Datenschutzerklärung, MenuStudio

Version v1.17_2026-10 · Stand Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

AZARCO Saeeb Azar Stapenhorststraße 87 33615 Bielefeld Deutschland

E-Mail: hallo@menustudio.de

2. Zweck und Geltungsbereich

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten im Rahmen unserer SaaS-Plattform MenuStudio sowie der zugehörigen Webseite unter https://menustudio.de.

3. Verarbeitung beim Besuch der Webseite

Bei jedem Aufruf unserer Webseite werden durch unseren Hosting-Anbieter Hostinger International Ltd. ("Hostinger") automatisch Informationen in sogenannten Server-Logfiles erfasst:

IP-Adresse des anfragenden Endgeräts
Datum und Uhrzeit des Zugriffs
Name und URL der abgerufenen Datei
übertragene Datenmenge
Meldung über erfolgreichen Abruf
verwendeter Browser und Betriebssystem
Referrer-URL

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Sicherstellung eines reibungslosen Verbindungsaufbaus, der Komfortgewährleistung sowie dem Schutz vor Missbrauch. Speicherdauer: maximal 30 Tage.

4. Kontaktaufnahme und Supportanfragen

Es gibt drei Wege, uns zu erreichen. Alle verarbeiten wir wie folgt.

E-Mail. Schreiben Sie uns an die im Impressum genannte Adresse, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen bestehenden oder anzubahnenden Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen den Schriftwechsel, sobald er für die Bearbeitung nicht mehr erforderlich ist und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Kontaktformular. Über das Formular auf unserer Seite „Kontakt" verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht, um Ihre Anfrage zu beantworten, und schicken Ihnen eine Eingangsbestätigung an die angegebene Adresse. Die Angaben gehen per E-Mail an uns und werden nicht in einer Datenbank gespeichert. Zum Schutz vor automatisierten Massenanfragen löst Ihr Browser beim Absenden eine kleine Rechenaufgabe; zusätzlich prüfen wir die Zeit zwischen Öffnen und Absenden, setzen ein für Menschen unsichtbares Feld ein und begrenzen kurzzeitig die Zahl der Anfragen je IP-Adresse. Diese IP-Adressen halten wir nur im Arbeitsspeicher und für höchstens zehn Minuten. Externe Captcha-Dienste setzen wir nicht ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen bestehenden oder anzubahnenden Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und am störungsfreien Betrieb).

Supportanfragen aus dem Kundenbereich. Angemeldete Kunden können uns aus ihrem Bereich heraus eine Anfrage schicken. Verarbeitet werden dabei:

der von Ihnen angegebene Name
die E-Mail-Adresse Ihres Kontos (sie wird aus dem Konto übernommen, nicht aus dem Formular)
Ihre Kontokennung und die Kennung Ihres Betriebs, damit wir wissen, um welche Karte es geht
Thema, Betreff und Text Ihrer Nachricht
die Seite, von der aus Sie die Anfrage abgeschickt haben
Zeitpunkt, laufende Nummer und Bearbeitungsstand

Ohne Anmeldung ist dieses Formular nicht nutzbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: die Unterstützung bei der Nutzung gehört zum Vertrag.

Unsere Notizen zum Vorgang. Zu einer Anfrage halten wir intern fest, was wir geprüft und veranlasst haben. Diese Notizen sind für Sie nicht einsehbar; sie dienen ausschließlich der Bearbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Ihr Auskunftsrecht nach Art. 15 DSGVO bleibt davon unberührt.

