Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Website und die Plattform VeroMenu ist:

[LEGAL_NAME fehlt – in .env setzen]

E-Mail

[LEGAL_EMAIL fehlt – in .env setzen]

Telefon

[LEGAL_PHONE fehlt – in .env setzen]

Sofern ein Datenschutzbeauftragter benannt ist, erreichen Sie ihn unter der oben genannten Anschrift mit dem Zusatz „z. Hd. Datenschutzbeauftragter“ oder per E-Mail.

2. Überblick

VeroMenu ist eine Software für digitale QR-Speisekarten, die sich an Gastronomiebetriebe richtet. Wir unterscheiden zwei Rollen:

• Als Verantwortliche verarbeiten wir Daten von Besucherinnen und Besuchern dieser Website sowie von Kundinnen und Kunden (Gastronomiebetriebe und deren Teammitglieder), die ein Konto bei uns führen.
• Als Auftragsverarbeiter verarbeiten wir Daten der Gäste eines Restaurants (z. B. Bestellungen über die Speisekarte) im Auftrag des jeweiligen Betriebs. Verantwortlich ist dann der Betrieb; Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (siehe AV-Vertrag).

Wir verwenden keine Tracking- oder Marketing-Cookies, keine Analyse- oder Werbedienste Dritter und binden keine externen Schriftarten oder Content-Delivery-Networks ein.

3. Hosting

Website, Plattform und Datenbank werden auf Servern in Deutschland betrieben. Hosting-Anbieter ist:

Der Hosting-Anbieter verarbeitet die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und zuverlässigen Bereitstellung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO) bzw. die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4. Server-Logfiles

Bei jedem Aufruf unserer Seiten werden technisch notwendige Informationen in Server-Logfiles gespeichert:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Adresse (URL) und HTTP-Statuscode,
• übertragene Datenmenge, Referrer-URL sowie Browsertyp und -version (User-Agent).

Die Verarbeitung dient der Auslieferung der Website, der Gewährleistung der Systemsicherheit (z. B. Abwehr von Angriffen) und der Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach spätestens 14 Tagen gelöscht, sofern sie nicht im Einzelfall zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.

5. Cookies und lokale Speicherung

Wir setzen ausschließlich technisch notwendige Cookies ein:

• vm_session – Sitzungs-Cookie nach dem Login (httpOnly, verschlüsselte Verbindung, Laufzeit bis zu 30 Tage oder bis zur Abmeldung). Es enthält lediglich eine zufällige Kennung; die Sitzung selbst wird serverseitig verwaltet.
• vm_locale – speichert die gewählte Sprache der Benutzeroberfläche (Laufzeit 12 Monate).

Die Speicherung ist für die von Ihnen ausdrücklich gewünschten Funktionen unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Soweit die Bestellfunktion einer Speisekarte genutzt wird, kann der Warenkorb lokal in Ihrem Browser gespeichert werden; auch dies ist technisch erforderlich. Tracking-, Analyse- oder Marketing-Cookies setzen wir nicht ein – deshalb gibt es kein Cookie-Banner.

6. Schriftarten und externe Inhalte

Alle Schriftarten, Skripte und Grafiken werden von unseren eigenen Servern ausgeliefert. Es findet beim Seitenaufruf keine Verbindung zu Servern Dritter (z. B. Google Fonts oder Content-Delivery-Networks) statt.

7. Registrierung und Kundenkonto

Für die Nutzung von VeroMenu ist ein Kundenkonto erforderlich. Dabei verarbeiten wir Name, E-Mail-Adresse, ein Passwort (ausschließlich als Argon2id-Hash gespeichert), die bevorzugte Sprache, den Namen des Betriebs sowie die von Ihnen eingegebenen Inhalte (Speisekarte, Bilder, Betriebs- und Impressumsangaben, Tische, Teamrollen). Zur Sicherheit protokollieren wir wesentliche Änderungen (Audit-Log) und den Zeitpunkt der letzten Anmeldung.

Rechtsgrundlage ist die Erfüllung des Vertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Für Teammitglieder, die ein Betrieb einlädt, gilt dasselbe; die Einladung erfolgt im Auftrag des Betriebs.

8. E-Mail-Versand

Wir versenden ausschließlich transaktionale E-Mails, die für die Nutzung erforderlich sind – etwa zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts oder für Team-Einladungen. Der Versand erfolgt über einen E-Mail-Dienstleister (SMTP), der als Auftragsverarbeiter für uns tätig ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Newsletter versenden wir nicht ohne Ihre ausdrückliche Einwilligung.

9. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (Name, Kontaktdaten, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage mit einem Vertrag zusammenhängt, im Übrigen unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Gäste-Speisekarte: cookiefreie Statistik

Damit Betriebe sehen, wie ihre Speisekarte genutzt wird (z. B. Aufrufe, beliebte Gerichte, gewählte Sprachen), erfassen wir beim Aufruf einer Speisekarte anonyme Nutzungsereignisse. Dafür werden keine Cookies gesetzt und keine Daten auf dem Gerät gespeichert.

