Rechtliches
Datenschutz.
Kurz gesagt: keine Tracker, keine Werbung, keine Analyse. Fremde Server kommen nur ins Spiel, wenn du es auslöst: die Karte von OpenStreetMap, wenn du sie anklickst, und der Spam-Schutz hCaptcha, wenn du zugestimmt hast und eine Reservierung absendest. Daten aus Reservierungen nutzen wir nur für deine Reservierung und löschen sie 30 Tage danach automatisch. Hier steht alles im Detail.
1. Verantwortlicher
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO):
Z. a. k. GmbH (Zak Tag&Nacht)
vertreten durch die Geschäftsführer Axel Ochs und Alfred Barthold
Am Wochenmarkt 22, 37073 Göttingen
Telefon: 0551 487770
E-Mail: restaurant.zak@gmx.de
Ansprechpartner für Datenschutz: J. Benedikt Meyer, meyer.zakgoettingen@gmail.com
Einen Datenschutzbeauftragten müssen wir nicht benennen (Art. 37 DSGVO, § 38 BDSG).
2. Hosting und Server-Logs
Die Website läuft bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Die Server-Funktionen für Reservierungen laufen im Rechenzentrum Frankfurt am Main. Beim Aufruf der Seite verarbeitet Vercel technisch bedingt deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Referrer und die Browserkennung (User-Agent), um die Seite auszuliefern und vor Angriffen zu schützen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer, funktionierender Betrieb der Website. Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Vercel Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO). Ergänzend hat Vercel EU-Standardvertragsklauseln abgeschlossen (Art. 46 Abs. 2 lit. c DSGVO). Mehr: vercel.com/legal/privacy-policy.
Vercel speichert diese Zugriffs- und Funktionsprotokolle nur kurz, höchstens einen Tag. Unsere eigenen Fehlerprotokolle enthalten keine Namen oder E-Mail-Adressen von Gästen. Reservierungsdaten liegen in Frankfurt am Main. Weil Vercel ein US-Unternehmen ist, lässt sich ein Zugriff aus den USA aber nicht ganz ausschließen.
3. Online-Reservierung
Wenn du online reservierst, verarbeiten wir:
- Datum, Uhrzeit und Personenzahl
- Name und E-Mail-Adresse (Pflicht)
- Telefonnummer und Anmerkungen (freiwillig)
Wofür: um die Reservierung anzulegen, dir eine Bestätigung mit Stornolink zu schicken, bei Rückfragen anzurufen und den Tisch freizuhalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen). Ohne Name und E-Mail geht online nichts, anrufen geht immer.
Bestätigung per Mail: Nach dem Absenden schicken wir dir eine Mail mit einem Bestätigungslink. Erst wenn du ihn anklickst, geht die Anfrage an unser Team, das dir dann zusagt. So kann niemand mit fremden E-Mail-Adressen reservieren. Wird der Link nicht innerhalb von 60 Minuten bestätigt, geben wir den Platz wieder frei; die Anfrage bleibt für unser Team sichtbar, damit wir nachfragen können, und wird wie alle Reservierungen 30 Tage nach dem Termin gelöscht. Kommt unsere Bestätigungsmail nicht bei dir an, geht deine Anfrage direkt an unser Team.
Bitte keine Gesundheitsdaten (Allergien, Unverträglichkeiten) in die Anmerkungen schreiben. Sag's uns lieber vor Ort.
Wo liegen die Daten: in einem nicht öffentlichen Speicher (Vercel Blob) bei Vercel, siehe Abschnitt 2. Zugriff hat nur unser Team über einen passwortgeschützten Bereich.
E-Mails: Bestätigungen und Benachrichtigungen verschicken wir von
noreply@zakgoettingen.de über den Mailserver der STRATO GmbH, Otto-Ostrowski-Straße 7,
10249 Berlin, mit der ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) besteht. Die Mails werden in
Deutschland verarbeitet. Antwortest du auf so eine Mail, landet deine Antwort bei unserer Kontaktadresse
(siehe Abschnitt 4).