Rückmeldung bei Kündigung. Nach einer Kündigung und beim Löschen des Kontos fragen wir freiwillig, warum. Wenn Sie antworten, speichern wir die angekreuzten Gründe, Ihren Kommentar, den Namen Ihres Betriebs und den Zeitpunkt, um unser Angebot zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots). Kündigen Sie im Kundenportal unseres Zahlungsdienstleisters Stripe und geben dort einen Grund an, übernehmen wir diesen ebenso. Ihre E-Mail-Adresse speichern wir dafür nur, wenn Sie ausdrücklich ankreuzen, dass wir Sie einmal persönlich dazu anschreiben dürfen (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung können Sie jederzeit per E-Mail widerrufen. Wir fragen höchstens einmal nach und löschen die Adresse danach, spätestens nach sechs Monaten; die Rückmeldung selbst löschen wir nach zwei Jahren. Beides geschieht automatisch.

Speicherdauer. Erledigte Anfragen löschen wir sechs Monate nach Abschluss, offene spätestens nach zwei Jahren. Das geschieht automatisch. Auf Wunsch löschen wir früher, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Schutz vor missbräuchlicher Nutzung. Je Konto nehmen wir höchstens fünf Anfragen pro Stunde entgegen. Dafür zählen wir die Anfragen, die zu Ihrem Konto gehören; IP-Adressen verarbeiten wir dabei nicht. Externe Captcha-Dienste (etwa Google reCAPTCHA) setzen wir nicht ein, und zu diesem Zweck werden keine Daten an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am störungsfreien Betrieb).

Keine Weitergabe. Ihre Anfragen und unsere Antworten geben wir nicht an Dritte weiter. Sie liegen in derselben Datenbank wie Ihre übrigen Daten bei unserem Auftragsverarbeiter Supabase (siehe Ziffer 11).

5. Verarbeitung im Rahmen der Plattformnutzung

Bei Anlage und Nutzung eines Kundenaccounts verarbeiten wir folgende Daten:

Name, E-Mail-Adresse, Passwort (in gehashter Form)
Telefonnummer (optional)
Anschrift des Geschäftssitzes
vom Kunden hinterlegte Inhalte und Einstellungen (siehe Ziffer 6 und 7)
Sub-Status, Tarif und Abrechnungsdaten aus Stripe

Die Authentifizierung sowie technische Zugriffs- und Sitzungsdaten (z. B. Anmeldezeitpunkte) werden durch unseren Dienstleister Supabase im Rahmen der Bereitstellung der Anmeldefunktion verarbeitet. MenuStudio speichert in der Anwendungsdatenbank selbst keine IP-Adressen seiner Nutzer.

Nutzung des Kundenbereichs. Damit wir sehen, ob und wie unsere Kunden MenuStudio nutzen, wo jemand Unterstützung braucht und welche Bereiche wir verbessern sollten, halten wir je Konto und Tag fest, wann es zum ersten und zum letzten Mal im Kundenbereich war und wie viele Seiten es dort aufgerufen hat. Dazu kommen der Zeitpunkt der letzten Anmeldung (aus der Anmeldefunktion) und der Zeitpunkt der letzten Änderung an der Karte. Inhalte von Eingaben, Klickwege, IP-Adressen oder Gerätemerkmale erfassen wir dafür nicht, und auf Ihrem Endgerät wird dafür nichts gespeichert. Die Angaben sehen nur wir intern; sie werden nicht weitergegeben und nicht für Werbung genutzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Betreuung im Rahmen des Vertrags) und lit. f DSGVO (berechtigtes Interesse an einem verlässlichen und verbesserten Dienst). Die Tagesangaben löschen wir nach 180 Tagen automatisch. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (Ziffer 13).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherort ist die EU-Region des Anbieters Supabase Inc. (siehe Ziffer 11). Speicherdauer: für die Dauer des Vertrags zuzüglich gesetzlicher Aufbewahrungspflichten (bis zu 10 Jahre nach § 257 HGB / § 147 AO).

Löscht ein Kunde sein Konto, löschen wir seine Daten sofort, einschließlich aller hochgeladenen Bilder; ausgenommen sind nur Unterlagen mit gesetzlicher Aufbewahrungspflicht. Datensicherungen der Datenbank enthalten keine Bilder. Sie werden verschlüsselt aufbewahrt, nicht für den laufenden Betrieb genutzt und nach höchstens 180 Tagen überschrieben.

