Datenschutz

1 · Wer verantwortlich ist

Verantwortlicher im Sinn von Art. 4 Z 7 DSGVO ist:

Tayelco GmbH
Döblinger Hauptstraße 11
1190 Wien, Österreich
FN 566813z, Handelsgericht Wien

E-Mail hallo@urbanpizza.at · Telefon +43 1 890 4304

Einen Datenschutzbeauftragten haben wir nicht bestellt. Wir müssen das auch nicht — die Fälle des Art. 37 Abs. 1 DSGVO treffen auf uns nicht zu. Alle Fragen zum Datenschutz gehen direkt an hallo@urbanpizza.at.

2 · Kurz gesagt

Diese Website ist eine statische Seite: HTML, ein Stylesheet, ein paar Bilder und ein kleines Skript, das Abschnitte einblendet und den Größenvergleich rechnet. Sie hat

• kein Kontaktformular und keinen Newsletter,
• keinen Login und kein Kundenkonto,
• keinen Warenkorb und keine Bezahlfunktion,
• keine Werbe- oder Social-Media-Pixel,
• keine Cookies,
• keine eingebetteten Videos, Karten oder Social-Media-Bausteine.

Und sie lädt nichts von fremden Servern. Schriften und Bilder liegen auf demselben Server wie die Seite. Beim Aufruf geht keine Anfrage an Google, an ein Content Delivery Network oder an sonst jemanden. Auch die Software, mit der wir Besuche zählen, liegt auf unserem eigenen Server und nicht bei einem Anbieter im Netz.

Zwei Dinge passieren trotzdem, und beide stehen unten im Einzelnen: Unser Server hält fest, dass die Seite abgerufen wurde (Punkt 3), und wir messen mit einer Software auf unserem eigenen Server, wie unsere Seiten benutzt werden — welche Seiten, welche Abschnitte, wie weit gescrollt, wonach in der Karte gesucht wird und welcher Bestellweg angeklickt wird (Punkt 4). Das ist mehr als reines Zählen, und wir sagen es deshalb deutlich. Dabei wird auf deinem Gerät nichts gespeichert, und es geht nichts an Dritte. Ein Cookie-Banner siehst du trotzdem nicht: Zustimmungspflichtig wäre, etwas auf deinem Gerät abzulegen — und genau das tun wir nicht.

3 · Wenn du diese Seite aufrufst: Server-Protokolle

Damit dein Browser diese Seite anzeigen kann, muss er unseren Server erreichen. Dabei wird deine IP-Adresse übertragen — ohne sie gäbe es keine Verbindung und keine Antwort.

Unser Webserver schreibt jeden Abruf in eine Protokolldatei. Darin steht:

Die IP-Adresse wird gekürzt, nicht vollständig gespeichert. Bei IPv4 fällt das letzte Viertel weg (aus 198.51.100.24 wird 198.51.100.0), bei IPv6 alles ab dem vierten Block (aus 2a02:1234:5678:9abc:… wird 2a02:1234:5678::). Das geschieht im Webserver, bevor die Zeile geschrieben wird — die vollständige Adresse landet also nie in einer Datei. Sie lässt sich auch nicht durch einen manipulierten Anfrage-Kopf umgehen.

Wir schreiben bewusst gekürzt und nicht anonymisiert: Eine Kürzung auf dieses Maß erschwert den Personenbezug, hebt ihn aber nicht sicher auf. Wir behandeln die Protokolle deshalb weiterhin als personenbezogene Daten — mit allen Rechten, die weiter unten stehen.

Das Fehlerprotokoll ist auf schwere Betriebsfehler beschränkt. Gewöhnliche Fälle wie eine nicht gefundene Seite werden dort nicht vermerkt, weil der Webserver in dieser Datei keine Kürzung vornehmen kann.

