Datenschutz

für die Website und die Catering-Buchungen von Le Bistro Foodtruck · Stand: 29.10.2026

Hier steht, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website besuchst, eine Catering-Anfrage schickst oder uns buchst, wofür wir sie brauchen, wie lange wir sie behalten und welche Rechte du hast.

1. Wer verantwortlich ist

Dragisa Vidovic, Le Bistro Foodtruck, Binderlandweg 23, 4030 Linz, Österreich
E-Mail: office@lebistrofoodtruck.co.at
Telefon: +43 676 4204157

Das gilt für alle Konzepte von Le Bistro Foodtruck: Le Bistro, Nazoki, Tiligo und Zürsti. Einen Datenschutzbeauftragten haben wir nicht bestellt. Bei Fragen zum Datenschutz schreib uns einfach direkt.

2. Das Wichtigste in Kürze

• Statistik mit Google Analytics gibt es nur, wenn du im Cookie-Fenster zustimmst. Ohne deine Zustimmung setzt die Website keine Cookies für Statistik oder Werbung. Deine Wahl änderst du jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite.

• Schriften, Bilder und Videos liefern wir selbst aus. Eine Verbindung zu Google Fonts oder anderen Anbietern entsteht dafür nicht (Punkt 10).

• Deine Catering-Anfrage geht verschlüsselt über unseren Hosting-Anbieter Cloudflare in unser eigenes Catering-System.

• Wir verkaufen keine Daten. Wir geben sie nur weiter, wenn das für Hosting, Angebot, E-Mail-Versand oder Buchhaltung nötig ist oder das Gesetz es verlangt.

3. Besuch der Website und Hosting

Unsere Website liegt bei Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Cloudflare Pages). Wenn du eine Seite aufrufst, schickt dein Browser technisch nötige Daten: IP-Adresse, Zeitpunkt, die aufgerufene Adresse, Browser und Betriebssystem und die Seite, von der du kommst. Cloudflare braucht diese Daten, um die Seiten auszuliefern und vor Angriffen zu schützen. Wir selbst führen keine Zugriffsprotokolle und werten diese Daten nicht aus: Bei Cloudflare haben wir weder Protokolle (Logs) noch die Besucherstatistik (Web Analytics) eingeschaltet.

Cloudflare verarbeitet die Daten für uns als Auftragsverarbeiter nach seiner Datenverarbeitungsvereinbarung (Art. 28 DSGVO). Die technisch nötigen Verbindungsdaten verarbeitet Cloudflare dabei nach dieser Vereinbarung und seinen eigenen Richtlinien, so lange es für die Auslieferung und den Schutz der Website nötig ist. Eine feste Frist dafür können wir nicht einstellen, deshalb nennen wir keine. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA siehe Punkt 11.

4. Catering-Anfrage über das Formular

Welche Daten: Pflichtangaben sind Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Adresse und Datum der Veranstaltung, die Anzahl der Personen und das gewünschte Konzept (auch „Weiß ich noch nicht“). Freiwillig sind Firma, Uhrzeit, Anlass, Adresszusatz, gewünschte Services und deine Nachricht. Das Land ist mit Österreich vorausgewählt. Ohne die Pflichtangaben können wir dir kein Angebot machen.

Wofür: Wir brauchen die Daten, um dich zurückzurufen und dir ein Angebot zu schicken. Rechtsgrundlage sind Maßnahmen vor einem Vertrag, die du anfragst (Art. 6 Abs. 1 lit. b DSGVO). Fragst du für eine Firma oder einen Verein an, ist die Rechtsgrundlage für deine eigenen Kontaktdaten unser berechtigtes Interesse, das Angebot mit deinem Auftraggeber abzuwickeln (Art. 6 Abs. 1 lit. f DSGVO).

Wie die Anfrage zu uns kommt: Das Formular schickt deine Angaben über eine verschlüsselte Verbindung an eine kleine Funktion bei Cloudflare. Sie speichert die Anfrage verschlüsselt in einem Zwischenspeicher bei Cloudflare (Workers KV). Von dort holt unser Catering-System sie ab und löscht sie danach im Zwischenspeicher. Spätestens nach 30 Tagen löscht sich die Anfrage dort von selbst. Damit dieselbe Anfrage nicht zweimal bei uns ankommt, bleibt eine Prüfsumme ihres Inhalts ebenfalls 30 Tage gespeichert. Aus ihr lassen sich deine Angaben nicht zurückrechnen.