5a. Anmeldung über ein Google-Konto

(1) Neben der Anmeldung mit E-Mail-Adresse und Passwort bieten wir die Anmeldung über ein bestehendes Google-Konto an (OAuth 2.0). Diese Möglichkeit ist freiwillig; die Anmeldung mit E-Mail-Adresse und Passwort steht gleichwertig zur Verfügung.

(2) Eine Verbindung zu Google wird erst hergestellt, wenn Sie die Schaltfläche „Mit Google anmelden" anklicken. Vorher wird kein Skript von Google geladen, keine Schaltfläche von Google eingebunden und keine Information an Google übermittelt. Der Aufruf unserer Webseite erzeugt für sich genommen also keinen Kontakt zu Google.

(3) Klicken Sie die Schaltfläche an, werden Sie auf eine Anmeldeseite von Google weitergeleitet. Dort verarbeitet Google Ihre Daten in eigener Verantwortung, insbesondere Ihre IP-Adresse, Angaben zu Ihrem Endgerät und Ihre dort gespeicherten Anmeldedaten; es gilt die Datenschutzerklärung von Google. An uns übermittelt Google nach erfolgreicher Anmeldung Ihre E-Mail-Adresse, Ihren dort hinterlegten Namen, die Kennung Ihres Google-Kontos und die Angabe, ob die E-Mail-Adresse bestätigt ist. Nicht übermittelt werden Ihr Passwort, Ihre Kontakte, Ihr Kalender oder sonstige Inhalte Ihres Google-Kontos.

(4) Rechtsgrundlage für die Weiterleitung und die anschließende Verarbeitung bei uns ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und Vertragserfüllung), da Sie diesen Anmeldeweg selbst wählen. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist für den Klick nicht erforderlich, weil die Weiterleitung zu dem von Ihnen ausdrücklich verlangten Dienst gehört; über das, was Google auf Ihrem Gerät speichert, entscheidet Google, nicht wir.

(5) Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung in die USA an Google LLC ist nicht ausgeschlossen; sie erfolgt auf Grundlage von Standardvertragsklauseln und ergänzend nach dem EU-US Data Privacy Framework, in das Google zertifiziert ist.

(6) Wenn Sie das nicht möchten, melden Sie sich mit E-Mail-Adresse und Passwort an. Ein bereits über Google angelegtes Konto können Sie jederzeit löschen lassen (Ziffer 13).

5b. Einrichtungsservice

(1) Bestellt ein Kunde den Einrichtungsservice (AGB § 12a), verarbeiten wir die Angaben aus dem Auftragsformular (Wünsche zu Kategorien, Farben und Darstellung, Name und Telefonnummer eines Ansprechpartners, Erreichbarkeit) und die hochgeladenen Unterlagen (Karte als Datei oder Foto, Allergenlisten, Logo, Produktfotos).

(2) Zweck ist allein die Einrichtung der Karte und die Rückfrage dazu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Bezahlung läuft über Stripe (Ziffer 8).

(3) Die Unterlagen liegen in einem nicht öffentlichen Speicherbereich bei Supabase in der EU (Ziffer 11). Zugriff haben nur der Kunde und MenuStudio. Für die Arbeit an der Karte greift MenuStudio mit der im Auftrag erteilten Zusage zeitlich begrenzt auf den Betrieb zu; der Zugriff ist für den Kunden sichtbar und wird protokolliert.

(4) Die Unterlagen löschen wir 30 Tage nach Abschluss oder Stornierung des Auftrags, bei Löschung des Betriebs sofort. Die Angaben zum Auftrag selbst bewahren wir auf, solange es für Rechnung und Gewährleistung nötig ist (bis zu 10 Jahre nach § 257 HGB / § 147 AO).