Wozu: damit die Seite technisch fehlerfrei ausgeliefert wird, damit wir Fehler finden und beheben können, damit wir Angriffe auf den Server erkennen und abwehren können — etwa massenhafte automatisierte Zugriffe — und damit wir auswerten können, wie stark unsere Seite genutzt wird. Der letzte Zweck ist seit dem 18. September 2026 dazugekommen: Er ergänzt die Zählung aus Punkt 4, weil die Protokolle auch die Gäste erfassen, deren Browser das Zählskript blockiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der technisch fehlerfreie und gegen Angriffe abgesicherte Betrieb dieser Website sowie die Messung ihrer Reichweite. Wir werten die Protokolle in der Summe aus — also wie viele Abrufe es gab, welche Seiten gefragt waren und wie viel davon Maschinen waren. Wir bilden daraus kein Profil einzelner Personen, und wir führen sie mit keiner anderen Datenquelle über dich zusammen. Möglich wäre uns das ohnehin kaum: Die gespeicherte Adresse ist gekürzt und einer einzelnen Person nicht zuzuordnen.

Speicherdauer: 90 Tage (bis zum 18. September 2026 waren es sieben). Danach löscht der Server die Protokolle automatisch. Muss ein Angriff dokumentiert werden, behalten wir die betroffenen Einträge so lange, bis der Vorfall geklärt oder an die zuständige Stelle übergeben ist.

4 · Wie wir Besuche zählen

Wir zählen, wie oft unsere Seiten aufgerufen werden. Dafür benutzen wir Umami, eine quelloffene Software, die auf unserem eigenen Server läuft — demselben, auf dem auch diese Seite liegt. Es gehen keine Daten an Google, an Meta oder an sonst jemanden, und es verlässt nichts die Europäische Union. Das Zählskript wird von unserer eigenen Adresse geladen, nicht von einem fremden Server.

Auf deinem Gerät wird dabei nichts gespeichert. Kein Cookie, kein Eintrag im lokalen Speicher, keine Kennung, kein Zählpixel. Damit du innerhalb eines Besuchs als dieselbe Person gezählt wirst und nicht als fünf, bildet unser Server einen Prüfwert aus deiner IP-Adresse, deiner Browserkennung und einer Zufallszahl, die täglich wechselt. Deine IP-Adresse geht in diesen Prüfwert ein und wird nicht gespeichert. Weil die Zufallszahl täglich wechselt, lässt sich schon einen Tag später nicht mehr feststellen, dass zwei Besuche vom selben Gerät kamen.

Gespeichert wird zu jedem Aufruf: welche Seite aufgerufen wurde, von wo du kamst (etwa eine Suchmaschine oder ein Link aus einem sozialen Netzwerk), Bildschirmgröße, Browser, Betriebssystem, Gerätetyp, Sprache sowie Land, Bundesland und Stadt, die aus der IP-Adresse abgeleitet werden. Enthält die angeklickte Adresse Kampagnenangaben (die üblichen utm_-Anhänge), werden auch die gespeichert — daran erkennen wir, welche Anzeige oder welcher Beitrag dich hergeführt hat.

Darüber hinaus halten wir fest, was auf der Seite geschieht:

• welcher Weg nach außen angeklickt wurde (Anruf, E-Mail, Eigenshop, Foodora, Wolt Pizza, Wolt Burger, Wolt (sonstiges), Lieferando, Route, Instagram, Facebook),
• welche Abschnitte du länger als anderthalb Sekunden angesehen hast — bei der Speisekarte also, welche Kategorien dich interessiert haben,
• wie weit du gescrollt hast (in Vierteln),
• wie lange die Seite sichtbar war, gerundet auf Stufen wie „ab 30 Sekunden“,
• welchen Sprungpunkt im Kopf der Seite du benutzt hast,
• welche Filter du in der Speisekarte gedrückt hast (etwa „vegetarisch“ oder „vegan“),
• und wonach du in der Speisekarte gesucht hast — das Suchwort selbst, gekürzt auf 40 Zeichen und kleingeschrieben.

Zum Suchfeld ausdrücklich: Dort steht, was du tippst. Wir erwarten Gerichtsnamen und werten es auch nur dafür aus — um zu sehen, was Gästen in der Karte fehlt. Trotzdem gilt: Schreib dort nichts hinein, was dich betrifft. Das Feld ist eine Kartensuche, kein Kontaktformular. Ein Suchwort wird erst gemeldet, wenn du zu tippen aufgehört hast, und nur ab drei Zeichen.

