c, siehe Abschnitt 5).

Anmeldung auf der Webseite: Auf der Webseite meldest du dich mit E-Mail-Adresse oder Telefonnummer und deiner PIN an. Nach mehreren falschen Eingaben musst du eine Zeit lang warten, bevor du es noch einmal versuchen kannst. Damit du angemeldet bleibst, speichern wir ein technisch notwendiges Cookie. Es dient nur dazu und wird nicht zum Verfolgen genutzt.

Wie lange: Solange du im Mini Club bist. Wenn du austrittst, löscht Mahdi dein Konto im Café mit einem Knopf am Tablet. Dann sind Name, Telefonnummer, E-Mail, PIN, Stempel und Vorbestellungen weg. Das Protokoll der Buchungen löschen oder anonymisieren wir dann ebenfalls. Du kannst es uns auch einfach sagen oder schreiben (Abschnitt 2). Bist du lange nicht mehr aktiv, löschen wir dein Konto nach 24 Monaten ohne Stempel und ohne Anmeldung. Bestellungen, die wir als Beleg steuerlich aufbewahren müssen, bleiben ohne deinen Namen bestehen (Abschnitt 5).

Widerruf und Verlust: Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, im Café oder per Nachricht an die Adresse in Abschnitt 2. Dann löschen wir dein Konto. Der Widerruf ändert nichts daran, dass die Verarbeitung bis dahin rechtmäßig war. Hast du dein Handy verloren oder die PIN vergessen, ersetzt dir Mahdi im Café den Zugang. Dein alter Zugang und dein alter QR-Code werden dabei ungültig.

Information beim Anlegen: Beim Anlegen am Tablet siehst du einen kurzen Text zu diesen Angaben mit einem Link auf diese Seite. Die Fassung des Textes, dem du zugestimmt hast, und den Zeitpunkt der Zustimmung speichern wir als Nachweis.

7. Kontakt per Telefon oder Mail

Rufst du uns an oder schreibst du uns, verarbeiten wir, was du uns mitteilst (meist Name, Telefonnummer oder E-Mail-Adresse und dein Anliegen), um dir zu antworten. Rechtsgrundlage: Geht es um einen Auftrag (zum Beispiel Catering), der Vertrag oder seine Anbahnung (Art. 6 Abs. 1 lit. b), sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f). Wie lange: 12 Monate, nachdem dein Anliegen erledigt ist. Bei Mails sieht sie auch der Anbieter unseres Postfachs (Helloly GmbH).

Du musst uns keine Daten geben. Die Webseite kannst du ganz ohne Angaben nutzen.

8. Wer deine Daten bekommt

Deine Daten sehen nur die Menschen und Firmen, die sie für den jeweiligen Zweck brauchen:

Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Bezahlt wird an der Kassa des Cafés, nicht über unsere Webseite.

Daten in den USA: Cloudflare hat seinen Sitz in den USA, deine Daten können daher auch dort verarbeitet werden. Für die USA gibt es einen Beschluss der EU-Kommission vom 10.07.2023 (EU-US Data Privacy Framework), der ein angemessenes Datenschutzniveau bei zertifizierten US-Firmen bestätigt. Cloudflare ist danach zertifiziert (Art. 45 DSGVO). Sollte der Beschluss wegfallen, gelten im Vertrag mit Cloudflare die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie dieser Garantien bekommst du auf Anfrage (Abschnitt 2).

9. Links zu Instagram, TikTok und Karten

Auf unserer Webseite gibt es Links zu Instagram, TikTok, Google Maps und Apple Maps. Das sind reine Links: Solange du nicht klickst, wird nichts zu diesen Diensten übertragen. Klickst du, verlässt du unsere Webseite, und es gilt die Datenschutzerklärung des jeweiligen Anbieters.

10. Deine Rechte und Beschwerde

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung, soweit wir nichts aufbewahren müssen (Art. 17), Einschränkung (Art. 18) und darauf, Daten, die du uns gegeben hast, in einem gängigen Format zu bekommen oder weitergeben zu lassen (Art. 20).

Dein Widerspruchsrecht: Wo wir uns auf unser berechtigtes Interesse stützen (Abschnitte 3, 5, 6 und 7), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Ein kurzer Anruf oder eine Nachricht an die Adresse in Abschnitt 2 reicht.

Dein Mini-Club-Konto und deine Bestelldaten kannst du auch direkt im Café einsehen oder löschen lassen. Eine Einwilligung, die du uns gegeben hast, kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Du musst uns die Daten nicht geben, ohne Namen können wir eine Bestellung aber nicht zuordnen.

Wir antworten innerhalb eines Monats. Bei schwierigen Fällen kann es bis zu zwei Monate länger dauern; dann sagen wir dir das innerhalb des ersten Monats und nennen den Grund. Damit niemand Fremder deine Daten bekommt, fragen wir eventuell nach, ob die Anfrage wirklich von dir ist.

Wenn du meinst, dass wir mit deinen Daten nicht richtig umgehen, kannst du dich beschweren bei:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Webseite: www.dsb.gv.at

Am liebsten klären wir es aber vorher direkt mit dir.

11. Stand

Stand: November 2026

Ändert sich etwas an unserer Webseite oder an den Diensten, die wir nutzen, passen wir diese Erklärung an. Wenn wir neue Funktionen einführen, ergänzen wir diese Erklärung vorher.