Datenschutzerklärung

Vorläufige Fassung. Wir überarbeiten diesen Text derzeit; maßgeblich ist die jeweils hier veröffentlichte Fassung.

1. Überblick und Rollen

Butler OS ist eine Software für Restaurants (Software as a Service). Restaurants nutzen Butler OS, um Reservierungen, Wartelisten, Speisekarten, Bestellungen am Tisch und die Zeiterfassung ihrer Beschäftigten zu verwalten. Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten dabei technisch verarbeitet werden.

Dabei gibt es zwei Rollen, die wir ausdrücklich unterscheiden:

A) Butler OS als Anbieter: Den Betrieb der Plattform selbst – Aufruf der Seiten, Sicherheit, Benutzerkonten der Restaurants, Abrechnung des Software-Abonnements und Fehleranalyse – verantwortet nach unserem Verständnis der unter Ziffer 2 genannte Betreiber.

B) Das Restaurant gegenüber seinen Gästen und Beschäftigten: Reservierungen, Wartelisteneinträge, Bestellungen am Tisch und die Zeiterfassung der Beschäftigten werden verarbeitet, weil ein Restaurant Butler OS dafür einsetzt. Butler OS stellt dafür die Software bereit und verarbeitet die Daten technisch für das jeweilige Restaurant. Wie die datenschutzrechtliche Verantwortung zwischen Restaurant und Betreiber verteilt ist, ist noch nicht abschließend geklärt; bis dahin beschreibt diese Erklärung die technische Verarbeitung, nicht die rechtliche Rolle.

Hat ein Restaurant eine eigene Datenschutzerklärung hinterlegt, verlinken seine Reservierungs-, Bestell- und Widgetseiten sowie die E-Mails an seine Gäste diese Erklärung. Andernfalls wird auf diese Seite verlinkt. Fragen zu Ihren Gastdaten richten Sie bitte zuerst an das Restaurant; wir unterstützen das Restaurant bei der Beantwortung.

2. Verantwortlicher für die Plattform

Tobias Künniger Einzelunternehmen unter der Geschäftsbezeichnung „TK Marketing & Verwaltung“ An der Heidteichsriede 22 38154 Königslutter Deutschland E-Mail: t.kuenniger@tk-value.de

3. Allgemeines zur Datenverarbeitung

Die folgenden Abschnitte beschreiben, welche Daten die einzelnen Funktionen verarbeiten. Butler OS verwendet keine Werbe- oder Analyse-Tracker, keine Werbe-Cookies und keine Social-Media-Plugins. Schriftarten werden von unserem eigenen Server ausgeliefert; beim Seitenaufruf wird keine Verbindung zu Google Fonts aufgebaut.

Butler OS ist nur verschlüsselt über HTTPS erreichbar; unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Datum und Uhrzeit werden in der Datenbank in UTC gespeichert und in der Zeitzone des Restaurants angezeigt.

Zu den Rechtsgrundlagen: Bei Verarbeitungen, die Butler OS als Anbieter für eigene Zwecke vornimmt (Ziffer 1 A), nennen wir die Rechtsgrundlage, auf die wir uns stützen. Bei Daten, die ein Restaurant mit Butler OS verarbeitet (Ziffer 1 B), richtet sich die Rechtsgrundlage nach dem Verhältnis zwischen dem Restaurant und seinen Gästen bzw. Beschäftigten; dort nennen wir die Grundlage, auf die sich das Restaurant nach unserem Verständnis stützen kann, oder verweisen auf das Restaurant.

4. Hosting und Zugriffsdaten (Vercel)

Die Anwendung wird bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, betrieben. Die Server-Funktionen von Butler OS laufen in der Vercel-Region Frankfurt am Main (fra1). Anfragen werden über das weltweite Netzwerk von Vercel entgegengenommen; dabei können Anfragen auch an Standorten außerhalb der EU verarbeitet werden.