Was wir nicht sehen: wer geklickt hat, und ob aus einem Klick eine Bestellung wurde. Was im Bestellshop passiert, ist dort geregelt.

Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO: Wir wollen wissen, welche Gerichte gesucht werden, welche Teile der Karte gelesen werden und über welchen Weg bestellt wird — sonst richten wir Karte und Website nach Gefühl statt nach dem, was Gäste tatsächlich suchen. Das ist mehr als bloßes Zählen, und wir beschönigen das nicht. Entscheidend für die Abwägung ist aus unserer Sicht: Diese Daten führen zu keiner Person. Wir erkennen dich am nächsten Tag nicht wieder, wir legen keine Besuchshistorie an, und wir können nichts davon mit einer Bestellung, einer Telefonnummer oder einer Adresse verknüpfen.

Eine Einwilligung holen wir dafür nicht ein, weil nach § 165 Abs. 3 TKG 2021 das Speichern von Informationen auf deinem Endgerät und der Zugriff darauf zustimmungspflichtig sind — und wir speichern dort nichts. Mit einer Ausnahme, die wir lieber nennen als verschweigen:

Ein einziger Blick auf dein Gerät, und wie du ihn nutzen kannst. Das Zählskript schaut beim Laden nach, ob im lokalen Speicher deines Browsers ein Schalter mit dem Namen umami.disabled steht. Steht er auf 1, wird nichts gemessen. Dieser Blick ist der einzige Zugriff auf dein Gerät, den unsere Zählung vornimmt; er speichert nichts und vergibt keine Kennung, sondern dient ausschließlich deinem Widerspruch. Du setzt den Schalter selbst — in den Entwicklerwerkzeugen deines Browsers unter „Anwendung“ oder „Speicher“. Genauso wirksam und deutlich bequemer: der Tracking-Schutz deines Browsers oder ein Inhaltsblocker. Beides hält unser Skript auf, und die Seite funktioniert vollständig weiter.

Die Zahlen sieht nur der Betrieb, und wir sehen sie nur als Summe.

5 · Wer die Seite für uns betreibt

Diese Website liegt auf einem Server, den wir gemietet haben bei:

Contabo GmbH
Aschauer Straße 32a
81549 München, Deutschland

Contabo ist für uns Auftragsverarbeiter im Sinn von Art. 28 DSGVO: Contabo verarbeitet die Daten ausschließlich nach unserer Weisung und darf sie nicht für eigene Zwecke verwenden. Technisch kann Contabo auf die Serverdaten zugreifen, weil Contabo die Hardware und das Rechenzentrum betreibt.

6 · Bilder und Schriften kommen von uns

Die Fotos dieser Website liegen unter /bilder/, die Schriften unter /schriften/ — auf demselben Server wie die Seite selbst. Dein Browser holt sie dort und nirgends sonst.

Es gibt also keinen Bildspeicher bei einem Dritten und keinen Schriftendienst, an den deine IP-Adresse ginge. Was beim Laden dieser Bilder und Schriften an Daten anfällt, ist dasselbe wie unter Punkt 3: ein Eintrag in unserem eigenen Protokoll, gelöscht nach 90 Tagen.

7 · Was wir bewusst nicht einbinden

Wer Schriften direkt von Google lädt, schickt die IP-Adresse jedes Besuchers an einen Dritten, ohne dass der Besucher das merkt oder gefragt wird. Wir machen das nicht. Ebenso wenig binden wir ein:

• keine externen Schriften und kein Content Delivery Network,
• keine eingebettete Landkarte — die Adresse ist ein gewöhnlicher Link, kein iframe,
• keine Like-Buttons und keine eingebetteten Instagram- oder Facebook-Bausteine,
• kein Google Analytics, kein Meta-Pixel, kein TikTok-Pixel — unsere Besuchszählung läuft auf unserem eigenen Server und schickt nichts nach außen (Punkt 4),
• kein Werbenetzwerk und kein Consent-Management-Werkzeug.

8 · Cookies und was in deinem Browser bleibt

Diese Website setzt keine Cookies. Nach § 165 Abs. 3 TKG 2021 brauchst du für das Speichern von Informationen auf deinem Endgerät oder für den Zugriff darauf grundsätzlich eine Einwilligung. Wir speichern nichts — deshalb brauchen wir keine, und deshalb siehst du kein Cookie-Banner.

