Datenschutzerklärung

Diese Datenschutzerklaerung beschreibt die Verarbeitung personenbezogener Daten bei MenüQR.

1. Verantwortlicher

Shatokhin Dmytro
Sommerstr. 6a, 31515 Wunstorf (Luthe), Deutschland
E-Mail: [email protected], Telefon: +380964086897

Der Verantwortliche ist in Deutschland niedergelassen.

2. Zwecke und Rechtsgrundlagen

• Vertragserfuellung und Kontoverwaltung (Art. 6 Abs. 1 lit. b DSGVO),
• gesetzliche Pflichten, insbesondere Buchhaltung/Steuern (Art. 6 Abs. 1 lit. c DSGVO),
• Sicherheits-, Missbrauchs- und Stabilitaetsinteressen (Art. 6 Abs. 1 lit. f DSGVO),
• Einwilligung fuer optionale Analytics/Marketing (Art. 6 Abs. 1 lit. a DSGVO).

3. Datenkategorien

• Registrierungs- und Kontodaten (z. B. Name, E-Mail, Accountstatus),
• Nutzungs-, Event- und technische Daten (z. B. Logs, Browser, Betriebssystem, Geraetetyp),
• Nutzerinhalte (z. B. Menuetexte, Bilder),
• Kommunikationsdaten (Support, Kontakt, AI- bezogene Kommunikation),
• Zahlungsdaten ueber externe Zahlungsanbieter (z. B. Stripe).

4. Keine gezielte Verarbeitung besonderer Daten

MenüQR erhebt nicht absichtlich besondere Kategorien personenbezogener Daten (z. B. Gesundheit, Biometrie, Genetik, Religion, politische Meinung, sexuelle Orientierung, Gewerkschaftszugehoerigkeit).

5. Cookies, localStorage und Analytics

Notwendige Cookies bzw. localStorage-Eintraege fuer Betrieb, Login, Session und Interface-Einstellungen werden auf Grundlage von Art. 6 Abs. 1 lit. b/f DSGVO und, soweit anwendbar, nach den Ausnahmen fuer technisch erforderliche Speicherungen eingesetzt.

Google Analytics 4 (GA4), Meta Pixel und die Meta Conversions API werden nur nach vorheriger ausdruecklicher Einwilligung ueber das Consent-Banner aktiviert. Ohne Einwilligung werden diese Dienste nicht geladen.

Rechtsgrundlage fuer analytics-bezogene Speicherzugriffe und Auslesen auf Endgeraeten: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. Paragraph 25 Abs. 1 TDDDG, soweit anwendbar).

Bei erteilter Einwilligung koennen GA4 und Meta Pixel First-Party-Cookies und aehnliche Kennungen verwenden, darunter _ga, _ga_*, _fbp und _fbc. Meta Conversions API kann Werbe-Conversions wie Registrierung oder Checkout-Start serverseitig an Meta uebermitteln; E-Mail-Adressen werden dabei nur gehasht uebertragen. Nach Google-Angaben protokolliert oder speichert GA4 keine vollstaendigen IP-Adressen; die IP wird nur kurzzeitig fuer die Ableitung unpraeziser Standortinformationen genutzt.

Zusätzlich betreibt MenüQR eine datensparsame First-Party-Menue-Statistik fuer Restaurant- Dashboards nur nach vorheriger Einwilligung. Erfasst werden Ereignisse wiepage_view, item_view undcategory_view, die Menuesprache, eine zufaellige Session-ID sowie ein aus dem User-Agent abgeleiteter Geraetetyp. Rohe IP-Adressen und rohe User-Agents werden fuer diese Statistik nicht in der Analytics-Tabelle gespeichert. Ohne Einwilligung werden clientseitige Analytics-Events blockiert, keine dauerhafte Besucher-ID erstellt und Menue-Requests mit analytics=0 gesendet.

Wichtige Speicher-Namen: menuqr_cookie_consent fuer die Analytics-Auswahl, menuqr.first_party_analytics_opt_out fuer den First-Party-Opt-out, theme, lang, menuqr.public-menu.table:{slug} und menuqr.public-menu.payment-receipt:{slug}:{table} fuer notwendige Oberflaechen-, QR-Tisch- und Zahlungsstatus-Funktionen. GA4 kann bei Einwilligung _ga und _ga_* setzen; Meta kann _fbp und _fbcsetzen.

6. Empfaenger / Auftragsverarbeiter

Je nach Funktion koennen u. a. folgende Anbieter oder Empfaenger eingebunden sein: Vercel fuer Frontend-Hosting/Edge-Auslieferung, Render bzw. vergleichbare Infrastruktur fuer Backend-Betrieb, Cloudflare/R2 fuer CDN, Sicherheit und Dateispeicherung, Stripe fuer Zahlungen und Stripe Connect, Google fuer GA4, OAuth und Google Calendar, Meta fuer Pixel und Conversions API, OpenRouter bzw. Modellanbieter fuer KI-Funktionen, Telegram fuer operative Benachrichtigungen, E-Mail-Provider fuer Transaktionsmails sowie angebundenen POS-Provider fuer Kassen- und Bestellintegrationen.

