Datenschutzerklärung

Verantwortliche Stelle

ML Gastronomie GmbH
Hubenstein 29
84416 Taufkirchen (Vils)
verwaltung@mila-landshut.de

1. Worum es hier geht

Diese Erklärung gilt für die Website des MILA., Altstadt 298, 84028 Landshut: für den Besuch der Seite, das Menü darauf und die Anmeldung zu unserem Newsletter. Verantwortlich im Sinne der DS-GVO ist die oben genannte Stelle.

Für die Reservierung eines Tisches gilt die eigene Erklärung auf mila-gaesteliste.de/datenschutz, für eine Bewerbung die Erklärung, die auf der Bewerbungsseite verlinkt ist.

2. Besuch der Website: Server-Protokolle

Die Website läuft auf einem eigenen virtuellen Server bei netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, der als Auftragsverarbeiter für uns tätig ist. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung. Der Server steht in einem Rechenzentrum in Nürnberg.

Bei jedem Aufruf entstehen auf diesem Server Protokolle. Sie enthalten deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die Art der Anfrage, den Statuscode und die Antwortzeit. Das Protokoll des vorgeschalteten Proxys kann zusätzlich die Kennung deines Browsers (User-Agent) enthalten. Bei einem Fehler wird außerdem festgehalten, was schiefging. Was du ins Newsletter-Formular einträgst, schreiben wir nicht ins Protokoll.

Zweck: die Seite auszuliefern, Fehler zu finden und Angriffe zu erkennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DS-GVO. Ohne diese Daten können wir die Seite nicht sicher betreiben. Speicherdauer: Die Protokolle sind je Fassung der Anwendung und für den vorgeschalteten Proxy auf jeweils 10 MB begrenzt; ist die Grenze erreicht, werden ältere Einträge überschrieben. Bei jeder Aktualisierung der Website entsteht eine neue Fassung. Die Protokolle der letzten fünf früheren Fassungen bleiben, bis sie bei späteren Aktualisierungen entfernt werden.

Die Domain mila-landshut.de ist bei Squarespace registriert. Die Namensserver dafür betreibt Google. Dort wird nur abgefragt, unter welcher Adresse unser Server erreichbar ist; Inhalte der Seite oder Formulardaten laufen nicht darüber.

3. Cookie

Beim Aufruf setzen wir ein technisch notwendiges Sitzungscookie. Es enthält eine verschlüsselte Sitzung, die das Newsletter-Formular davor schützt, von fremden Seiten aus abgeschickt zu werden, und verfällt, wenn du den Browser schließt. Weitere Cookies, Local Storage oder Session Storage setzt die Website nicht. Deshalb fragen wir auch nicht nach einer Einwilligung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DS-GVO (Sicherheit des Formulars).

4. Das Menü

Unser Menü zeigen wir dir als Bilder der einzelnen Seiten und zum Herunterladen als PDF. Beides kommt von unserem eigenen Server. Dabei entstehen nur die Protokolle aus Abschnitt 2.

5. Newsletter

Trägst du dich für unseren Newsletter ein, speichern wir deine E-Mail-Adresse, deinen Namen, wenn du ihn angibst, wo du dich eingetragen hast (Website oder WLAN-Seite) und den Zeitpunkt. Dann schicken wir dir eine E-Mail mit einem Link (Double-Opt-in). Erst wenn du dort auf den Knopf drückst, gilt die Anmeldung; den Zeitpunkt halten wir als Nachweis deiner Einwilligung fest (Art. 7 Abs. 1 DS-GVO). Der Link gilt eine Woche.

Nach deiner Bestätigung tragen wir deine E-Mail-Adresse, deinen Namen und den Zeitpunkt der Bestätigung bei Brevo in unseren Verteiler ein, innerhalb einer Viertelstunde. Dort bleibt der Zeitpunkt als Nachweis deiner Einwilligung gespeichert, auch nachdem wir deine Anmeldung bei uns gelöscht haben (Abschnitt 10). Öffnungen und Klicks im Newsletter und in der Bestätigungsmail zählt Brevo nur anonym, ohne Bezug zu dir.

Rechtsgrundlage: deine Einwilligung nach Art. 6 Abs. 1 lit. a DS-GVO. Du kannst sie jederzeit für die Zukunft widerrufen, über den Abmeldelink in jedem Newsletter oder formlos bei uns. Was bis dahin geschehen ist, bleibt rechtmäßig (Art. 7 Abs. 3 DS-GVO).

Verschickt werden die Bestätigungsmail und der Newsletter über Brevo GmbH, Köpenicker Str. 126, 10179 Berlin (Tochtergesellschaft der Sendinblue SAS, 17 rue de Salneuve, 75017 Paris, Frankreich) als Auftragsverarbeiter nach Art. 28 DS-GVO. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung.

Damit niemand massenhaft Adressen einträgt, zählen wir beim Absenden des Formulars, wie oft das von derselben IP-Adresse aus geschieht. Ab dem sechsten Mal in zehn Minuten nehmen wir nichts mehr an. Dafür liegt deine IP-Adresse mit einem Zähler im Arbeitsspeicher der Anwendung, nicht in der Datenbank, und verfällt nach zehn Minuten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DS-GVO. Unser berechtigtes Interesse ist ein Verteiler ohne fremde Adressen.

6. Links zu anderen Diensten

Tippst du auf „Tisch reservieren“, öffnet sich unsere Buchung (reservieren.mila-landshut.de). Sie läuft auf einem eigenen Server bei netcup, und es gilt die Datenschutzerklärung der Reservierung.