Benachrichtigung ans Team: Über jede per Link bestätigte Anfrage und jede Stornierung bekommt unser Team eine Mail mit Datum, Uhrzeit, Personenzahl, Name, E-Mail, Telefon und Anmerkung. Das Postfach dafür liegt bei Google (Gmail), Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei kann eine Verarbeitung durch die Google LLC in den USA nicht ausgeschlossen werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Die Mails löschen wir spätestens 30 Tage nach dem Termin. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Spam-Schutz: Beim Absenden zählen wir kurzzeitig (höchstens eine Stunde, nur im Arbeitsspeicher) die Anfragen pro IP-Adresse, um automatisierte Massenanfragen zu bremsen. Die IP wird nicht gespeichert und nicht mit der Reservierung verknüpft. Damit niemand fremde Postfächer mit Bestätigungen zuschüttet, sind pro E-Mail-Adresse höchstens drei offene Reservierungen möglich; dafür schauen wir nur in die ohnehin gespeicherten Reservierungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Spam-Schutz mit hCaptcha
Damit keine Bots massenhaft Tische blockieren, nutzen wir beim Reservierungsformular hCaptcha von der Intuition Machines, Inc., USA. hCaptcha lädt erst, wenn du im Formular ausdrücklich zugestimmt hast und auf „Reservieren“ klickst. Vorher geht keine Verbindung zu hCaptcha raus. Danach lädt dein Browser Skripte von hcaptcha.com, dabei werden deine IP-Adresse, Browser- und Geräteangaben sowie dein Verhalten auf der Seite (z. B. Maus- und Tippbewegungen) an hCaptcha übertragen und ausgewertet, um Menschen von Bots zu unterscheiden. Meist merkst du davon nichts; wirkt eine Anfrage verdächtig, zeigt hCaptcha eine kleine Bildaufgabe. Unser Server prüft das Ergebnis danach bei hCaptcha, schickt dabei aber nur das Prüf-Token mit, nicht deine IP und nicht deine Reservierungsdaten.
hCaptcha kann dabei Cookies bzw. Einträge im Browser-Speicher setzen (siehe Abschnitt 5). Rechtsgrundlage ist deine ausdrückliche Einwilligung per Häkchen im Formular (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Seite neu lädst und das Häkchen nicht mehr setzt. Willst du kein hCaptcha, ruf uns einfach an: 0551 487770. Daten können dabei in die USA übermittelt werden. Intuition Machines, Inc. nimmt am EU-US Data Privacy Framework teil (Art. 45 DSGVO); zusätzlich gelten die EU-Standardvertragsklauseln aus dem Data Processing Addendum von hCaptcha (Art. 46 Abs. 2 lit. c DSGVO). Mehr: hcaptcha.com/privacy und hcaptcha.com/terms.
Löschung: Reservierungen werden 30 Tage nach dem Termin automatisch gelöscht, auch stornierte. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
4. Telefon und E-Mail
Rufst du an oder schreibst uns, nutzen wir deine Angaben nur, um dein Anliegen zu bearbeiten. Mails an restaurant.zak@gmx.de landen in einem Postfach bei GMX (1&1 Mail & Media GmbH, Brauerstraße 48, 76135 Karlsruhe), Mails an meyer.zakgoettingen@gmail.com bei Google (siehe Abschnitt 3, „Benachrichtigung ans Team“). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine Reservierung oder einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Daten, sobald sie nicht mehr gebraucht werden.
