Datenschutzerklärung

1. Verantwortlicher

2. Überblick der Datenverarbeitung

mittags.app ist ein kostenloser Informationsdienst, der tagesaktuelle Mittagsangebote von Restaurants anzeigt. Wir legen großen Wert auf den Schutz Ihrer Daten und verarbeiten so wenig personenbezogene Daten wie möglich.

3. Hosting

Unsere Website wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet. Beim Aufruf unserer Seiten werden automatisch Informationen in sogenannten Server-Log-Dateien gespeichert, die Ihr Browser automatisch übermittelt. Dazu gehören:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Seite
• Verwendeter Browser und Betriebssystem
• Referrer-URL (zuvor besuchte Seite)

Diese Daten werden von Vercel verarbeitet und nicht mit anderen Datenquellen zusammengeführt. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Betrieb der Website).

Vercel ist unter dem EU-US Data Privacy Framework zertifiziert und bietet damit ein angemessenes Datenschutzniveau für die Übermittlung personenbezogener Daten in die USA. Weitere Informationen finden Sie in der Vercel Privacy Policy.

4. SSL-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an dem Schloss-Symbol in der Adresszeile Ihres Browsers und daran, dass die Adresszeile mit „https://" beginnt. Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

5. Standortdaten (GPS)

Wenn Sie den Zugriff auf Ihren Standort erlauben, schickt Ihr Browser die Position mit jeder Suche an unseren Server, damit wir die Restaurants in Ihrer Umgebung und die Entfernung dorthin berechnen können. Wir speichern Ihren Standort nicht: Er wird nur für die Beantwortung dieser einen Anfrage verwendet und nicht in unserer Datenbank abgelegt. Technisch bedingt kann er für kurze Zeit in den Server-Protokollen unseres Hosters (Abschnitt 3) enthalten sein.

Ohne Standortfreigabe schlagen wir Ihnen auf der Startseite eine Stadt vor. Dafür nutzen wir die grobe Stadt, die unser Hoster aus Ihrer IP-Adresse ableitet. Diese Angabe wird weder gespeichert noch an Dritte weitergegeben.

Sie können die Standortfreigabe jederzeit in Ihren Browsereinstellungen widerrufen. Ohne Standortfreigabe können Sie die App weiterhin nutzen, indem Sie eine Stadt manuell auswählen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung über die Browser-Standortfreigabe); für den Stadt-Vorschlag Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an passenden Ergebnissen ohne Standortfreigabe).

5a. App „mittags“ für iPhone

Die App zeigt dieselben Mittagsangebote wie die Website und kommt ohne Nutzerkonto aus. Dabei verarbeiten wir:

• Standort: nur wenn Sie ihn in iOS freigeben. Die App rundet ihn vor dem Senden auf etwa 100 Meter und schickt ihn wie die Website mit jeder Suche an unseren Server; gespeichert wird er nicht (Abschnitt 5).
• Merkliste und Mittagsrunde: die gemerkten und gesammelten Gerichte liegen nur auf Ihrem iPhone.
• Abstimmung in der Mittagsrunde: siehe Abschnitt 6b. Die App sendet dazu zusätzlich eine zufällige Kennung, die sie bei der Installation erzeugt, damit zwei iPhones im selben WLAN nicht als dieselbe Person zählen. Diese Kennung ist mit keinem Konto und keinem Namen verknüpft.
• Nutzungsstatistik: wie auf der Website (Abschnitt 6a), mit einer zufälligen Kennung, die bei jedem App-Start neu entsteht.

Die App enthält keine Werbung, keine Tracking-Bibliotheken von Dritten und nutzt keine Werbe-Kennung (IDFA). Alle Daten auf dem Gerät löschen Sie, indem Sie die App löschen.

Rechtsgrundlage: Standort Art. 6 Abs. 1 lit. a DSGVO (Ihre Freigabe in iOS, jederzeit in den Einstellungen widerrufbar); im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

6. Lokale Speicherung (localStorage)

Wir speichern bestimmte Einstellungen ausschließlich lokal in Ihrem Browser (localStorage). Dazu gehören:

• Ihre Favoriten-Restaurants
• Ihr Allergie-Profil (gewählte Allergen-Filter)
• Radius-Einstellungen für die Umkreissuche

Diese Daten werden nicht an unseren Server übertragen und verbleiben ausschließlich auf Ihrem Gerät. Sie können diese Daten jederzeit löschen, indem Sie die Browserdaten Ihrer mittags.app-Seite löschen.

Zusätzlich legen wir für die Dauer eines Besuchs im Sitzungsspeicher (sessionStorage) eine zufällige Sitzungskennung und gegebenenfalls die Kampagnen-Herkunft des Links (utm-Angaben) ab. Beides wird beim Schließen des Tabs gelöscht (Abschnitt 6a).