Schutz vor Missbrauch: Das Formular hat ein für Menschen unsichtbares Feld und prüft, wie schnell es ausgefüllt wurde. Außerdem nimmt es höchstens 5 Anfragen pro Stunde vom selben Absender an. Dafür bilden wir aus deiner IP-Adresse und der aktuellen Stunde mit einem geheimen Schlüssel eine gekürzte Prüfsumme und speichern nur diese, höchstens rund zwei Stunden lang. Deine IP-Adresse selbst halten wir dafür nur kurzzeitig im Arbeitsspeicher (für die Zählung höchstens eine Stunde) und speichern sie nicht dauerhaft. Rechtsgrundlage ist unser berechtigtes Interesse, das Formular vor Massen-Einsendungen zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Bitte keine Gesundheitsdaten: Schreib ins Nachrichtenfeld bitte keine Gesundheitsdaten einzelner Personen. Gibt es Allergien oder Unverträglichkeiten, nenne uns nur, wie viele Gäste betroffen sind, etwa „3 Gäste glutenfrei“. Steht trotzdem eine solche Angabe zu einer bestimmten Person in der Anfrage, löschen wir sie oder kürzen sie auf die Anzahl.

Entwurf im Browser: Damit eine angefangene Anfrage nicht verloren geht, merkt sich dein Browser deine Eingaben und eine zufällige Kennung der Anfrage im Speicher dieses Tabs (Session Storage). Der Eintrag entsteht, sobald du das Anfrageformular öffnest oder auf einer Konzeptseite „anfragen“ wählst. Er bleibt auf deinem Gerät und wird gelöscht, sobald deine Anfrage bei uns angekommen ist oder du den Tab schließt.

5. Angebot, Auftrag und Abrechnung

Deine Anfrage bearbeiten wir in unserem eigenen Catering-System. Es läuft auf unserem eigenen Server und ist aus dem Internet nicht erreichbar.

• Angebot: Das PDF des Angebots erstellen wir mit Google Docs und Google Apps Script. Einzelne Listen führen wir auch in Google Sheets. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten an Google LLC in den USA gehen, siehe Punkt 11.

• E-Mail: Angebote, Bestätigungen und Rückfragen schicken wir über unseren E-Mail-Anbieter World4You Internet Services GmbH, Linz.

• Rechnung: Rechnungen erstellen wir in unserem eigenen Rechnungsprogramm auf unserem Server.

• Planung: Die Angaben zur Veranstaltung sieht unser Team, soweit es sie für die Planung des Einsatzes braucht.

• Ansprechperson vor Ort: Nennt uns der Auftraggeber eine Ansprechperson vor Ort, verwenden wir deren Namen und Telefonnummer nur, um den Einsatz abzustimmen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen sie mit den Auftragsunterlagen.

• Weitergabe: Buchhaltungsunterlagen geben wir weiter, soweit das für Buchhaltung und Steuern nötig ist, etwa an eine Steuerberatung (Art. 6 Abs. 1 lit. c und f DSGVO). An Behörden geben wir Daten nur weiter, wenn das Gesetz es verlangt.

Rechtsgrundlagen sind der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO) und die gesetzlichen Aufbewahrungs- und Buchhaltungspflichten (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 132 BAO). Für Ansprechpersonen von Firmen und Vereinen ist es unser berechtigtes Interesse, den Auftrag mit ihrem Auftraggeber abzuwickeln (Art. 6 Abs. 1 lit. f DSGVO).

6. Kontakt per E-Mail und Telefon

Schreibst du uns direkt oder rufst du an, verarbeiten wir deine Angaben, um dein Anliegen zu beantworten. Geht es um ein Catering, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei sonstigen Fragen ist es unser berechtigtes Interesse, dir zu antworten (Art. 6 Abs. 1 lit. f DSGVO).

