Datenschutz

Hier steht, welche Daten wir verarbeiten, wenn Sie unsere Website besuchen, bei uns reservieren oder uns schreiben – und welche Rechte Sie haben. Kurz gesagt: Wir erheben nur, was wir wirklich brauchen, und löschen es nach festen Fristen.

1. Wer ist verantwortlich?

Robert Köck - Bäckerei GmbH
Wienerstraße 88
8680 Mürzzuschlag
Telefon: 03852 23 90
Fax: 03852 23 90 6
E-Mail: office@baeckerei-koeck.at

Für alle Fragen zum Datenschutz erreichen Sie uns unter dieser Adresse. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil das für uns gesetzlich nicht nötig ist.

2. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung Ihrer Daten, auf Datenübertragbarkeit und auf Widerspruch (Art. 15 bis 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit widerrufen; was bis dahin verarbeitet wurde, bleibt rechtmäßig. Eine kurze Nachricht an office@baeckerei-koeck.at oder ein Brief an die Adresse oben genügt.

Ihr Widerspruchsrecht: Wo wir Daten auf Grund unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten Ihre Daten dann nicht mehr, außer wir können zwingende schutzwürdige Gründe nachweisen oder brauchen sie, um Rechtsansprüche geltend zu machen oder abzuwehren.

Wenn Sie meinen, dass wir mit Ihren Daten nicht richtig umgehen, können Sie sich bei der Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at. Am liebsten klären wir es aber vorher direkt mit Ihnen.

Wir treffen keine automatisierten Entscheidungen über Sie und erstellen keine Profile (Art. 22 DSGVO).

3. Besuch der Website

Hosting und Server-Protokolle

Unsere Website liegt bei domainfactory GmbH, Oskar-Messter-Straße 33, 85737 Ismaning, Deutschland. Bei jedem Aufruf speichert der Server kurz technische Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Das brauchen wir, damit die Website sicher und fehlerfrei läuft (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Mit domainfactory haben wir einen Vertrag zur Auftragsverarbeitung. Wir werten diese Protokolle nicht aus und führen sie nicht mit anderen Daten zusammen; domainfactory löscht sie automatisch, sobald sie für den sicheren Betrieb nicht mehr gebraucht werden.

Verschlüsselung

Die Website ist durchgehend per TLS verschlüsselt (erkennbar an „https://“ und dem Schloss in der Adresszeile). Was Sie uns über Formulare schicken, wird auf dem Weg von Ihrem Browser zu unserem Server verschlüsselt übertragen.

Schutz vor Angriffen

Gegen Hackerangriffe und Schadsoftware verwenden wir „Wordfence Security“ (Defiant, Inc., 1700 Westlake Ave N Ste 200, Seattle, WA 98109, USA). Wordfence läuft auf unserem Server, prüft jeden Aufruf und speichert dazu die IP-Adresse, Zeitpunkt und aufgerufene Seite – bei auffälligen Zugriffen und Anmeldeversuchen auch länger, um Angreifer sperren zu können. Damit bekannte Angreifer erkannt werden, kann Wordfence dabei IP-Adressen mit den Servern von Defiant in den USA abgleichen; für diese Übermittlung gelten die Standardvertragsklauseln der EU, die Teil unseres Vertrags mit Defiant sind (Art. 46 Abs. 2 lit. c DSGVO; berechtigtes Interesse an einer sicheren Website, Art. 6 Abs. 1 lit. f DSGVO).

Sicherungen

Damit nichts verloren geht, sichern wir die Website regelmäßig – auf dem Server bei domainfactory und auf unserem eigenen Server in Mürzzuschlag. Die Sicherungen enthalten auch die Daten aus Reservierungen und Formularen; ältere Sicherungen löschen wir nach vier Wochen. Was wir löschen, kann deshalb noch bis zu vier Wochen in einer Sicherung stehen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

E-Mail

Unsere E-Mails – auch die Nachrichten aus den Formularen dieser Website und die Bestätigungen an Sie – laufen über Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Mit Microsoft haben wir einen Vertrag zur Auftragsverarbeitung; die Daten liegen in Rechenzentren in der EU. Microsoft kann in Ausnahmefällen Daten in die USA übermitteln; Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert.