5. Cookies und lokaler Speicher
Wir selbst setzen für Besucher*innen keine Cookies und nutzen keine Analyse- oder Werbedienste. Gespeichert wird nur:
| Name | Art | Zweck | Dauer |
|---|---|---|---|
zak-notice | Local Storage im Browser | Merkt sich, dass du den Datenschutz-Hinweis weggeklickt hast. | bis du ihn im Browser löschst |
zak-text | Local Storage im Browser | Merkt sich, ob du „Schrift größer“ eingeschaltet hast. | bis du es umstellst oder im Browser löschst |
zak-banner:… | Session Storage im Browser | Merkt sich, dass du eine Neuigkeit oben auf der Seite geschlossen hast. | bis du den Tab schließt |
zak_admin | Cookie, nur für unser Team | Anmeldung im Verwaltungsbereich. | max. 12 Stunden |
hCaptcha (z. B. hmt_id) | Cookie bzw. Browser-Speicher von hcaptcha.com, nur nach deiner Einwilligung und dem Klick auf „Reservieren“ | Spam-Schutz beim Absenden einer Reservierung, siehe Abschnitt 3. | laut hCaptcha |
Für die Einträge im Browser-Speicher brauchen wir keine Einwilligung: Sie sind unbedingt nötig, damit ein Hinweis, den du ausdrücklich geschlossen hast, geschlossen bleibt und die Schriftgröße bleibt, die du gewählt hast (§ 25 Abs. 2 Nr. 2 TDDDG). Sie verlassen deinen Browser nicht, wir lesen sie nicht aus. Das Anmelde-Cookie ist für die Verwaltung unbedingt nötig (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO.
6. Karte (OpenStreetMap) und Wetter
Auf der Startseite gibt es eine Karte mit der Kartensoftware Leaflet, die wir selbst ausliefern. Die Karte lädt erst, wenn du auf „Karte anzeigen“ klickst. Vorher geht keine Verbindung zu OpenStreetMap raus. Nach dem Klick kommen die Kartenbilder (Kacheln) von der OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, und ihren Cache-Servern, die auch außerhalb der EU stehen können. Dabei werden deine IP-Adresse und Browserdaten dorthin übertragen. Cookies werden nicht gesetzt.
Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit widerrufen, indem du die Seite neu lädst und die Karte einfach nicht mehr anklickst. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (zuletzt verlängert bis 27.12.2031). Mehr: osmfoundation.org/wiki/Privacy_Policy. Der Link „Route planen“ öffnet openstreetmap.org erst, wenn du ihn anklickst.
Terrassenwetter
Das aktuelle Wetter auf der Startseite holt unser Server alle 15 Minuten bei Open-Meteo (open-meteo.com) ab. Dein Browser fragt dabei nur unseren eigenen Server, an Open-Meteo werden keine Daten von dir übertragen.
7. Schriftarten und Icons
Die Schriften „Kaushan Script“, „Oswald“ und „Karla“ liegen auf unserem eigenen Server. Dafür wird keine Verbindung zu Google oder anderen Anbietern aufgebaut.
Die kleinen Symbole (Icons) kommen aus Font Awesome Free. Auch diese Dateien liegen auf unserem eigenen Server. Dein Browser lädt sie nur von uns; zu Font Awesome bzw. Fonticons, Inc. wird keine Verbindung aufgebaut und es werden keine Daten dorthin übertragen.
8. Links zu Instagram, Facebook & Co.
Wir verlinken auf unsere Profile bei Instagram und Facebook (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland) und auf Bewertungsportale wie Google, Tripadvisor und golocal. Das sind einfache Links, keine eingebetteten Plugins. Erst wenn du draufklickst, landest du beim jeweiligen Anbieter, und dann gelten dessen Datenschutzbestimmungen, z. B. von Instagram und Facebook.
9. Verschlüsselung
Die Seite läuft nur über HTTPS. Was du uns schickst, zum Beispiel eine Reservierung, kann unterwegs niemand mitlesen.
10. Deine Rechte
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO): Wo wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Dann hören wir damit auf, es sei denn, wir haben zwingende schutzwürdige Gründe oder brauchen die Daten für Rechtsansprüche.
Eine kurze Nachricht an die Kontaktdaten oben reicht. Eine automatisierte Entscheidungsfindung oder Profiling gibt es bei uns nicht.
11. Beschwerderecht
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Postanschrift: Postfach 2 21, 30002 Hannover
www.lfd.niedersachsen.de
Stand: Oktober 2026