7. Savora-Liste und Neuigkeiten

Auf der Savora-Seite kannst du dich eintragen, um als Erstes zu erfahren, was hinter Savora steckt. Dafür speichern wir deine E-Mail-Adresse, wann du dich eingetragen hast, den Wortlaut und die Fassung deiner Einwilligung, dass die Anmeldung von der Savora-Seite kam und ob du deine Adresse schon bestätigt hast. Der Eintrag liegt verschlüsselt im Zwischenspeicher bei unserem Hosting-Anbieter Cloudflare (Punkt 3).

Erst bestätigen, dann Neuigkeiten: Bevor wir dir die erste Info zu Savora schicken, bekommst du eine Mail mit einem Link zum Bestätigen. Sie enthält nur diese Bitte, keine Werbung. Neuigkeiten schicken wir erst, wenn du bestätigt hast, und jede dieser Mails enthält einen Link zum Abmelden. Bestätigst du nicht innerhalb von 30 Tagen nach dieser Mail, löschen wir deine Adresse. Ohne Bestätigung löscht sich dein Eintrag spätestens 6 Monate nach deiner Anmeldung von selbst, auch wenn die Mail bis dahin noch nicht verschickt wurde. Für den Versand holt unser eigenes System auf unserem Server die Adresse ab; die Mails gehen über unseren E-Mail-Anbieter (Punkt 5).

Schutz vor Missbrauch: wie beim Anfrageformular (Punkt 4): ein für Menschen unsichtbares Feld und höchstens 5 neue Anmeldungen pro Stunde vom selben Absender, gezählt über eine gekürzte Prüfsumme; deine IP-Adresse selbst halten wir dafür nur kurzzeitig im Arbeitsspeicher.

Rechtsgrundlage und Widerruf: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Du kannst sie jederzeit widerrufen, über den Abmeldelink oder mit einer kurzen E-Mail an office@lebistrofoodtruck.co.at. Der Widerruf gilt für die Zukunft.

Wie lange: Hast du bestätigt, speichern wir deine Adresse, bis du dich abmeldest oder deine Einwilligung widerrufst, längstens bis 01.01.2028. Ohne Bestätigung löscht sich der Eintrag 6 Monate nach deiner Anmeldung von selbst, oder 30 Tage nach der Bestätigungsmail, wenn das früher ist. Nach einer Abmeldung bekommst du keine Mails mehr und deine Adresse kommt auf keine Versandliste. Wir bewahren dann nur den Nachweis deiner Einwilligung und deiner Abmeldung auf (Adresse, Zeitpunkte, Wortlaut), verschlüsselt und längstens bis 01.01.2028, damit wir belegen können, dass wir uns daran halten.

Eine Anmeldung für allgemeine Neuigkeiten von Le Bistro Foodtruck bieten wir derzeit nicht an.

8. Cookies, Speicher im Browser und Statistik

Für manche Funktionen legt die Website kleine Einträge in deinem Browser ab, als Cookie oder im Speicher des Browsers (Local Storage, Session Storage). Ohne deine Einwilligung ist das nur erlaubt, wenn es für eine Funktion, die du ausdrücklich nutzt, unbedingt nötig ist (§ 165 Abs. 3 TKG 2021). Alles andere machen wir nur mit deiner Einwilligung.

Notwendig, ohne Einwilligung. Diese Einträge bleiben auf deinem Gerät:

• lbf-einwilligung (Local Storage): deine Wahl im Cookie-Fenster mit Datum, ohne Kennung. Nach 6 Monaten oder wenn sich unsere Werkzeuge ändern, fragen wir neu.

• lbf-anfrage-entwurf (Session Storage): der Entwurf deiner Anfrage, siehe Punkt 4.

• lbf-shutter und lbf-ziel (Session Storage): ein kurzer Merker für den Übergang beim Wechsel zwischen zwei Seiten unserer Website, ohne Bezug zu dir. Er wird auf der nächsten Seite oder beim Schließen des Tabs gelöscht.

• lbf-figur-2-gefunden-v1 (Local Storage): Er merkt sich, welche Verstecke du im Spiel auf der Le-Truc-Seite schon gefunden hast. Er bleibt, bis du die Website-Daten in deinem Browser löschst.

Werbepixel oder eingebettete Social-Media-Inhalte verwenden wir nicht.

