Datenschutz
Wir freuen uns über Ihren Besuch. Hier erklären wir, welche Daten diese Website verarbeitet, wofür, wie lange und wer sie erhält.
Stand: Oktober 2026
1. Verantwortlicher
Yetenbi Äthiopisches Restaurant & Café, Inhaber/in: [wird ergänzt]
Theaterstraße 6, 97070 Würzburg
Telefon: 0176 21438960
E-Mail: [wird ergänzt]
Einen Datenschutzbeauftragten müssen wir nicht benennen. Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.
2. Dienstleister und Übermittlungen in Drittländer
Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO):
- Vercel Inc. (USA) – Hosting der Website. Die Programme, die Ihre Eingaben verarbeiten, laufen in Frankfurt am Main; Bilder und Seitendateien werden über ein weltweites Netz ausgeliefert. Vercel ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert; zusätzlich gelten Standardvertragsklauseln.
- Neon Inc. (USA) – Datenbank. Die Daten liegen auf Servern in Frankfurt am Main. Da Neon ein US-Unternehmen ist, ist ein Zugriff aus den USA nicht ausgeschlossen; er ist durch Standardvertragsklauseln (Art. 46 DSGVO) abgesichert.
- Google (Gmail) – Versand unserer E-Mails (siehe Abschnitt 9). Dabei können Daten in die USA übertragen werden; Google LLC ist nach dem DPF zertifiziert.
- Cloudinary Ltd. (Israel) – Fotos, die das Restaurant hochlädt (siehe Abschnitt 10).
Darüber hinaus geben wir Ihre Daten nicht weiter und verkaufen sie nicht.
3. Aufruf der Website und Server-Protokolle
Beim Aufruf werden technisch notwendige Daten verarbeitet (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser), um die Seite auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle speichert Vercel nur kurzzeitig (höchstens wenige Tage).
4. Tischreservierung
Wenn Sie einen Tisch anfragen, verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, Datum, Uhrzeit, Personenzahl und Ihre optionale Anmerkung, um die Reservierung durchzuführen und Sie zu kontaktieren (Art. 6 Abs. 1 lit. business DSGVO). Name, E-Mail-Adresse und Telefonnummer sind erforderlich; ohne sie können wir die Reservierung nicht bestätigen. Reservierungen, die Sie telefonisch durchgeben, trägt das Team ebenso ein. Reservierungen werden 180 Tage nach dem Reservierungsdatum automatisch gelöscht.
Ist die Online-Reservierung vorübergehend nicht verfügbar, öffnet das Formular stattdessen WhatsApp mit einer vorbereiteten Nachricht. Die Übermittlung erfolgt erst, wenn Sie die Nachricht selbst absenden, und unterliegt dann den Bedingungen von WhatsApp (Meta).
5. Online-Bestellungen
Zum Bestellen ist ein Kundenkonto nötig. Wir verarbeiten Name, Telefonnummer, die E-Mail-Adresse Ihres Kontos, bei Lieferung Ihre Adresse und Ihren Hinweis für den Fahrer, die bestellten Speisen, Zahlungsart und Wunschzeit, um die Bestellung zuzubereiten, zu liefern und Sie bei jedem Schritt per E-Mail zu informieren (Art. 6 Abs. 1 lit. business DSGVO). Diese Angaben (außer den Hinweisen) sind erforderlich; ohne sie können wir nicht liefern.
Im Team sieht die Küche nur die Speisen und Ihre Anmerkung, die Fahrerin oder der Fahrer nur die eigenen Lieferungen mit Name, Adresse, Telefonnummer und Betrag. Bezahlt wird bei Übergabe; Zahlungsdaten verarbeiten wir auf der Website nicht. Bestellungen werden 180 Tage nach der Bestellung gelöscht; für die Buchhaltung aufbewahrungspflichtige Belege (§ 147 AO) führen wir in unserer Kasse. Der Warenkorb wird bis zur Bestellung nur in Ihrem Browser gespeichert.
Bitte tragen Sie in die Anmerkungsfelder keine Angaben zu Allergien oder Ihrer Gesundheit ein; Fragen zu Allergenen klären wir gern telefonisch. Tun Sie es dennoch, verwenden wir die Angabe nur für Ihre Bestellung (Art. 9 Abs. 2 lit. a DSGVO) und löschen sie mit ihr.
6. Schutz vor Missbrauch
Zum Schutz vor Scherz- und Massenbestellungen speichern wir zu jeder Bestellung einen pseudonymisierten Kennwert (Hash) Ihrer IP-Adresse, nicht die IP-Adresse selbst, und begrenzen damit die Zahl der Bestellungen je Gerät und Telefonnummer. Der Kennwert wird nach 30 Tagen gelöscht. Sehr große erste Bestellungen nehmen wir nur telefonisch an. Nach einer Scherzbestellung kann das Team Telefonnummer, E-Mail-Adresse und diesen Kennwert für Online-Bestellungen sperren; die Sperre wird nach spätestens einem Jahr gelöscht.