Diese Website legt auch sonst nichts auf deinem Gerät ab: keinen Eintrag im lokalen Speicher, keine Datenbank, keine Zählpixel, keine Browser-Fingerprints. Wenn du diese Seite schließt, bleibt bei dir nichts zurück außer dem, was dein Browser von sich aus zwischenspeichert.

Gelesen wird genau eine Sache, und nur, um dir einen Widerspruch zu ermöglichen: Unser Zählskript schaut nach, ob im lokalen Speicher deines Browsers ein Schalter namens umami.disabled steht. Das ist der einzige Blick auf dein Gerät, den diese Website überhaupt tut. Er speichert nichts und vergibt keine Kennung. Warum wir ihn behalten und wie du ihn benutzt, steht in Punkt 4.

9 · Wenn du uns schreibst oder anrufst

Auf dieser Website stehen unsere E-Mail-Adresse und unsere Telefonnummer. Wenn du uns schreibst oder anrufst, verarbeiten wir, was du uns dabei mitteilst: deinen Namen, deine E-Mail-Adresse oder Telefonnummer und den Inhalt deiner Nachricht.

Wozu: um deine Anfrage zu beantworten.

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine Bestellung, eine Reservierung, eine Catering-Anfrage oder einen anderen Vertrag geht — auch schon in der Anbahnung.
• Art. 6 Abs. 1 lit. f DSGVO bei allen anderen Anfragen. Berechtigtes Interesse: Wir wollen Menschen, die uns schreiben, auch antworten können.
• Art. 6 Abs. 1 lit. c DSGVO, soweit wir eine Nachricht gesetzlich aufbewahren müssen.

Speicherdauer: 12 Monate nach der letzten Antwort. Danach löschen wir die Nachricht. Handelt es sich um einen Geschäftsbrief oder einen Beleg, greifen die gesetzlichen Aufbewahrungspflichten — nach § 212 UGB und § 132 BAO sieben Jahre.

Unser Postfach hallo@urbanpizza.at ist ein Microsoft-365-Postfach. Eingehende Mail nimmt Microsoft entgegen und legt sie dort ab; die Lizenz und die Verwaltung dieses Postfachs laufen über die Host Europe GmbH (Köln, Deutschland) als Wiederverkäufer. Beide sind für uns Auftragsverarbeiter nach Art. 28 DSGVO.

Eine unverschlüsselte E-Mail ist wie eine Postkarte: Sie kann auf dem Weg mitgelesen werden. Schick uns deshalb nichts Vertrauliches per Mail. Ruf lieber an.

10 · Links zu anderen Anbietern

Wir verlinken auf Seiten, die uns nicht gehören:

Das sind gewöhnliche Links. Solange du nicht darauf klickst, wird nichts an diese Anbieter übertragen. Wir binden keine Buttons, keine Zählpixel und keine iframes dieser Dienste ein.

Sobald du klickst, verlässt du unsere Website. Ab dann gilt die Datenschutzerklärung des jeweiligen Anbieters, und wir haben auf die dortige Verarbeitung keinen Einfluss.

Der Bestellshop ist eine eigene Sache

bestellen.urbanpizza.at ist eine eigenständige Anwendung und nicht Gegenstand dieser Erklärung. Dort gibt es einen Warenkorb, eine Bezahlung und eine Bestellabwicklung — Verarbeitungen, die es auf urbanpizza.at nicht gibt. Für den Shop gilt die dortige Datenschutzrichtlinie.

11 · Wer deine Daten sonst noch bekommt

Wir verkaufen keine Daten. Wir geben keine Daten für Werbezwecke weiter. Wir übermitteln nichts an Datenhändler, Auskunfteien oder Werbenetzwerke.

Empfänger deiner Daten sind ausschließlich:

• Contabo GmbH — als Auftragsverarbeiter für das Hosting dieser Website (Punkt 5).
• Microsoft — als Auftragsverarbeiter für unser E-Mail-Postfach, und die Host Europe GmbH für dessen Lizenz und Verwaltung (Punkt 9).
• Behörden und Gerichte, wenn wir gesetzlich dazu verpflichtet sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.