9. Google Search Console

Mit der Google Search Console sehen wir, wie unsere Website in der Google-Suche erscheint: bei welchen Suchbegriffen, wie oft sie angezeigt und angeklickt wird und ob Google unsere Seiten richtig lesen kann. Google zeigt uns dafür nur zusammengefasste Zahlen, keine Angaben zu einzelnen Personen. Auf unserer Website wird dafür nichts geladen und kein Cookie gesetzt. Dass uns die Website gehört, bestätigt ein Eintrag im DNS unserer Domain oder ein unsichtbarer Hinweis im Quelltext unserer Seiten (kein Skript, kein Cookie). Was bei einer Google-Suche mit deinen Daten geschieht, verantwortet Google (Google Ireland Limited) selbst nach seiner Datenschutzerklärung. Soweit wir dabei überhaupt personenbezogene Daten erhalten, ist die Rechtsgrundlage unser berechtigtes Interesse, in der Suche gut gefunden zu werden (Art. 6 Abs. 1 lit. f DSGVO).

10. Schriften, Bilder und Videos

Unsere Schriften Archivo Black, Space Grotesk und Space Mono, Bilder und Videos liefern wir von unserem eigenen Webspace bei Cloudflare aus (Punkt 3). Eine Verbindung zu Google Fonts oder anderen Anbietern entsteht dafür nicht.

11. Übermittlung in die USA

Cloudflare, Inc. (Punkte 3, 4 und 7) hat seinen Sitz in den USA. Google kann Daten an Google LLC in den USA übermitteln (siehe Punkt 5, Punkt 8). Für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Beschluss vom 10.07.2023, Art. 45 DSGVO). Cloudflare und Google geben auf ihren Datenschutzseiten an, danach zertifiziert zu sein (zuletzt geprüft im Oktober 2026). Für den Fall, dass der Beschluss wegfällt, nennen beide zusätzlich die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

12. Links zu anderen Diensten

Auf unserer Website stehen Links zu Instagram, Facebook, Google Maps (Wegbeschreibung und Bewertungen) und zu Websites unserer Kunden und Partner. Das sind einfache Links: Erst wenn du einen anklickst, verlässt du unsere Seite. Ab dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

13. Unsere Seiten auf Instagram und Facebook

Für unsere Seiten auf Instagram und Facebook sind wir gemeinsam mit Meta Platforms Ireland Limited verantwortlich, soweit Meta uns Statistiken über die Besuche dieser Seiten zeigt (Art. 26 DSGVO). Meta hat dafür eine Vereinbarung mit den Seitenbetreibern. Deine Rechte kannst du auch direkt bei Meta geltend machen. Bilder, die wir dort veröffentlichen, verarbeitet auch Meta. Rechtsgrundlage für unsere Seiten dort ist unser berechtigtes Interesse, unsere Arbeit zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Für Bilder, auf denen Personen erkennbar sind, gilt Punkt 14.

14. Fotos und Videos bei Veranstaltungen

• Ohne Personen im Mittelpunkt: Bei Veranstaltungen fotografieren und filmen wir unsere Fahrzeuge, Speisen, den Aufbau und die Stimmung. Bilder ohne erkennbare Personen im Mittelpunkt verwenden wir auf unserer Website, auf Social Media und in der Werbung. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Arbeit zu zeigen (Art. 6 Abs. 1 lit. f DSGVO).

• Erkennbare Personen im Mittelpunkt: Solche Bilder veröffentlichen wir nur mit deren Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 78 UrhG), bei Kindern mit der Einwilligung der Eltern.

• Private Feiern und interne Firmenfeiern: Hier veröffentlichen wir keine Bilder, auf denen Gäste erkennbar sind, auch nicht im Hintergrund, außer mit deren Einwilligung.

• Fotobox: Bilder aus einer Fotobox verwenden wir nur mit gesonderter Einwilligung der Abgebildeten.

• Am Truck und an unseren Ständen: Wer nicht fotografiert werden will, sagt es unserem Team.

• Widerspruch und Widerruf: Bist du auf einem unserer Bilder zu sehen und möchtest das nicht, sag es uns, formlos genügt. Bei Bildern mit Einwilligung ist das dein Widerruf, bei allen anderen dein Widerspruch. Wir nehmen das Bild dann von unserer Website und unseren Kanälen und löschen es bei uns.