Um Passwort-Rateversuche und massenhafte Anmeldungen, Reservierungen und E-Mails zu verhindern, zählen wir Versuche je E-Mail-Adresse und je pseudonymisiertem Kennwert Ihrer IP-Adresse. Diese Einträge werden nach einem Tag gelöscht.
Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Website, Ihres Kontos und unseres Betriebs). Die Grenzen werden automatisch angewendet; über jede Bestellung entscheidet aber ein Mensch im Team. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.
7. Kundenkonto und Anmeldung mit Google
Wenn Sie ein Konto anlegen, speichern wir Name, E-Mail-Adresse, optional Telefonnummer und Ihre bevorzugte Sprache (Art. 6 Abs. 1 lit. business DSGVO). Ihr Passwort wird ausschließlich als sicherer Hash gespeichert. Damit niemand mit fremder Adresse bestellt, senden wir nach der Anmeldung einen Bestätigungslink (24 Stunden gültig); erst danach ist das Bestellen möglich. Das Konto bleibt bestehen, bis Sie es löschen. Im Profil können Sie Ihre Daten jederzeit ändern, herunterladen oder das Konto löschen. Beim Löschen entfernen wir auch unsere Notizen zu Ihnen (Abschnitt 8); Ihre Bestellungen und Reservierungen bleiben ohne Verknüpfung zum Konto bis zum Ablauf ihrer Frist (180 Tage) gespeichert.
Bei der „Anmeldung mit Google“ erhalten wir von Google Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Google-Kontos (Art. 6 Abs. 1 lit. business DSGVO). Für die Anmeldung selbst ist Google Ireland Ltd. verantwortlich; es gelten deren Datenschutzbestimmungen.
8. Kundenübersicht und Notizen des Teams
Die Inhaber/innen sehen eine Übersicht je Gast aus den ohnehin gespeicherten Bestellungen, Reservierungen und Konten (Anzahl, Umsatz, abgelehnte Bestellungen) und können eine kurze Notiz hinterlegen, z. B. „bevorzugt Fensterplatz“. Das dient der Betreuung unserer Gäste und dem Schutz vor Scherzbestellungen (Art. 6 Abs. 1 lit. f DSGVO). Die Notiz ist in Ihrem Datenexport enthalten, wird mit Ihrem Konto gelöscht und automatisch, sobald keine Bestellung, Reservierung oder Konto von Ihnen mehr gespeichert ist.
Was das Team in der Verwaltung tut (z. B. Bestellung angenommen, Reservierung bestätigt), wird mit Zeitpunkt und Bestell- oder Reservierungsnummer protokolliert, um Fehler nachvollziehen zu können (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll wird nach einem Jahr gelöscht.
9. E-Mails
Bestätigungen und Statusmeldungen versenden wir über ein Google-Postfach (Gmail). Damit wir Reservierungen und Bestellungen bearbeiten können, erhalten auch das Restaurant, bei Bestellungen die Küche (nur die Speisen) und die zuständige Fahrerin oder der zuständige Fahrer (Name, Adresse, Telefonnummer, Betrag) eine E-Mail. Kopien dieser E-Mails in unseren Postfächern löschen wir spätestens nach 180 Tagen.
10. Fotos (Cloudinary)
Fotos, die das Restaurant selbst hochlädt, werden über den Bilddienst Cloudinary (Cloudinary Ltd., Israel, mit Servern u. a. in der EU und den USA) gespeichert und ausgeliefert. Beim Anzeigen dieser Fotos wird Ihre IP-Adresse technisch bedingt an Cloudinary übertragen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer schnellen Darstellung). Für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission; Übermittlungen in die USA erfolgen auf Grundlage des DPF bzw. von Standardvertragsklauseln. Die übrigen Bilder liefern wir von unserem eigenen Server aus.
11. Karte
Die Karte im Bereich „Anfahrt“ wird vollständig von unserem eigenen Server geladen. Sie beruht auf Kartendaten von OpenStreetMap (© OpenStreetMap-Mitwirkende, ODbL), die wir einmalig heruntergeladen haben. Beim Anzeigen der Karte werden daher keine Daten an Google, OpenStreetMap oder andere Dritte übertragen und keine Cookies gesetzt. Erst der Link „Route planen“ öffnet Google Maps in einem neuen Fenster; dort gelten die Datenschutzbestimmungen von Google.