6. Tabaksorten-Katalog

Marken, Sorten und Aromen des Tabaksorten-Katalogs pflegen wir selbst; wir sind für diese Daten Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Katalog enthält Produktdaten und keine personenbezogenen Daten. Übernimmt ein Kunde einen Eintrag in eine seiner Karten, verarbeiten wir diese Auswahl im Auftrag des Kunden. Meldet ein Kunde uns eine fehlende Sorte, verarbeiten wir die Meldung nebst der Kennung des meldenden Nutzers und seines Betriebs, um über die Aufnahme zu entscheiden und Rückfragen beantworten zu können; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

7. Verarbeitung der Karteninhalte

Wir verarbeiten die vom Kunden bereitgestellten Inhalte, insbesondere Speisen, Getränke, Produktbeschreibungen, Preise, Allergene, Zusatz- und Inhaltsstoffe, Produktbilder sowie Kategorien. Diese Daten werden ausschließlich im Auftrag des jeweiligen Kunden verarbeitet und stellen in der Regel keine personenbezogenen Daten dar.

8. Zahlungsabwicklung über Stripe

Zahlungen werden ausschließlich über den Zahlungsdienstleister Stripe Payments Europe Ltd. abgewickelt. Wir selbst speichern keine vollständigen Kreditkarten- oder Bankdaten. MenuStudio speichert lediglich die folgenden Daten für den Vertragsbezug:

Stripe-Kunden-ID (anonymes Identifikationsmerkmal)
Stripe-Abonnement-ID
Status der Subscription
Tarif, Abrechnungsintervall, Preis-ID, Betrag, Währung
Trial- und Periodendaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Datenschutzerklärung von Stripe finden Sie unter https://stripe.com/de/privacy.

9. Nachweise der Vertragszustimmungen

Im Rahmen des Onboardings speichern wir, dass und wann der Kunde diese AGB, die Datenschutzerklärung, den Auftragsverarbeitungsvertrag, den Hinweis zum kostenpflichtigen Abonnement sowie die Bestätigung der Unternehmereigenschaft (§ 14 BGB) bestätigt hat. Gespeichert werden:

ID des bestätigenden Nutzers und seines Stores
Version des bestätigten Dokuments
Zeitstempel der Bestätigung
der vom Browser übermittelte User-Agent-String

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Nachweispflicht) sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO.

9a. Newsletter

(1) Beim Anlegen eines Betriebs können Sie freiwillig angeben, dass Sie Informationen zu neuen Funktionen von MenuStudio per E-Mail erhalten möchten. Das Kästchen ist nicht vorausgewählt; das Anlegen des Betriebs und die Nutzung von MenuStudio sind davon unabhängig (Kopplungsverbot, Art. 7 Abs. 4 DSGVO).

(2) Die Anmeldung erfolgt im Double-Opt-In-Verfahren. Nach dem Setzen des Hakens senden wir eine E-Mail an die im Konto hinterlegte Adresse mit einem Bestätigungslink. Erst wenn dieser Link aufgerufen wurde, gilt die Einwilligung als erteilt und werden Ihnen Newsletter zugesandt. Ohne Bestätigung erfolgt kein Versand; nicht bestätigte Einträge werden nicht angeschrieben.

(3) Rechtsgrundlage für den Versand ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG.

(4) Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir:

die E-Mail-Adresse
den Zeitpunkt der Anmeldung und die dabei verwendete IP-Adresse
die vom Browser übermittelte Kennung (User-Agent)
den Zeitpunkt der Bestätigung und die dabei verwendete IP-Adresse
den Weg, über den die Anmeldung erfolgt ist
gegebenenfalls den Zeitpunkt eines Widerrufs

Weitere Angaben werden für den Newsletter nicht erhoben. Eine Auswertung des Leseverhaltens (Öffnungs- oder Klickmessung, Zählpixel) findet nicht statt.