12 · Übermittlung in Drittländer

Eine Übermittlung deiner Daten in ein Land außerhalb der EU beziehungsweise des EWR ist nicht beabsichtigt und findet nach unserem Kenntnisstand nicht statt. Die unter Punkt 11 genannten Auftragsverarbeiter sind in Deutschland ansässig.

Setzen sie ihrerseits Unterauftragsverarbeiter außerhalb des EWR ein, geschieht das nur auf einer der Grundlagen der Art. 44 ff. DSGVO — etwa auf Basis der Standardvertragsklauseln der Europäischen Kommission.

13 · Wie lange wir was speichern

14 · Du musst uns nichts geben

Es gibt auf dieser Website nichts einzugeben. Du bist zu keiner Angabe verpflichtet, weder gesetzlich noch vertraglich.

Die einzige Ausnahme ist technischer Natur: Deine IP-Adresse muss übertragen werden, damit dein Browser überhaupt eine Antwort von unserem Server bekommt. Das ist keine Angabe von dir, sondern die Funktionsweise des Internets.

15 · Keine automatisierten Entscheidungen

Wir verwenden keine automatisierte Entscheidungsfindung und kein Profiling im Sinn von Art. 22 DSGVO. Es passiert nichts, wo eine Maschine ohne Menschen über dich entscheidet.

16 · Deine Rechte

Du hast uns gegenüber die folgenden Rechte. Sie kosten nichts, und eine Begründung brauchst du in der Regel nicht.

Wie du das machst: Eine formlose Nachricht an hallo@urbanpizza.at oder ein Brief an die Adresse unter Punkt 1 genügt. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Wird es einmal aufwendiger, sagen wir dir das innerhalb dieses Monats und nennen den Grund.

Ein ehrlicher Hinweis: Aus einer IP-Adresse in einer Protokolldatei können wir dich nicht erkennen. Wenn wir dich nicht identifizieren können, gelten die Art. 15 bis 20 DSGVO nach Art. 11 Abs. 2 DSGVO nicht — es sei denn, du lieferst uns zusätzliche Angaben, mit denen sich der Eintrag zuordnen lässt. Bei einer E-Mail an uns ist das anders: Da wissen wir, wer du bist, und die Rechte greifen uneingeschränkt.

Widerspruchsrecht

Du hast das Recht, jederzeit gegen die Verarbeitung deiner Daten Widerspruch einzulegen, soweit wir sie auf Art. 6 Abs. 1 lit. f DSGVO stützen — also gegen die Server-Protokolle unter Punkt 3. Du musst dafür Gründe nennen, die sich aus deiner besonderen Situation ergeben.

Legst du Widerspruch ein, verarbeiten wir deine Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Ein Widerspruch an hallo@urbanpizza.at reicht. Er ist formlos möglich.

Wir verarbeiten keine Daten für Direktwerbung. Das Widerspruchsrecht nach Art. 21 Abs. 2 DSGVO läuft bei uns deshalb ins Leere — nicht weil wir es einschränken, sondern weil es nichts gibt, dem du widersprechen müsstest.

Einwilligung

Wir holen für diese Website keine Einwilligung ein, weil wir keine brauchen. Es gibt daher auch nichts zu widerrufen. Sollte sich das je ändern, steht der Widerruf nach Art. 7 Abs. 3 DSGVO an dieser Stelle.

17 · Beschwerde bei der Aufsichtsbehörde

Wenn du der Ansicht bist, dass wir deine Daten rechtswidrig verarbeiten, kannst du dich beschweren — bei uns, und unabhängig davon bei der Aufsichtsbehörde. Das Recht dazu gibt dir Art. 77 DSGVO in Verbindung mit § 24 DSG.

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien
dsb@dsb.gv.at

Uns wäre lieber, du schreibst zuerst uns. Aber du musst nicht.

18 · Änderungen dieser Erklärung

Ändert sich etwas an der Website oder an der Rechtslage, passen wir diese Erklärung an. Es gilt immer die Fassung, die hier steht. Das Datum oben sagt dir, wann sie zuletzt geändert wurde.

Wer diese Seite betreibt und wie du uns erreichst, steht im Impressum.