12. Schriften, Cookies und lokale Speicherung
Schriften werden von unserem eigenen Server geladen, nicht von Google. Wir setzen keine Analyse- oder Werbe-Cookies und keine Tracking-Dienste, daher gibt es kein Cookie-Banner. Ihre Sprachwahl und Ihr Warenkorb werden nur in Ihrem Browser gespeichert (localStorage), und erst, wenn Sie eine Sprache wählen bzw. etwas in den Warenkorb legen. Wenn Sie sich anmelden, setzen wir ein Sitzungs-Cookie (30 Tage); bei der Anmeldung mit Google zusätzlich für höchstens 10 Minuten ein Cookie zur Absicherung des Anmeldevorgangs. Diese Speicherungen sind für die von Ihnen gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
13. Speicherdauer auf einen Blick
| Reservierungen | 180 Tage nach dem Reservierungsdatum |
| Bestellungen | 180 Tage nach der Bestellung |
| Kundenkonto | bis Sie es löschen |
| Notiz des Teams | mit dem Konto bzw. sobald nichts anderes mehr von Ihnen gespeichert ist |
| IP-Kennwert zu Bestellungen | 30 Tage |
| Sperren nach Scherzbestellungen | 1 Jahr |
| Zähler gegen Rateversuche | 1 Tag |
| Team-Protokoll | 1 Jahr |
| E-Mail-Kopien in unseren Postfächern | höchstens 180 Tage |
| Sitzungs-Cookie / Link „Passwort vergessen“ | 30 Tage / 1 Stunde |
| Bestätigungslink für die E-Mail-Adresse | 24 Stunden |
| Server-Protokolle bei Vercel | wenige Tage |
Gesetzliche Aufbewahrungspflichten (z. B. § 147 AO für Buchungsbelege) bleiben unberührt.
14. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Mit Konto können Sie Ihre Daten im Profil selbst herunterladen, ändern und löschen; im Übrigen wenden Sie sich an die oben genannten Kontaktdaten.
Widerspruchsrecht (Art. 21 DSGVO)
Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO, Abschnitte 3, 6, 8 und 10), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
Privacy policy
Translation for convenience; the German version above is authoritative. As of October 2026.
1. Controller
Yetenbi Äthiopisches Restaurant & Café, Owner: [to be added]
Theaterstraße 6, 97070 Würzburg
Phone: 0176 21438960
Email: [to be added]
We are not required to appoint a data protection officer. Contact us at the details above with any privacy question.
2. Service providers and transfers outside the EU
We use these processors (Art. 28 GDPR):
- Vercel Inc. (USA) – website hosting. The code that handles your input runs in Frankfurt am Main; images and page files are delivered through a worldwide network. Vercel is certified under the EU-US Data Privacy Framework (DPF); standard contractual clauses also apply.
- Neon Inc. (USA) – database, stored on servers in Frankfurt am Main. As Neon is a US company, access from the USA cannot be ruled out; it is covered by standard contractual clauses (Art. 46 GDPR).
- Google (Gmail) – sending our emails (section 9). Data may be transferred to the USA; Google LLC is DPF-certified.
- Cloudinary Ltd. (Israel) – photos uploaded by the restaurant (section 10).
We do not pass your data on to anyone else and never sell it.
3. Visiting the website and server logs
When you visit, technically necessary data (IP address, date and time, page, browser) is processed to deliver the site and protect it from attacks (Art. 6(1)(f) GDPR). Vercel keeps these logs only briefly (a few days at most).
4. Table reservations
When you request a table we process your name, email, phone number, date, time, party size and optional note to handle the booking and contact you (Art. 6(1)(business) GDPR). Name, email and phone are required; without them we cannot confirm the booking. Bookings made by phone are entered by the team in the same way. Reservations are deleted automatically 180 days after the reservation date.
If online booking is temporarily unavailable, the form opens WhatsApp with a prepared message instead. Nothing is sent until you send it yourself; WhatsApp's (Meta's) terms then apply.
5. Online orders
Ordering requires an account. We process your name, phone number, your account email, for delivery your address and note for the driver, the dishes, payment method and requested time, to prepare and deliver the order and email you at each step (Art. 6(1)(business) GDPR). These details (except the notes) are required; without them we cannot deliver.
Within the team, the kitchen sees only the dishes and your note; the driver sees only their own deliveries with name, address, phone and amount. You pay on handover; we process no payment data on the website. Orders are deleted 180 days after ordering; records we must keep for tax purposes (§ 147 AO) are kept in our till system. Your basket is stored only in your browser until you order.
Please don't enter allergies or health details in the note fields; call us with any questions about allergens. If you do, we use the information only for your order (Art. 9(2)(a) GDPR) and delete it with the order.