(5) Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Dazu genügt der Abmeldelink am Ende jeder Newsletter-Mail oder eine formlose Nachricht an die unter Ziffer 1 genannte Adresse. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(6) Nach einem Widerruf wird der Eintrag nicht gelöscht, sondern als abgemeldet gekennzeichnet. Das ist erforderlich, um den Widerruf dauerhaft beachten zu können (Art. 21 Abs. 3 DSGVO); Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO. Bei Löschung Ihres Kontos nach Art. 17 DSGVO wird auch dieser Eintrag entfernt.

(7) Der Versand erfolgt über den unter Ziffer 11 genannten Mailanbieter. Ein externer Newsletter-Dienstleister wird nicht eingesetzt.

9b. Einladung zur Bewertung (Trustpilot)

Mit der Bestätigung Ihrer Buchung geht eine Kopie der Mail an Trustpilot A/S, Pilestræde 58, 5. Stock, 1112 Kopenhagen K, Dänemark, mit Ihrer E-Mail-Adresse und Ihrem Namen. Trustpilot lädt Sie damit einige Tage später einmalig ein, MenuStudio zu bewerten. Ob Sie bewerten, entscheiden Sie selbst. Rechtsgrundlage ist unser berechtigtes Interesse an ehrlichen Rückmeldungen unserer Kunden (Art. 6 Abs. 1 lit. f DSGVO). Sie können jederzeit widersprechen, per Nachricht an die unter Ziffer 1 genannte Adresse oder über den Abmeldelink in der Einladung. Für die Einladung handelt Trustpilot in unserem Auftrag; für eine abgegebene Bewertung ist Trustpilot selbst verantwortlich (trustpilot.com/legal).

10. Endkunden und Bestellfunktion

(1) Die in der digitalen Speisekarte angezeigten Inhalte stehen den Endgästen ohne Anmeldung zur Verfügung.

(2) Nutzt der Kunde die Bestellfunktion, werden zur Übermittlung der Bestellung an den Betrieb des Kunden Bestellinformationen verarbeitet, insbesondere Tischnummer, bestellte Produkte und Bestellzeitpunkt.

(3) MenuStudio erstellt für Gäste keine Nutzerkonten. Eine Identifizierung einzelner Gäste findet grundsätzlich nicht statt. Diese Verarbeitung erfolgt ausschließlich im Auftrag des jeweiligen Kunden.

(4) Damit der Betrieb sieht, wann seine Karte genutzt wird, zählen wir jedes Öffnen der digitalen Speisekarte: je Betrieb, Tag und Stunde eine Zahl, getrennt nach Karte und Tisch-QR-Code. Dabei werden weder IP-Adressen noch Kennungen oder Gerätemerkmale gespeichert, und auf dem Endgerät des Gastes wird dafür nichts abgelegt oder ausgelesen. Ein Rückschluss auf einzelne Gäste ist nicht möglich. Aufrufe durch den Betrieb selbst und durch uns zählen nicht mit. Die Zahlen sieht nur der jeweilige Betrieb in seinem Kundenbereich (und wir für den Support). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Betriebs an einer Auswertung der Nutzung seiner Karte). Die Zahlen werden nach 400 Tagen automatisch gelöscht.

10a. Digitale Stempelkarte

(1) Betriebe können ihren Gästen eine digitale Stempelkarte anbieten. Der Gast scannt dazu einen QR-Code des Betriebs und erhält eine Karte im Browser. Ein Nutzerkonto, ein Name, eine E-Mail-Adresse oder eine Telefonnummer werden dafür nicht erhoben.

(2) Zu jeder Karte speichern wir: einen zufälligen Schlüssel (er steckt in der Adresse der Karte), eine kurze Kartennummer, das Programm und den Betrieb, die Zahl der gesammelten Stempel und der eingelösten Belohnungen sowie zu jedem Stempel und jeder Einlösung den Zeitpunkt, die Anzahl und das Teammitglied des Betriebs, das gebucht hat. Der Browser des Gastes merkt sich den Schlüssel seiner Karte (localStorage), damit sie beim nächsten Besuch wieder erscheint.