Cookies und Ihre Einwilligung

Beim ersten Besuch fragen wir, welchen Diensten Sie zustimmen. Dafür verwenden wir das Plugin „Real Cookie Banner“; es läuft auf unserem Server, an den Hersteller devowl.io gehen dabei keine Daten. Ihre Auswahl wird in einem Cookie auf Ihrem Gerät gespeichert und gilt ein Jahr; danach fragen wir wieder. Zum Nachweis speichern wir Ihre Auswahl auch bei uns – mit einer Zufallskennung und ohne IP-Adresse – und löschen diesen Nachweis nach zehn Jahren (rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO). Technisch nötige Cookies setzen wir ohne Einwilligung (§ 165 Abs. 3 TKG 2021), alle anderen nur, wenn Sie zustimmen. Ihre Auswahl können Sie oben auf dieser Seite jederzeit ändern oder widerrufen.

4. Online vorbestellen

Wenn Sie über unsere Website Brot und Gebäck reservieren, brauchen Sie kein Konto und zahlen nichts im Voraus.

Welche Daten wir brauchen

Ihren Namen, Ihre E-Mail-Adresse und Telefonnummer, Ihre Anmerkung sowie die gewählten Artikel, Filiale, Abholtag und Uhrzeit. Name, E-Mail-Adresse und Telefonnummer brauchen wir – ohne sie können wir die Reservierung nicht annehmen. Die Anmerkung ist freiwillig.

Wofür wir sie verwenden

Wir verwenden sie, um Ihre Reservierung vorzubereiten, sie Ihnen zu bestätigen und Sie bei Rückfragen zu erreichen (Vertrag, Art. 6 Abs. 1 lit. b DSGVO). Die Bestätigung schicken wir per E-Mail; wer mindestens vier Tage im Voraus reserviert, bekommt am Abholtag eine kurze Erinnerung.

Wer sie sieht

Ihre Reservierung sehen unser Büro und die Filiale, in der Sie abholen. Gespeichert wird bei unserem Hoster domainfactory, die E-Mails laufen über Microsoft 365 (beide Auftragsverarbeiter, siehe oben). Darüber hinaus geben wir sie an niemanden weiter.

Ändern und stornieren

Bis zum Bestellschluss können Sie mit dem persönlichen Link aus Ihrer Bestätigung Mengen und Uhrzeit ändern oder die Reservierung stornieren. Der Link enthält eine lange Zufallskennung und funktioniert ohne Anmeldung – geben Sie ihn deshalb nicht weiter.

Wie lange wir sie speichern

30 Tage nach dem Abholtag löschen wir Name, E-Mail-Adresse, Telefonnummer und Anmerkung automatisch. Übrig bleibt nur, was ohne Personenbezug ist (z. B. „3 Kaisersemmeln, Filiale Leoben, 24. Dezember“) – für unsere Planung im nächsten Jahr. Die E-Mails und Ausdrucke im Büro löschen bzw. vernichten wir spätestens sechs Monate nach der Abholung, den Abholzettel in der Filiale gleich nach der Abholung.

Frühere Vorbestellungen

Bei Vorbestellungen über unser früheres Formular entfernen wir Name, Kontaktdaten und Anmerkung sechs Monate nach dem Eingang automatisch; übrig bleiben nur Datum, Filiale und Artikel.

Schutz vor Missbrauch

Damit niemand die Seite mit falschen Reservierungen flutet, speichern wir für höchstens 25 Stunden einen nicht umkehrbaren Kennwert, der aus Ihrer IP-Adresse gebildet wird. Die IP-Adresse selbst speichern wir nicht. Zusätzlich löst Ihr Browser beim Reservieren unbemerkt eine kleine Rechenaufgabe – statt eines Bilderrätsels. Dafür wird kein fremder Dienst verwendet und nichts auf Ihrem Gerät gespeichert (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

„Angaben auf diesem Gerät merken“

Wenn Sie das ankreuzen, bleiben Name, E-Mail-Adresse, Telefonnummer, Filiale und Ihre letzte Auswahl nur in Ihrem Browser gespeichert – nicht bei uns. Reservieren Sie 180 Tage lang nicht, löscht die Seite sie beim nächsten Besuch; mit „Angaben löschen“ sofort. Während Sie reservieren – und nachdem Sie Ihren persönlichen Link geöffnet haben, auch dessen Kennung –, merkt sich Ihr Browser Ihre Eingaben, bis Sie das Fenster schließen. Beides ist für die Reservierung nötig bzw. geschieht auf Ihren Wunsch (§ 165 Abs. 3 TKG 2021).