6a. Eigene Nutzungsstatistik

Um zu verstehen, welche Angebote gefragt sind (auch für die Restaurants), zählen wir Aufrufe und Klicks selbst, ohne Dienste Dritter. Gespeichert werden: Art der Aktion (z. B. Seitenaufruf, Klick auf ein Gericht, Route, Anruf), Restaurant und Gericht, die zufällige Sitzungskennung aus Abschnitt 6, die Herkunft des Links und der Zeitpunkt. Wir speichern dabei keine IP-Adresse, keinen Namen und keine E-Mail-Adresse und führen die Sitzungen nicht zu Profilen zusammen. Ist in Ihrem Browser „Do Not Track“ aktiviert, zählen wir nichts.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes und an Reichweitenzahlen für die Restaurants).

6b. Mittagsrunde (Abstimmung)

Wenn Sie in einer geteilten Mittagsrunde abstimmen, speichern wir die Runde, das Gericht, Ihre Stimme (dafür oder dagegen) und einen Prüfwert. Der Prüfwert ist ein nicht umkehrbarer Hash aus IP-Adresse und Browser-Kennung; er sorgt nur dafür, dass jede Person je Gericht eine Stimme hat. Die IP-Adresse selbst speichern wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fairen Abstimmung).

7. Feedback-Formular

Wenn Sie unser Feedback-Formular nutzen, werden folgende Daten in unserer Datenbank gespeichert:

• Restaurant-ID und Gericht-ID (zur Zuordnung)
• Feedback-Typ (z. B. „Daten falsch", „Preis stimmt nicht")
• Optionaler Freitext (wenn Sie eine Nachricht eingeben)
• Zeitstempel

Es werden dabei keine personenbezogenen Daten wie Name, E-Mail-Adresse oder IP-Adresse gespeichert. Das Feedback wird anonym erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Dienstes).

7a. E-Mail-Benachrichtigung über neue Restaurants

Im Profil (und auf der Startseite für Orte, die wir gerade erschließen) können Sie sich per E-Mail benachrichtigen lassen, wenn in einer Stadt neue Restaurants mit Mittagstisch dazukommen. Dafür speichern wir Ihre E-Mail-Adresse, die gewählte Stadt, den Zeitpunkt der Anmeldung und der Bestätigung sowie den Zeitpunkt der letzten Benachrichtigung.

Wir nutzen das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nach Ihrer Bestätigung schicken wir Benachrichtigungen, höchstens eine pro Woche und nur, wenn es Neues gibt. Jede E-Mail enthält einen Link zum Abmelden. Bestätigen Sie die Anmeldung nicht, erhalten Sie keine weiteren E-Mails. Der Versand erfolgt über Resend (Resend, Inc., USA, siehe Abschnitt 12).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können die Einwilligung jederzeit über den Abmeldelink oder per E-Mail an info@mittags.app widerrufen.

8. Gastronomen-Bereich (Anmeldung und Profilübernahme)

Wenn Sie als Gastronom das Profil Ihres Restaurants übernehmen, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung und Ihre Anfrage zur Profilübernahme. Den Anmelde-Link und Hinweise zu Ihrer Anfrage versenden wir über den E-Mail-Dienst Resend (Resend, Inc., USA).

Können wir nicht automatisch erkennen, dass Ihnen das Restaurant gehört, bitten wir Sie um eine Kopie Ihrer Gewerbeanmeldung oder eines Handelsregisterauszugs per E-Mail. Wir nutzen dieses Dokument ausschließlich, um die Inhaberschaft zu prüfen, und löschen es nach Abschluss der Prüfung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Gastronomen-Zugangs auf Ihre Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Restaurantprofile vor Übernahme durch Unbefugte zu schützen).

Mittagskarte per Foto

Gastronomen können ihre Mittagskarte als Foto oder PDF im Gastro-Bereich hochladen oder an karte@mittags.app schicken. Wir speichern die Datei, den Absender, den Zeitpunkt und die daraus gelesenen Gerichte. Die Datei liegt nicht öffentlich im Speicherdienst von Vercel Inc. (Vercel Blob, Region Frankfurt) und ist nur für den angemeldeten Inhaber des Restaurants abrufbar. Wir löschen sie nach 30 Tagen, beim Verwerfen einer Karte sofort. Veröffentlichte Gerichte bleiben so lange online, wie sie gelten.

Zum Auslesen schicken wir die Datei an den KI-Dienst OpenRouter, Inc. (USA). OpenRouter leitet sie an den Anbieter des Sprachmodells weiter: für Fotos derzeit das Modell Qwen3-VL (Alibaba) bei einem von OpenRouter ausgewählten Rechenzentrumsbetreiber, für PDFs und als Ersatz ein Modell von OpenAI (USA). Wir lassen nur Anbieter zu, die die Inhalte nach eigener Aussage nicht speichern und nicht zum Training verwenden. Modelle von Google setzen wir dafür nicht ein. Fotos sollten keine Personen zeigen; die KI liest nur Gerichte, Preise und Tage aus.