(3) Wird an der Theke gestempelt, erfährt die geöffnete Karte das über eine Echtzeitverbindung unseres Auftragsverarbeiters Supabase und lädt ihren neuen Stand. Übermittelt wird dabei nur die Kartennummer, keine Angabe zur Person.

(4) Für diese Daten ist der jeweilige Betrieb Verantwortlicher; MenuStudio verarbeitet sie in seinem Auftrag (Art. 28 DSGVO, AVV). Rechtsgrundlage beim Betrieb ist in der Regel Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Bonusprogramms). Die Daten werden gelöscht, wenn der Betrieb sein Programm oder sein Konto löscht.

(5) Google Wallet. Tippt der Gast auf „Zu Google Wallet hinzufügen", legen wir die Karte bei Google an: mit Name und Logo des Betriebs, Programm, Stempelstand, Kartennummer und dem Link zur Karte, auf Wunsch des Betriebs auch mit seinem Bewertungslink und seinen Profilen in sozialen Netzwerken. Nach jedem Stempel aktualisieren wir diesen Stand bei Google. Eine Verbindung zu Google entsteht erst durch diesen Klick. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, verarbeitet die Daten für die Wallet-App in eigener Verantwortung; eine Übermittlung in die USA an Google LLC ist nicht ausgeschlossen und erfolgt auf Grundlage des EU-US Data Privacy Framework. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da der Gast diese Funktion selbst wählt.

(6) Bewertung und Profile des Betriebs. Unter der Karte können Links zur Google-Bewertung und zu Profilen des Betriebs in sozialen Netzwerken stehen. Es sind einfache Links: Erst wenn der Gast einen davon antippt, öffnet sich die Seite des jeweiligen Anbieters, und es gelten dessen Datenschutzhinweise. Vorher wird nichts von diesen Anbietern geladen.

11. Auftragsverarbeiter und Empfänger

Wir setzen folgende Auftragsverarbeiter ein, mit denen wir Verträge nach Art. 28 DSGVO geschlossen haben:

Hostinger International Ltd., 61 Lordou Vironos, 6023 Larnaca, Zypern, Hosting der Webseite und Mailversand
Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992, Datenbank, Authentifizierung, Storage (EU-Region)
Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, Zahlungsabwicklung
Trustpilot A/S, Pilestræde 58, 1112 Kopenhagen K, Dänemark, Versand der Einladungen zur Bewertung (Ziffer 9b)
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA, Verarbeitung der KI-Funktionen (Ablesen einer Karte aus Fotos oder einer PDF-Datei, Übersetzung von Karteninhalten, Zusammenstellen von Karten, Zuordnen von Spalten beim Import, Assistent „Mino“)

Daneben ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Empfänger, wenn Sie sich für die Anmeldung über ein Google-Konto entscheiden (Ziffer 5a). Google handelt dabei nicht als unser Auftragsverarbeiter, sondern in eigener Verantwortung. Wählen Sie diesen Anmeldeweg nicht, findet keine Übermittlung statt. Ebenso ist Google Empfänger, wenn ein Gast seine Stempelkarte in Google Wallet speichert (Ziffer 10a Absatz 5).

Datenübermittlungen erfolgen ausschließlich in EU-Mitgliedstaaten oder auf Grundlage von Standardvertragsklauseln (SCC) und ergänzend nach dem EU-US Data Privacy Framework, sofern Daten in Drittländer übertragen werden.

11a. Funktionen mit künstlicher Intelligenz

(1) MenuStudio bietet Funktionen an, bei denen Inhalte durch ein Sprachmodell verarbeitet werden: das Übernehmen einer Karte aus Fotos oder einer PDF-Datei, das Übersetzen von Karteninhalten, das Zusammenstellen einer Karte aus vorhandenen Produkten, das Zuordnen der Spalten beim Import einer eigenen Artikelliste sowie den Assistenten „Mino“, über den sich diese Funktionen im Dialog auslösen und das Erscheinungsbild der Karte einstellen lässt. Diese Funktionen laufen ausschließlich auf ausdrückliche Auslösung durch den Kunden, nicht automatisch und nicht im Hintergrund.