Bei jedem Seitenaufruf werden technisch notwendig verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse (URL), Browser- und Gerätetyp (User-Agent) sowie die übertragene Datenmenge. Vercel protokolliert Anfragen und Laufzeitmeldungen der Anwendung. Die Anwendung schreibt Gastnamen, E-Mail-Adressen, Telefonnummern und Passwörter nicht gezielt in diese Protokolle. Bei unerwarteten technischen Fehlern werden jedoch Fehlermeldungen protokolliert; dass diese im Einzelfall Teile der verarbeiteten Eingaben enthalten, können wir nicht ausschließen.

Einige Adressen enthalten einen zufälligen, nicht erratbaren Zugangscode: die Verwaltung einer Reservierung, ein Wartelisteneintrag, die Statusseite einer Bestellung, die Annahme einer Team-Einladung und die Bestellseite eines Tisches (QR-Code). Wer die Adresse kennt, kann die jeweilige Funktion nutzen. Der Code wird als Teil der Adresse verarbeitet, also auch in den Protokollen und in Fehlerberichten (siehe Ziffer 17).

Zweck: Auslieferung der Anwendung, Sicherheit und Fehlersuche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb).

Vercel gibt an, am EU-U.S. Data Privacy Framework teilzunehmen und für Datenübermittlungen Standardvertragsklauseln einzusetzen (Datenschutzhinweise von Vercel).

5. Datenbank, Anmeldung und Dateien (Supabase)

Datenbank und Anmeldedienst werden von Supabase Pte. Ltd., Singapur, bereitgestellt. Das Supabase-Projekt des Produktivsystems mit Datenbank (PostgreSQL) und Anmeldedienst ist in der Region Frankfurt am Main (AWS eu-central-1) angelegt. In der Datenbank sind die unter den Ziffern 6 bis 15 beschriebenen Daten gespeichert, mit Ausnahme der Überlastungszähler (Ziffer 14) und der Speicherung im Browser (Ziffern 9 und 16).

Supabase gibt an, dass personenbezogene Daten in die USA und nach Singapur übermittelt werden können und dafür Standardvertragsklauseln der EU-Kommission eingesetzt werden (Datenschutzhinweise von Supabase).

Speisekartenbilder und Logos, die ein Restaurant hochlädt, können im Dateispeicher von Supabase (Supabase Storage) abgelegt werden. Sie sind nicht für Gastdaten vorgesehen. Ein hochgeladenes Logo wird vor dem Speichern als neue PNG-Datei erzeugt (längste Kante höchstens 512 Pixel); eingebettete Metadaten der Originaldatei (z. B. Kamera- oder Standortangaben) werden dabei nicht übernommen, und die Originaldatei wird nicht gespeichert. Logos liegen in einem öffentlich abrufbaren Speicherbereich, weil sie auf den Seiten und in den E-Mails des Restaurants angezeigt werden. Ersetzt oder entfernt ein Restaurant sein hochgeladenes Logo, wird die bisherige Datei gelöscht; schlägt das Löschen technisch fehl, kann die Datei im Speicher verbleiben. Speisekartenbilder werden vor dem Speichern als neue Bilddateien erzeugt; die Originaldatei wird nicht gespeichert. Ersetzte oder entfernte Speisekartenbilder werden derzeit nicht automatisch aus dem Dateispeicher gelöscht.

6. Benutzerkonten der Restaurants

Restaurants können sich über die Registrierungsseite selbst registrieren. Dafür werden E-Mail-Adresse und Passwort angegeben; der Anmeldedienst von Supabase sendet eine E-Mail zur Bestätigung der Adresse. Erst nach der Bestätigung kann ein Restaurant angelegt werden (Name und Adresse der öffentlichen Seite); dabei beginnt ein Testzeitraum des Abonnements.

Weitere Personen (Manager, Mitarbeitende) lädt ein Restaurant-Inhaber per E-Mail ein (siehe Ziffer 11). Zu einer Einladung werden die E-Mail-Adresse, die vorgesehene Rolle, der Ablaufzeitpunkt, die Anzahl der Sendungen, wer eingeladen hat sowie die Annahme oder der Widerruf und wer angenommen bzw. widerrufen hat gespeichert; vom Einladungslink wird nur ein Prüfwert gespeichert, nicht der Link selbst. Ein Inhaber kann den Zugang einer Person deaktivieren; die Zuordnung bleibt dann als deaktiviert gespeichert.