7. Google-Nutzerdaten

MenüQR greift nur auf Google-Nutzerdaten zu, wenn Nutzerinnen oder Nutzer dies ausdrücklich auslösen, z. B. durch Anmeldung mit Google, durch Verknüpfen eines Google-Kontos oder durch Aktivieren der optionalen Google-Calendar-Integration für ein Restaurant.

Bei Google-Login oder Kontoverknüpfung verarbeitet MenüQR die von Google bereitgestellten Profilinformationen, insbesondere Google-Konto-ID, E-Mail-Adresse, Status der E-Mail-Verifizierung, Name und optionales Profilbild. Diese Daten werden verwendet, um Nutzerinnen und Nutzer anzumelden, ein MenüQR-Konto zu erstellen oder ein bestehendes Konto mit Google zu verknüpfen, Kontokonflikte zu verhindern und die Sicherheit des Login-Prozesses zu gewährleisten.

Bei der optionalen Google-Calendar-Integration greift MenüQR auf die E-Mail-Adresse des verbundenen Google-Kontos, eine Liste beschreibbarer Kalender mit Kalender-ID, Kalendername, Zugriffsrolle, Farbe und Zeitzone sowie auf die erforderlichen OAuth-Zugriffs- und Aktualisierungstoken zu. MenüQR verwendet diese Daten ausschließlich, um einen beschreibbaren Kalender auszuwählen, die Verbindung im Restaurant-Dashboard anzuzeigen und bestätigte Reservierungen als Kalendereinträge zu erstellen, vorhandene von MenüQR erstellte Reservierungseinträge zu erkennen oder zu entfernen und Synchronisationsfehler anzuzeigen.

Kalendereinträge, die MenüQR in Google Calendar erstellt, können Reservierungsdaten enthalten, insbesondere Restaurantname, Reservierungsdatum und -uhrzeit, erwartete Dauer, Gästezahl, Gastname, Telefonnummer und optionale Notizen, soweit diese für die Reservierung gespeichert wurden. MenüQR liest keine privaten Kalenderinhalte über die für die Auswahl und Synchronisierung erforderlichen Kalenderlisten- und Ereignisdaten hinaus.

Google-Nutzerdaten werden nicht verkauft, nicht für Werbung verwendet, nicht an andere Parteien weitergegeben, außer soweit dies für den Betrieb der gewählten Funktion, Sicherheit, Support oder gesetzliche Pflichten erforderlich ist, und nicht zum Trainieren allgemeiner KI- oder ML-Modelle verwendet. Google-Aktualisierungstoken werden verschlüsselt gespeichert und beim Trennen der Google-Calendar-Integration gelöscht; danach werden keine weiteren Reservierungen mehr mit Google Calendar synchronisiert.

8. Drittlanduebermittlungen

Bei Transfers ausserhalb des EWR werden geeignete Schutzmechanismen genutzt, insbesondere SCC und/oder Angemessenheitsbeschluesse.

9. Speicherdauer

• Kontodaten: bis Account-Loeschung,
• Logs: typischerweise 30 bis 90 Tage,
• First-Party-Menue-Analytics: geplant 90 bis 180 Tage bzw. fruehere Aggregation,
• Reservierungen, Bewertungen, Fotos, Bestellungen, Zahlungsreferenzen und KI-Chatverlaeufe: solange fuer Betrieb, Nachweis, Missbrauchsschutz, Kundenadministration oder gesetzliche Pflichten erforderlich,
• Backups: typischerweise bis 30 Tage,
• Loeschung nach Account-Ende: in der Regel bis 30 Tage, vorbehaltlich gesetzlicher Aufbewahrungspflichten,
• Abrechnungs-/Steuerdaten: gem. gesetzlicher Aufbewahrungspflichten.

10. Rechte der Betroffenen (DSAR)

Betroffene koennen Auskunft, Berichtigung, Loeschung, Einschraenkung, Datenuebertragbarkeit und Widerspruch verlangen. Kontakt: [email protected]. Regelmaessige Antwortfrist: bis zu 30 Tage.

11. Marketing / Anti-Spam

Marketing-E-Mails werden derzeit nicht dauerhaft versendet. Fuer kuenftige Kampagnen koennen Opt-in-Mechanismen sowie Double-Opt-In verwendet werden.

12. Minderjaehrige, Art. 22 DSGVO, Vorfaelle

Der Dienst richtet sich nicht an Personen unter 18 Jahren. Eine ausschliesslich automatisierte Entscheidungsfindung mit Rechtswirkung findet derzeit nicht statt.

Datenschutzvorfaelle werden gem. gesetzlichen Vorgaben bearbeitet und, falls erforderlich, gemeldet.

13. DPA/AVV und Aenderungen

Ein oeffentliches DPA/AVV ist derzeit nicht standardmaessig veroeffentlicht, kann aber fuer B2B-Kunden auf Anfrage bereitgestellt werden.