(2) Übermittelt werden dabei ausschließlich Inhalte der Speisekarte: Namen und Beschreibungen von Kategorien und Produkten, Preise sowie Schlagworte; beim Assistenten zusätzlich der vom Kunden eingegebene Gesprächsverlauf; beim Übernehmen aus Fotos oder einer PDF-Datei die vom Kunden ausgewählten Dateien (Absatz 2b). Nicht übermittelt werden Kundendaten, Zugangsdaten, Bestelldaten oder Daten von Gästen.

(2a) Beim Zuordnen der Spalten einer importierten Datei werden ausschließlich die Spaltenüberschriften und höchstens acht Beispielzeilen übermittelt, nicht die vollständige Datei. Zurück kommt keine Datenverarbeitung, sondern eine Zuordnungsregel; diese wendet MenuStudio anschließend im Browser des Kunden auf alle Zeilen an. Die Zuordnung wird dem Kunden vor dem Import angezeigt und kann von ihm geändert werden.

(2b) Beim Übernehmen einer Karte aus Fotos oder einer PDF-Datei werden die Dateien übermittelt, die der Kunde dafür auswählt, höchstens sechs, jede höchstens fünf Megabyte. Fotos werden vorher im Browser verkleinert und in Graustufen umgewandelt. MenuStudio speichert diese Dateien nicht; zurück kommt eine Liste der erkannten Kategorien, Gerichte, Beschreibungen und Preise, die dem Kunden angezeigt wird und erst nach seiner Prüfung angelegt wird. Der Kunde sollte nur Aufnahmen der Karte selbst verwenden, auf denen keine Personen zu erkennen sind.

(3) Diese Inhalte sind in aller Regel keine personenbezogenen Daten. Enthält ein Kunde dennoch personenbezogene Angaben in seinen Karteninhalten, verarbeitet MenuStudio sie im Auftrag des Kunden nach Art. 28 DSGVO.

(4) Als Verarbeiter setzen wir Anthropic PBC ein. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC). Nach den kommerziellen Bedingungen von Anthropic werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training von Modellen verwendet.

(5) Wir protokollieren, wann und mit welcher Eingabe eine KI-Funktion ausgelöst wurde, um Kontingente durchzusetzen und Rückfragen beantworten zu können. Grundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

(6) Der Assistent bietet eine Spracheingabe an. Die Umwandlung von Sprache in Text übernimmt dabei nicht MenuStudio, sondern die Spracherkennung des verwendeten Browsers (Web Speech API). Je nach Browser wird die Tonaufnahme hierfür an den Anbieter des Browsers übertragen und dort verarbeitet; bei Google Chrome und Microsoft Edge ist das regelmäßig der Fall. Auf diese Verarbeitung haben wir keinen Einfluss; maßgeblich sind die Datenschutzhinweise des Browser-Anbieters. An MenuStudio gelangt ausschließlich der erkannte Text, keine Tonaufnahme. Das Mikrofon wird nur nach ausdrücklicher Freigabe durch den Nutzer und nur für die Dauer der aktiv gestarteten Aufnahme verwendet. Wer das nicht möchte, gibt seine Anliegen wie gewohnt über die Tastatur ein.

12. Speicherung auf Ihrem Endgerät, Cookies und Reichweitenmessung

(1) § 25 Abs. 1 TDDDG (vormals TTDSG) erfasst jede Speicherung von Informationen auf Ihrem Endgerät und jeden Zugriff darauf, unabhängig davon, ob es sich um Cookies, localStorage oder sessionStorage handelt. Wir legen ausschließlich Einträge an, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Dafür gilt die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist weder erforderlich noch zulässig einzuholen.

