Datenschutzerklärung
1. Verantwortlicher
Rúben Carvalho
Bernhard-Nocht-Straße 105
20359 Hamburg
E-Mail: hello@lunch.ninja
2. Hosting und Server-Logfiles
Diese Website wird auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland gehostet. Beim Aufruf der Website verarbeitet der Server automatisch technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite einschließlich etwaiger Parameter wie Suchkoordinaten, Browser-Kennung). Diese Daten dienen der Bereitstellung und Absicherung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO) und werden nach kurzer Zeit automatisch gelöscht.
3. Cookies und lokaler Speicher
Wir verwenden ausschließlich technisch notwendige Cookies: ein Cookie zur Speicherung Ihrer Spracheinstellung (Speicherdauer: 1 Jahr) sowie, bei angemeldeten Konten (Restaurant- wie Gast-Konten), ein Sitzungs-Cookie zur Anmeldung. Die gewählte Darstellung (hell/dunkel) wird nur lokal in Ihrem Browser gespeichert und nicht an uns übertragen. Tracking- oder Werbe-Cookies setzen wir nicht ein.
4. Kartendarstellung
Zur Darstellung der Restaurantkarte laden wir Kartenkacheln von OpenFreeMap (tiles.openfreemap.org). Dabei wird Ihre IP-Adresse an den Kartenanbieter übermittelt (Art. 6 Abs. 1 lit. f DSGVO, Interesse an der Darstellung einer interaktiven Karte). Kartendaten: © OpenStreetMap-Mitwirkende.
5. Adresssuche
Wo Sie eine Adresse oder einen Stadtteil eingeben (Suche auf der Startseite und Karte, Lunch-Letter-Anmeldung, Konto-Einstellungen, Restaurant-Profil), wird der eingegebene Text zusammen mit Ihrer IP-Adresse an den Geocoding-Dienst Photon der komoot GmbH (photon.komoot.io, Deutschland) übermittelt, um Vorschläge und Koordinaten zu erhalten (Art. 6 Abs. 1 lit. f DSGVO). Es werden keine weiteren Daten übertragen.
6. Standortabfrage
Auf Wunsch nutzen wir Ihren Gerätestandort, um die Karte und die Entfernungsfilter auf Ihre Umgebung auszurichten. Die Abfrage erfolgt nur nach Ihrer ausdrücklichen Freigabe im Browser (Art. 6 Abs. 1 lit. a DSGVO). Die Koordinaten werden als Suchparameter an unseren Server übermittelt, um die Karte dort zu zentrieren, und nur gespeichert, wenn Sie sie ausdrücklich als Ort für den Lunch-Letter oder Ihr Konto übernehmen.
7. Newsletter (Lunch-Letter)
Für den täglichen Mittags-Newsletter speichern wir Ihre E-Mail-Adresse, Ihre Sprache und den von Ihnen gewählten Ort (Adresse oder Stadtteil mit Koordinaten bzw. Postleitzahl). Die Anmeldung erfolgt im Double-Opt-In-Verfahren; Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir protokollieren, an welchem Tag Ihnen ein Lunch-Letter zugestellt wurde, damit kein Tag doppelt versendet wird. Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail, in Ihrem Konto oder per Nachricht an hello@lunch.ninja abbestellen. Der Versand erfolgt über Amazon Web Services (SES) in der Region Frankfurt (eu-central-1).
8. Gast-Konten
Für ein kostenloses Gast-Konto speichern wir Ihre E-Mail-Adresse, optional Ihren Namen, Ihre Favoriten (gemerkte Restaurants) und Ihre Lunch-Letter-Einstellungen (Orte, Pausen, Favoriten zuerst). Die Anmeldung erfolgt per E-Mail-Link ohne Passwort. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Sie können Ihr Konto per Nachricht an hello@lunch.ninja löschen lassen.
9. Restaurant-Konten und Abrechnung
Für Restaurant-Konten speichern wir E-Mail-Adresse und Restaurantdaten (Name, Adresse, Öffnungszeiten, Kontaktdaten, Speisekarten, Logo und Fotos). Die Anmeldung erfolgt per E-Mail-Link ohne Passwort. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir erfassen, wie oft eine Restaurantseite aufgerufen und in wie vielen Lunch-Lettern sie enthalten war (nur Zähler, keine Personen). Erinnerungs-E-Mails an fehlende Speisekarten können im Profil abgeschaltet werden. Kostenpflichtige Abonnements werden über Stripe Payments Europe Ltd. (Dublin, Irland) abgewickelt; wir selbst speichern keine Zahlungsdaten, nur die Kunden- und Abonnement-Kennung.
10. Speisekarten-Fotos und automatische Texterkennung
Von Restaurants hochgeladene Speisekarten-Fotos, PDFs und Dokumente werden bei Amazon Web Services (S3) in der Region Frankfurt (eu-central-1) gespeichert. Zur automatischen Übernahme der Gerichte werden sie über den Vermittlungsdienst OpenRouter (OpenRouter Inc., USA) an ein KI-Sprachmodell des jeweils konfigurierten Anbieters (derzeit Google, Gemini) übermittelt. Grundlage der Übermittlung in Drittländer sind die Standardvertragsklauseln der EU bzw. das EU-US Data Privacy Framework. Die Dateien enthalten üblicherweise keine personenbezogenen Daten.
11. Reichweitenmessung
Um zu verstehen, wie die Website genutzt wird, setzen wir PostHog ein (PostHog Inc., USA; Datenverarbeitung auf Servern in Frankfurt, EU-Region). Erfasst werden aufgerufene Seiten, Klicks auf Bedienelemente, die verweisende Seite, Browser- und Gerätetyp sowie Ihre IP-Adresse zur groben Ortsbestimmung. Dabei werden keine Cookies gesetzt und keine Informationen auf Ihrem Gerät gespeichert; Besuche werden daher nicht über mehrere Sitzungen hinweg wiedererkannt. Sind Sie angemeldet, wird die Nutzung Ihrer internen Konto-Kennung zugeordnet (keine E-Mail-Adresse, kein Name). Zusätzlich zeichnen wir Sitzungen auf (Session Replay): Mausbewegungen, Klicks, Scrollen und die dabei angezeigten Seiteninhalte. Eingaben in Formularfelder werden dabei unkenntlich gemacht. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO); mit PostHog besteht ein Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln. Das in Restaurant-Websites eingebettete Speisekarten-Widget ist von der Messung ausgenommen. Sie können der Verarbeitung per Nachricht an hello@lunch.ninja widersprechen.
12. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Beschwerden richten Sie an eine Datenschutz-Aufsichtsbehörde, z. B. den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit.
Stand: September 2026