E-Mails an karte@mittags.app von Adressen, die keinem übernommenen Restaurant gehören, verarbeiten wir nicht. Wir beantworten sie höchstens einmal am Tag mit einem Hinweis zur Profilübernahme und speichern dafür Absender, Betreff und Zeitpunkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sie nutzen die Funktion, um Ihre Karte zu veröffentlichen) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch der E-Mail-Adresse).

Wenn wir Restaurants anschreiben (E-Mail oder Post)

Restaurants, deren Mittagskarte auf mittags.app steht, schreiben wir gelegentlich per E-Mail oder Postkarte an und bieten an, das Profil kostenlos zu übernehmen. Dafür nutzen wir die geschäftlichen Kontaktdaten, die das Restaurant selbst veröffentlicht (Website, Impressum): Name des Restaurants, Geschäftsanschrift, Kontakt-E-Mail und, falls dort genannt, den Namen des Inhabers. Wir speichern, wann wir wen angeschrieben haben und ob jemand über den Link oder QR-Code das Profil aufgerufen hat. E-Mails versenden wir über Resend (Resend, Inc., USA), Postkarten über einen Druck- und Versanddienstleister in Deutschland, der die Anschrift nur für den Versand erhält.

Sie möchten keine Post mehr von uns? Eine kurze Antwort oder eine E-Mail an info@mittags.app genügt. Wir setzen das Restaurant dann auf unsere Sperrliste und schreiben es nicht mehr an. Die Sperrliste bewahren wir auf, damit der Widerspruch dauerhaft gilt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Restaurants über ihr bestehendes Profil zu informieren; Direktwerbung, Erwägungsgrund 47). Sie können dem jederzeit nach Art. 21 Abs. 2 DSGVO widersprechen.

9. Datenbank

Wir verwenden eine Datenbank von Neon Inc. (Serverless Postgres), gehostet in Frankfurt am Main, Deutschland. Die Datenbank speichert Restaurant- und Menüdaten, anonymes Feedback und die Anmeldedaten von Gastronomen (siehe Abschnitt 8). Darüber hinaus werden keine personenbezogenen Daten von Nutzern in der Datenbank gespeichert.

10. KI-Verarbeitung (Menüdaten-Extraktion)

Zur automatisierten Erfassung von Mittagsmenüs nutzen wir Google Gemini 2.0 Flash (Google LLC). Die KI extrahiert Menüdaten (Gerichte, Preise, Beschreibungen) aus öffentlich zugänglichen Restaurant-Websites.

Wichtig: Es werden keinerlei personenbezogene Nutzerdaten an Google übermittelt. Die KI verarbeitet ausschließlich öffentlich verfügbare Restaurant-Inhalte.

11. Web-Crawling

Zum Abruf öffentlicher Restaurant-Websites nutzen wir den Dienst Spider.cloud. Dieser ruft ausschließlich öffentlich zugängliche Webseiten ab. Es werden keine personenbezogenen Nutzerdaten an Spider.cloud übermittelt.

12. Datenübermittlung in Drittländer

Durch die Nutzung von Vercel Inc. (USA) als Hosting-Anbieter werden Daten in die USA übermittelt. Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 ist damit ein angemessenes Datenschutzniveau gewährleistet.

Für die Funktion „Mittagskarte per Foto“ übermitteln wir die hochgeladenen Dateien an OpenRouter, Inc. und die dort genutzten Modellanbieter in den USA (siehe Abschnitt 8). Grundlage sind, soweit der Anbieter nicht unter dem Data Privacy Framework zertifiziert ist, die Standardvertragsklauseln der EU-Kommission.

E-Mails (Gastronomen-Bereich, E-Mail-Benachrichtigung) versenden wir über Resend, Inc. (USA). Dabei werden Ihre E-Mail-Adresse und der Inhalt der E-Mail in die USA übermittelt. Grundlage sind die Standardvertragsklauseln der EU-Kommission.

13. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO) — Auskunft über Ihre bei uns gespeicherten Daten
• Berichtigungsrecht (Art. 16 DSGVO) — Berichtigung unrichtiger Daten
• Löschungsrecht (Art. 17 DSGVO) — Löschung Ihrer Daten
• Recht auf Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Erhalt Ihrer Daten in einem gängigen Format
• Widerspruchsrecht (Art. 21 DSGVO) — Widerspruch gegen die Verarbeitung
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO) — Widerruf erteilter Einwilligungen (z. B. Standortfreigabe)

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an: info@mittags.app

Hinweis: Da wir nahezu keine personenbezogenen Daten speichern (keine Nutzerkonten, keine E-Mail-Adressen, keine Tracking-Daten), fallen die meisten Betroffenenrechte in der Praxis bei mittags.app nicht an. Sollten Sie dennoch Fragen haben, kontaktieren Sie uns gerne.

14. Beschwerderecht bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

15. Änderung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unseres Dienstes umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.