Zu jedem Benutzerkonto werden E-Mail-Adresse, ob sie bestätigt ist, die Kennung beim Anmeldedienst, die Rolle im Restaurant (Inhaber, Manager, Mitarbeitende) und die Zuordnung zum Restaurant gespeichert. Das Passwort wird ausschließlich vom Anmeldedienst von Supabase verwaltet und dort nach Angaben von Supabase als bcrypt-Hash gespeichert; Butler OS selbst speichert kein Passwort. Wer sein Passwort vergessen hat, kann einen Link zum Zurücksetzen anfordern; auch diese E-Mail sendet der Anmeldedienst von Supabase.

Bei der Registrierung, beim Anfordern eines Links zum Zurücksetzen und nach der Anmeldung setzt der Anmeldedienst Cookies (siehe Ziffer 16). Anmeldeversuche, Registrierungen und Anfragen zum Zurücksetzen des Passworts sind je IP-Adresse begrenzt (siehe Ziffer 14).

Zweck: Zugang zur Verwaltungsoberfläche und Durchsetzung der Berechtigungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Restaurant); zur Rollenverteilung bei Beschäftigtenkonten siehe Ziffer 1.

7. Restaurantdaten

Für jedes Restaurant werden Name, Adresse der öffentlichen Seite, Kontakt-E-Mail, Telefonnummer, Benachrichtigungs-E-Mail für Buchungen, Website, Logo, Farben, Sprache, Zeitzone, Öffnungszeiten, Tische, Reservierungsregeln und Hinweistexte für Gäste gespeichert, außerdem optional Links zu einem eigenen Impressum und einer eigenen Datenschutzerklärung, die Einstellungen der täglichen Reservierungsübersicht einschließlich einer Empfängeradresse und die Domains von Websites, auf denen das Restaurant das Buchungswidget einbindet. Diese Angaben sind überwiegend öffentlich auf den Seiten des Restaurants sichtbar.

Ein Logo kann das Restaurant hochladen (siehe Ziffer 5) oder über eine externe Adresse (http oder https) einbinden. Das Logo wird auf den Seiten des Restaurants und in den E-Mails an Gäste und an das Restaurant angezeigt. Ein über eine externe Adresse eingebundenes Logo lädt Ihr Browser bzw. Ihr E-Mail-Programm direkt von diesem externen Server; dabei erhält der Betreiber dieses Servers Ihre IP-Adresse. Ein hochgeladenes Logo wird entsprechend aus dem Dateispeicher von Supabase geladen.

Zweck: Bereitstellung der Software und der öffentlichen Seiten des Restaurants. Rechtsgrundlage, soweit die Angaben Personen betreffen (z. B. Kontaktdaten des Inhabers): Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Restaurant). Ob und von welchem externen Server ein Logo eingebunden wird, entscheidet das Restaurant.

8. Reservierungen und Warteliste (Gastdaten)

Bei einer Reservierung über die Seite eines Restaurants oder dessen eingebettetes Buchungswidget werden verarbeitet:

- Name - E-Mail-Adresse (bei Online-Buchung Pflicht) - Telefonnummer (bei Online-Buchung Pflicht) - Personenzahl - Datum und Uhrzeit - optionale Anmerkungen des Gastes - zugewiesener Tisch, Status (z. B. bestätigt, storniert, eingetroffen), gegebenenfalls ein Stornierungsgrund sowie Zeitpunkt der Erstellung und der letzten Änderung

Das Restaurant kann telefonische Reservierungen selbst eintragen; E-Mail-Adresse und Telefonnummer sind dann freiwillig. Das Datenmodell sieht zusätzlich interne Notizen des Restaurants vor; diese werden in der aktuellen Oberfläche nicht erfasst.

Jede Reservierung erhält einen zufälligen, nicht erratbaren Zugangscode. Über den Link mit diesem Code (in der Bestätigungsmail) können Sie Ihre Reservierung jederzeit ansehen und – bis zur vom Restaurant festgelegten Frist – ändern oder stornieren. Wer diesen Link kennt, kann die Reservierung verwalten; geben Sie ihn deshalb nicht weiter.