Um Mehrfachaufrufe desselben Geräts an einem Tag zusammenzufassen, bilden wir aus IP-Adresse, User-Agent, der Kennung des Restaurants und einem täglich wechselnden geheimen Zufallswert (Salt) einen kryptografischen Hashwert (SHA-256). Der Salt wird täglich ausgetauscht, sodass der Hashwert nicht umkehrbar ist, nicht tagesübergreifend verknüpft werden kann und keine Profilbildung ermöglicht. Die IP-Adresse selbst wird dabei nicht gespeichert.

Rechtsgrundlage ist unser berechtigtes Interesse und das der Betriebe an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Die Ereignisse werden nach spätestens 24 Monaten gelöscht oder vollständig aggregiert.

11. Bestellungen über die Speisekarte

Bietet ein Betrieb Bestellungen über die Speisekarte an, verarbeiten wir die Bestelldaten (Tisch, bestellte Gerichte, optionale Anmerkungen, gewählte Sprache, Zeitpunkt) ausschließlich im Auftrag dieses Betriebs. Verantwortlicher für diese Verarbeitung ist der jeweilige Betrieb, der Ihnen auch für Auskünfte zur Verfügung steht. Bitte geben Sie in Freitextfeldern keine sensiblen Daten an. Ein Gastkonto oder die Angabe von Name und Kontaktdaten ist für Bestellungen nicht erforderlich.

12. KI-Funktionen

Für Übersetzungen, Allergen- und Zusatzstoffvorschläge, den Import von Speisekarten aus Fotos oder PDFs, die Bildgenerierung und den KI-Assistenten übermitteln wir ausschließlich Inhalte der Speisekarte – etwa Namen, Beschreibungen und Zutaten von Gerichten sowie vom Betrieb hochgeladene Fotos oder PDFs von Speisekarten – an folgenden Dienst:

OpenRouter leitet die Anfragen an das jeweils konfigurierte Sprach- oder Bildmodell weiter; die Modellanbieter können ebenfalls in den USA oder anderen Drittländern sitzen. Personenbezogene Daten von Gästen (z. B. Bestellungen oder Statistikdaten) werden nicht an KI-Anbieter übermittelt. Betriebe werden gebeten, in Speisekarteninhalten keine personenbezogenen Daten anzugeben.

Rechtsgrundlage ist die Vertragserfüllung gegenüber dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO). Zu Übermittlungen in Drittländer siehe Abschnitt 14. Die Ergebnisse der KI sind Vorschläge; sie werden erst nach Prüfung durch den Betrieb veröffentlicht. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

13. Spracheingabe des KI-Assistenten

Nutzen Sie die Spracheingabe, wird Ihre Aufnahme erst nach Ihrem Klick über das Mikrofon Ihres Geräts erfasst, an unseren Server übertragen und zur Umwandlung in Text an den in Abschnitt 12 genannten KI-Dienst übermittelt. Die Audiodatei wird nicht länger gespeichert, als für die Transkription erforderlich ist; gespeichert wird nur der erkannte Text als Teil des Änderungsvorschlags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14. Übermittlung in Drittländer

Soweit Daten in die USA übermittelt werden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), sofern der Empfänger danach zertifiziert ist, und im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) einschließlich ergänzender Maßnahmen. Eine Kopie der Garantien können Sie über die oben genannten Kontaktdaten anfordern.

15. Zahlungsabwicklung

Derzeit erfolgt die Abrechnung kostenpflichtiger Tarife per Rechnung. Wir verarbeiten dafür Rechnungs- und Vertragsdaten (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Sollten wir künftig einen Zahlungsdienstleister einsetzen, werden wir ihn in dieser Erklärung benennen.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Kontodaten und Inhalte werden nach Vertragsende innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (insbesondere handels- und steuerrechtlich bis zu zehn Jahre für Rechnungen und Buchungsbelege, §§ 257 HGB, 147 AO). Sicherungskopien werden im Rahmen des regulären Backup-Zyklus überschrieben.

17. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an [LEGAL_EMAIL fehlt – in .env setzen]. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Restaurants verarbeiten (z. B. Bestellungen), leiten wir sie an den verantwortlichen Betrieb weiter.

18. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

19. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS (TLS). Passwörter speichern wir nur als Argon2id-Hash, hinterlegte API-Schlüssel werden mit AES-256-GCM verschlüsselt. Zugriffe innerhalb eines Betriebs sind über Rollen und Berechtigungen beschränkt. Wir passen unsere technischen und organisatorischen Maßnahmen fortlaufend dem Stand der Technik an (Art. 32 DSGVO).

20. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Es besteht keine gesetzliche oder vertragliche Pflicht, uns Daten bereitzustellen; ohne die für das Kundenkonto erforderlichen Angaben können wir den Dienst jedoch nicht erbringen.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum des Stands ist oben angegeben.