5. Wenn Sie uns schreiben

Kontaktformular, E-Mail und Telefon

Was Sie uns über das Formular „Wundern, loben, fragen, kommentieren“, per E-Mail oder telefonisch mitteilen, verwenden wir nur, um Ihr Anliegen zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Pflichtfelder sind gekennzeichnet; ohne sie können wir Ihre Nachricht nicht beantworten. Nachrichten aus dem Formular werden zusätzlich auf unserer Website gespeichert und dort nach sechs Monaten automatisch gelöscht; E-Mails löschen wir, sobald Ihr Anliegen erledigt ist, außer wir müssen sie aus gesetzlichen Gründen aufbewahren.

Online bewerben

Wenn Sie sich über unsere Website bewerben, verwenden wir Ihre Angaben und Unterlagen nur für die Bewerbung (Art. 6 Abs. 1 lit. b DSGVO). Pflichtfelder sind gekennzeichnet; ohne sie können wir Ihre Bewerbung nicht bearbeiten. Zugriff haben nur die Personen, die über die Stelle entscheiden, und – soweit technisch nötig – wer unsere Website und unser Postfach betreut.

Ihre hochgeladenen Unterlagen schicken wir per E-Mail an unser Büro-Postfach; vom Webserver werden sie ein bis zwei Stunden nach dem Absenden automatisch gelöscht. Sieben Monate nach Eingang löschen wir Ihre Angaben auf der Website und die E-Mail in unserem Postfach. So lange heben wir sie auf, weil Ansprüche nach dem Gleichbehandlungsgesetz bis sechs Monate nach einer Absage geltend gemacht werden können (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Für unsere Statistik bleiben nur Datum, gewünschter Bereich, Stunden und Region – ohne Namen. Bekommen Sie die Stelle, kommen Ihre Unterlagen in Ihren Personalakt.

Wenn Sie im Formular ankreuzen, dass wir Ihre Bewerbung in Evidenz halten dürfen, heben wir sie bis zu zwei Jahre ab Eingang auf und melden uns, wenn eine passende Stelle frei wird (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Diese Zustimmung können Sie jederzeit widerrufen – eine kurze Nachricht an office@baeckerei-koeck.at genügt.

Anmeldung zum Aperitivo

Wenn wir Aperitivo-Abende anbieten, brauchen wir für die Anmeldung Ihren Namen und Ihre Kontaktdaten. Wir verwenden sie nur für diese Veranstaltung (Art. 6 Abs. 1 lit. b DSGVO); auf der Website werden Name und Kontaktdaten nach sechs Monaten automatisch entfernt.

6. Dienste anderer Anbieter

Adobe Fonts

Für unsere Schriften nutzen wir Adobe Fonts (Adobe Systems Software Ireland Limited, 4–6 Riverwalk, Citywest Business Campus, Dublin 24, Irland). Nur wenn Sie zustimmen, lädt Ihr Browser die Schriften von Adobe; dabei werden technische Angaben wie IP-Adresse und Browser übermittelt, Cookies setzt Adobe dafür keine (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Ohne Ihre Zustimmung wird keine Verbindung zu Adobe aufgebaut; wir zeigen dann eine ähnliche Ersatzschrift, die von unserem eigenen Server kommt. Adobe kann Daten auch in die USA übermitteln; Adobe Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr dazu: Datenschutz bei Adobe Fonts.

Google Analytics

Nur wenn Sie zustimmen, verwenden wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), um zu sehen, welche Seiten wie oft besucht werden. Google speichert dafür Cookies auf Ihrem Gerät (_ga, _ga_*, bis zu zwei Jahre); Ihre IP-Adresse wird dabei an Google übertragen, aber von Google Analytics 4 nicht gespeichert. Die Daten werden nach spätestens 14 Monaten gelöscht. Google kann Daten auch in die USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Mit Google haben wir einen Vertrag zur Auftragsverarbeitung. Google Signals und die Weitergabe der Daten an andere Google-Dienste haben wir ausgeschaltet.

Google Maps

Auf der Startseite zeigen wir unsere Filialen auf einer Karte von Google Maps (Google Ireland Limited). Die Karte wird erst geladen, wenn Sie zustimmen; dabei erhält Google Daten wie Ihre IP-Adresse (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Google kann Daten auch in die USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Der Link „Weg zur Filiale“ öffnet Google Maps erst, wenn Sie ihn anklicken. Es gilt die Datenschutzerklärung von Google.

Instagram und Facebook

Auf Instagram und Facebook verweisen wir nur mit einfachen Links. Erst wenn Sie einen davon anklicken, kommen Sie zu Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland; dort gilt die Datenschutzrichtlinie von Meta.

Stand: Oktober 2026