Auf der Website stehen Links zu unserer Reservierung (mila-gaesteliste.de), zu WhatsApp, Instagram und Google (Bewertungen und Google Maps für die Route), dazu unsere Telefonnummer und E-Mail-Adresse. Solange du nicht darauf tippst, geht dabei nichts an diese Dienste: Wir binden keine ihrer Inhalte ein. Tippst du darauf, verlässt du unsere Seite, und es gelten die Datenschutzhinweise des jeweiligen Dienstes.

Schreibst du uns eine E-Mail, kommt sie in unserem Postfach bei Google (Google Workspace) an. Wir nutzen sie, um dir zu antworten, und bewahren sie auf, solange wir sie dafür brauchen. Geht es um ein Geschäft, etwa eine Mietanfrage, kann sie gesetzlichen Aufbewahrungspflichten unterliegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DS-GVO, wenn es um einen Besuch oder eine Anfrage geht, sonst Art. 6 Abs. 1 lit. f DS-GVO.

7. Sicherungen

Jede Nacht um 4:15 Uhr legen wir auf demselben Server eine Sicherung der Datenbank an und behalten die letzten 14. Gelöschte Newsletter-Anmeldungen stehen deshalb noch bis zu 14 Tage in älteren Sicherungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DS-GVO in Verbindung mit Art. 32 DS-GVO (Schutz vor Datenverlust).

8. Empfänger

Darüber hinaus geben wir deine Daten nicht weiter, verkaufen sie nicht und nutzen sie nicht für Werbung Dritter, es sei denn, wir sind gesetzlich dazu verpflichtet.

9. Übermittlung in Länder außerhalb der EU

Die Website selbst überträgt keine Daten in Länder außerhalb der EU und des EWR. Brevo speichert die Daten in Rechenzentren in Frankreich und Belgien. Für Netzwerkschutz, Kundensupport und interne Auswertungen setzt Brevo aber Unterauftragsverarbeiter mit Sitz in den USA ein (Cloudflare, Zendesk, Omni). Ein Zugriff aus den USA ist dabei nicht ausgeschlossen. Abgesichert ist er laut dem Auftragsverarbeitungsvertrag mit Brevo durch das EU-US Data Privacy Framework (Art. 45 DS-GVO) und durch Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DS-GVO), bei Zendesk zusätzlich durch verbindliche interne Datenschutzvorschriften (Art. 47 DS-GVO). Auch bei Google, wo unser Postfach liegt, ist ein Zugriff aus den USA möglich. Google ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln der EU-Kommission.

10. Wie lange wir was speichern

11. Kein Tracking, keine Inhalte Dritter

Auf der Website setzen wir keine Analyse-, Statistik- oder Tracking-Werkzeuge anderer Anbieter ein, auch keine Pixel von Meta oder Google. Wir zählen nur selbst: wie oft ein Knopf auf der Website angetippt wird — etwa „Menü“ oder „Tisch reservieren“ —, über welche Art Seite Besucherinnen und Besucher kommen — etwa Google, Instagram oder direkt eingetippt — und wie lange sie ungefähr bleiben, in vier Stufen von „unter 10 Sekunden“ bis „länger als 3 Minuten“. Wer über einen Knopf hier auf unserer Buchungsseite mila-gaesteliste.de reserviert, von dem kommt danach von dort die Meldung „über die Website gebucht“, ohne Angaben zur Reservierung — auch daraus wird nur eine Zahl je Tag. Damit wir sehen, wie viele gerade auf der Seite sind, meldet sich dein Browser, solange sie offen ist, alle 30 Sekunden mit einer zufälligen Kennung, die er nur für diesen Aufruf würfelt und beim Schließen vergisst. Daraus zählen wir nur, wie viele in der letzten Minute da waren — im Arbeitsspeicher, nicht in der Datenbank. Dein Browser schickt dafür beim Laden den Namen der Seite, von der du kamst, und beim Verlassen die Dauer; wir behalten davon nur die Gruppe, als eine Zahl je Tag — ohne Cookie und ohne etwas über dich zu speichern. Schriften, Bilder und Skripte kommen von unserem eigenen Server, und es werden keine Inhalte von Servern Dritter nachgeladen. Eine automatisierte Entscheidung nach Art. 22 DS-GVO findet nicht statt.

Die letzten Bilder von unserem Instagram-Konto holt unser Server über die Schnittstelle von Instagram (Meta Platforms Ireland Ltd.) ab und zeigt sie von unserem eigenen Server. Beim Ansehen der Website wird dabei nichts von Instagram geladen. Erst wenn du auf ein Bild tippst, gelangst du zu Instagram — dort gelten die Datenschutzhinweise von Meta.

Damit auf der Website Regen oder Schnee zu sehen ist, wenn es in Landshut regnet oder schneit, und oben ein kleiner Wetterbericht steht, ruft unser Server alle 15 Minuten das aktuelle Wetter und stündlich die Vorhersage für die Landshuter Altstadt bei Bright Sky (brightsky.dev) ab, einem Dienst mit den offenen Daten des Deutschen Wetterdienstes. Diese Abfrage stellt nur unser Server; Daten von dir als Besucherin oder Besucher gehen dabei nicht an Bright Sky.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DS-GVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf einer Einwilligung (Art. 7 Abs. 3 DS-GVO). Wende dich dafür an die oben genannte Stelle.

Du kannst dich nach Art. 77 DS-GVO auch bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, poststelle@lda.bayern.de.

13. Änderungen

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung. Stand: 20. Oktober 2026.