6. Protection against misuse
To protect against prank and mass orders, we store a pseudonymised value (hash) of your IP address with each order, never the address itself, and limit orders per device and phone number. The value is deleted after 30 days. Very large first orders are taken by phone only. After a prank order the team can block the phone number, email address and this value from ordering online; blocks are deleted after one year at the latest.
To stop password guessing and mass sign-ups, bookings and emails, we count attempts per email address and per pseudonymised IP value. These entries are deleted after one day.
The legal basis is Art. 6(1)(f) GDPR (legitimate interest in the security of the site, your account and our business). The limits apply automatically, but a person in the team decides on every order. There is no automated decision-making within the meaning of Art. 22 GDPR.
7. Customer account and Google sign-in
When you create an account we store your name, email, optional phone number and preferred language (Art. 6(1)(business) GDPR). Your password is stored only as a secure hash. So that nobody orders with someone else's address, we send a confirmation link after sign-up (valid 24 hours); ordering is possible once it is confirmed. The account exists until you delete it. In your profile you can change, download or delete your data at any time. Deleting the account also removes our notes about you (section 8); your orders and reservations remain, unlinked from the account, until their period (180 days) ends.
With "Sign in with Google" we receive your name, email and an identifier of your Google account from Google (Art. 6(1)(business) GDPR). Google Ireland Ltd. is responsible for the sign-in itself; its privacy policy applies.
8. Guest overview and team notes
The owners see an overview per guest built from the orders, reservations and accounts stored anyway (number, total spent, rejected orders) and can keep a short note, e.g. "prefers a window table". This serves looking after our guests and protecting against prank orders (Art. 6(1)(f) GDPR). The note is included in your data download, deleted with your account, and deleted automatically once no order, reservation or account of yours is stored.
What the team does in the admin area (e.g. order accepted, booking confirmed) is logged with the time and order or booking number so mistakes can be traced (Art. 6(1)(f) GDPR). The log is deleted after one year.
9. Emails
We send confirmations and status updates through a Google mailbox (Gmail). To handle bookings and orders, the restaurant, for orders the kitchen (dishes only) and the assigned driver (name, address, phone, amount) also receive an email. Copies of these emails in our mailboxes are deleted after 180 days at the latest.
10. Photos (Cloudinary)
Photos uploaded by the restaurant are stored and delivered by Cloudinary Ltd. (Israel, with servers in the EU and the USA among others). Viewing them sends your IP address to Cloudinary (Art. 6(1)(f) GDPR, legitimate interest in fast delivery). Israel has an EU adequacy decision; transfers to the USA rely on the DPF or standard contractual clauses. All other images come from our own server.
11. Map
The map under "Getting here" is loaded entirely from our own server. It is based on map data from OpenStreetMap (© OpenStreetMap contributors, ODbL) that we downloaded once. Showing it therefore sends no data to Google, OpenStreetMap or anyone else and sets no cookies. Only the "Plan route" link opens Google Maps in a new window, where Google's privacy policy applies.
12. Fonts, cookies and local storage
Fonts are loaded from our own server, not from Google. We use no analytics or advertising cookies and no tracking, so there is no cookie banner. Your language choice and basket are stored only in your browser (localStorage), and only once you choose a language or add something to the basket. When you sign in we set a session cookie (30 days), and for Google sign-in an additional cookie for at most 10 minutes to secure the sign-in. These are strictly necessary for the functions you request (§ 25(2) no. 2 TDDDG).
13. Retention at a glance
| Reservations | 180 days after the reservation date |
| Orders | 180 days after ordering |
| Customer account | until you delete it |
| Team note | with the account, or once nothing else of yours is stored |
| IP value with orders | 30 days |
| Blocks after prank orders | 1 year |
| Attempt counters | 1 day |
| Team log | 1 year |
| Email copies in our mailboxes | 180 days at most |
| Session cookie / password reset link | 30 days / 1 hour |
| Email confirmation link | 24 hours |
| Server logs at Vercel | a few days |
Statutory retention duties (e.g. § 147 AO for accounting records) remain unaffected.
14. Your rights
You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18) and data portability (Art. 20 GDPR), and may withdraw any consent at any time with effect for the future. With an account you can download, change and delete your data in your profile; otherwise contact us at the details above.
Right to object (Art. 21 GDPR)
Where we process data on the basis of legitimate interests (Art. 6(1)(f) GDPR, sections 3, 6, 8 and 10), you may object at any time on grounds relating to your particular situation. We will then stop, unless we can demonstrate compelling legitimate grounds that override your interests, or the processing serves the establishment, exercise or defence of legal claims.
You may also complain to a data protection authority, e.g. the Bavarian Data Protection Authority (BayLDA), Promenade 18, 91522 Ansbach, Germany.