(2) Im Einzelnen sind dies: die Anmeldesitzung (gesetzt durch unseren Auftragsverarbeiter Supabase), der Warenkorb einer Bestellung am Tisch, die von Ihnen gewählte Anzeigesprache, eine zufällige Gerätekennung zur Anzeige und Beendigung Ihrer aktiven Anmeldungen, die zuletzt verwendete Anmeldeart, sowie kurzlebige Einträge zur Fehlervermeidung und zur Rückkehr nach einer Weiterleitung. Eine vollständige Aufstellung mit Zweck und Speicherdauer je Eintrag finden Sie unter menustudio.de/cookies.

(3) Wir setzen keine Tracking-, Analyse- oder Marketing-Werkzeuge ein. Insbesondere kommen NICHT zum Einsatz: Google Analytics, Google Tag Manager, Meta/Facebook Pixel, TikTok Pixel, Microsoft Clarity, Hotjar, Plausible oder PostHog. Es findet kein geräteübergreifendes Tracking und keine Profilbildung statt.

(3a) Damit wir wissen, ob unsere Website gefunden wird, zählen wir Seitenaufrufe anonym mit einem eigenen Zähler. Gespeichert wird je Tag und Stunde, aufgerufener Seite und Herkunftsart (zum Beispiel Suchmaschine, soziales Netzwerk, direkter Aufruf) nur eine Zahl, getrennt danach, ob der Aufruf ohne Anmeldung, von einem angemeldeten Kunden oder von uns selbst kam; ebenso die Zahl der Registrierungen je Herkunftsart. Die Herkunftsart ermittelt Ihr Browser aus der Adresse, von der Sie kamen, und schickt nur dieses Wort. Dabei wird nichts auf Ihrem Endgerät gespeichert oder daraus ausgelesen, es wird keine IP-Adresse, keine Kennung und kein Browsermerkmal gespeichert, und die Zahlen lassen sich keiner Person zuordnen. Rechtsgrundlage für die kurze Verarbeitung der Verbindungsdaten beim Übermitteln ist unser berechtigtes Interesse an einer Reichweitenmessung ohne Tracking (Art. 6 Abs. 1 lit. f DSGVO).

(4) Schriftarten werden lokal von unserem eigenen Server ausgeliefert. Es findet keine Verbindung zu Google Fonts statt. Auch die Erzeugung von QR-Codes erfolgt vollständig lokal im Browser; es werden hierfür keine externen Dienste kontaktiert. Karten, Videos und Schaltflächen sozialer Netzwerke sind nicht eingebunden.

(5) Sollten wir künftig Dienste einsetzen, die über das technisch Notwendige hinausgehen, holen wir Ihre Einwilligung ein, bevor der jeweilige Dienst erstmals geladen wird. Die Einwilligung ist freiwillig, granular nach Zweck, und die Ablehnung ist auf derselben Ebene und mit gleichem Aufwand möglich wie die Zustimmung. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), über den Link „Cookies" in der Fußzeile jeder Seite. Der Widerruf ist ebenso einfach wie die Erteilung.

(6) Sie können die auf Ihrem Endgerät gespeicherten Informationen jederzeit selbst löschen, über die Einstellungen Ihres Browsers. Das führt dazu, dass Sie abgemeldet werden und ein offener Warenkorb verloren geht; weitere Folgen hat es nicht.

13. Ihre Rechte als betroffene Person

Sie haben das Recht:

auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
auf Löschung Ihrer Daten (Art. 17 DSGVO)
auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
auf Datenübertragbarkeit (Art. 20 DSGVO)
auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Geltendmachung Ihrer Rechte wenden Sie sich bitte an hallo@menustudio.de.

14. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

15. Aktualisierungen

Wir behalten uns vor, diese Datenschutzerklärung von Zeit zu Zeit anzupassen, um sie geänderten rechtlichen Anforderungen oder Plattformfunktionen anzupassen. Die jeweils aktuelle Version ist unter https://menustudio.de/datenschutz abrufbar.