• Wie lange: Bilder mit Einwilligung bis zu deinem Widerruf. Bilder auf Grundlage unseres berechtigten Interesses so lange, wie wir damit unsere Arbeit zeigen, oder bis du widersprichst.

15. Wie lange wir Daten speichern

• Verbindungsdaten beim Aufruf der Website (Punkt 3): Wir selbst speichern sie nicht. Cloudflare verarbeitet sie, so lange es für Auslieferung und Schutz der Website nötig ist; eine feste Frist können wir dafür nicht einstellen.

• Anfragen im Zwischenspeicher bei Cloudflare: bis zur Abholung durch unser Catering-System, höchstens 30 Tage. Die Prüfsumme gegen doppelte Anfragen: 30 Tage.

• Prüfsumme gegen Massen-Einsendungen (Punkt 4): höchstens rund zwei Stunden.

• Anfragen, aus denen kein Auftrag wird, und sonstige Anfragen per E-Mail oder Telefon: spätestens 12 Monate nach dem letzten Kontakt.

• Angebote, Verträge, Rechnungen und die zugehörige Korrespondenz: 7 Jahre ab dem Ende des Kalenderjahres (§ 132 BAO). Bei einem laufenden Verfahren speichern wir länger, solange es dauert.

• Savora-Liste: bestätigte Adressen bis zu deiner Abmeldung oder deinem Widerruf, längstens bis 01.01.2028; unbestätigte 6 Monate nach der Anmeldung oder 30 Tage nach der Bestätigungsmail, wenn das früher ist; der Nachweis einer Einwilligung und Abmeldung längstens bis 01.01.2028 (Punkt 7).

• Deine Wahl im Cookie-Fenster: 6 Monate in deinem Browser.

• Google Analytics: Cookies 6 Monate, Daten zu einzelnen Besuchen 2 Monate.

• Fotos und Videos (Punkt 14): mit Einwilligung bis zu deinem Widerruf, sonst so lange, wie wir damit unsere Arbeit zeigen, oder bis du widersprichst. Danach nehmen wir sie von unserer Website und unseren Kanälen und löschen sie.

• Nachweise über Einwilligungen: solange wir die Einwilligung nutzen, danach bis zum Ende der Verjährungsfrist.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Dafür genügt eine formlose Nachricht, etwa an office@lebistrofoodtruck.co.at. Deine Einwilligung zur Statistik widerrufst du am einfachsten über „Cookie-Einstellungen“ unten auf jeder Seite.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Der Verwendung deiner Daten für Werbung kannst du jederzeit ohne Begründung widersprechen.

Beschwerde: Meinst du, dass wir deine Daten nicht richtig verarbeiten, kannst du dich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, dsb@dsb.gv.at, www.dsb.gv.at.

17. Pflicht zur Angabe, keine automatisierten Entscheidungen

Für den Besuch der Website musst du uns keine Daten geben. Für ein Angebot brauchen wir die Pflichtangaben aus Punkt 4. Automatisierte Entscheidungen oder Profiling im Sinn von Art. 22 DSGVO gibt es bei uns nicht.

18. Datensicherheit

Die Website und das Formular übertragen Daten verschlüsselt (TLS). Anfragen und Savora-Anmeldungen liegen im Zwischenspeicher bei Cloudflare zusätzlich verschlüsselt (AES-256). Den Schlüssel dafür verwahren wir getrennt davon als geschützte Einstellung bei Cloudflare. Unser Catering-System ist aus dem Internet nicht erreichbar. Zugriff auf die Daten haben die Mitglieder unseres Teams mit eigenem, passwortgeschütztem Konto und die oben genannten Dienstleister. Den Verwaltungsbereich der Website erreichen nur dafür freigegebene Mitglieder unseres Teams nach einer zusätzlichen Anmeldung über Cloudflare Access. Nur bei ihnen setzt Cloudflare dafür ein Anmelde-Cookie (CF_Authorization). Es weist die Anmeldung nach und gilt für die eingestellte Sitzungsdauer, laut Cloudflare ohne eigene Einstellung 24 Stunden. Für die Anmeldung ist es unbedingt nötig (§ 165 Abs. 3 TKG 2021). Besuchern der Website setzt es niemand.

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Website, unsere Abläufe oder die Rechtslage ändern. Es gilt immer die Fassung auf dieser Seite.