Für die Warteliste werden Name, E-Mail-Adresse, Telefonnummer, gewünschtes Datum, Personenzahl und optionale Anmerkungen gespeichert, außerdem der Status des Eintrags, wann Sie über einen freien Platz benachrichtigt wurden, bis wann ein Angebot gilt, wie viele Angebote der Eintrag erhalten hat und aus welchem Grund ein Eintrag geschlossen wurde. Auch jeder Wartelisteneintrag erhält einen zufälligen Zugangscode; über den Link damit können Sie Ihren Eintrag ansehen, zurückziehen und ein Platzangebot annehmen. Wird ein passender Platz frei, bietet Butler OS ihn automatisch den wartenden Einträgen an – zuerst den Einträgen, die bisher die wenigsten Angebote erhalten haben, und bei gleicher Anzahl in der Reihenfolge der Eintragung. Ein Angebot ist befristet. Einträge, deren gewünschter Termin erreicht ist, schließt Butler OS automatisch.

Ohne Name, E-Mail-Adresse und Telefonnummer ist eine Online-Reservierung oder ein Wartelisteneintrag nicht möglich, weil das Restaurant Sie sonst nicht erreichen und Ihnen keine Bestätigung schicken kann. Das Restaurant legt in Butler OS fest, bis wann Änderungen und Stornierungen online möglich sind.

Einbettung auf der Website eines Restaurants: Bindet ein Restaurant das Buchungs- oder Bestellwidget in seine eigene Website ein, meldet das Widget nach einer erfolgreichen Reservierung den Zugangscode der Reservierung, ihren Status und den Termin, nach einer Bestellung den Zugangscode der Bestellstatusseite, die Bestellnummer und den Status an die einbettende Website. Technisch geschieht das über eine Nachricht im Browser (postMessage) an die Website, in die das Widget eingebettet ist. Das dient dazu, dass die Website des Restaurants auf die Buchung oder Bestellung reagieren kann. Programme auf dieser Website, die vom Restaurant betrieben wird, können diese Angaben auslesen; mit dem Zugangscode lässt sich die Reservierung verwalten bzw. der Bestellstatus abrufen. Die Weitergabe findet nur statt, wenn das Restaurant das Widget in seine Website einbindet; sie gehört zur Durchführung der Buchung bzw. Bestellung für das Restaurant (zur Rollenverteilung siehe Ziffer 1).

Zweck: Durchführung der Reservierung und der Warteliste für das Restaurant. Zur Rollenverteilung siehe Ziffer 1. Rechtsgrundlage auf Seiten des Restaurants: Art. 6 Abs. 1 lit. b DSGVO.

9. Bestellungen am Tisch

Bestellt ein Gast über den QR-Code eines Tisches, werden Bestellinhalt, Anmerkungen zu einzelnen Produkten, Tisch, Zeitpunkte, Status und optional ein vom Gast angegebener Name gespeichert. Der Name wird dem Küchen- und Servicepersonal angezeigt. Ruft ein Gast über die Bestellseite das Personal an den Tisch, werden Tisch und Zeitpunkt gespeichert.

Den Warenkorb, eine gerade abgeschickte Bestellung (einschließlich des angegebenen Namens) und eine Liste Ihrer Bestellungen an diesem Tisch (Zugangscodes der Bestellstatusseiten und Bestellnummern) legt die Bestellseite im lokalen Speicher Ihres Browsers (Local Storage) ab, damit sie ein Neuladen der Seite übersteht. Diese Daten verlassen Ihr Gerät nicht über diesen Speicher. Die Liste Ihrer Bestellungen wird von Butler OS nicht automatisch gelöscht; Sie können sie über die Browsereinstellungen löschen.

Die Online-Bezahlung durch Gäste ist derzeit nicht aktiviert. Wird sie aktiviert, ergänzen wir diese Erklärung um den jeweiligen Zahlungsdienstleister, bevor die Funktion genutzt werden kann.

Zweck: Durchführung der Bestellung und des Service-Rufs für das Restaurant. Zur Rollenverteilung siehe Ziffer 1. Rechtsgrundlage auf Seiten des Restaurants: Art. 6 Abs. 1 lit. b DSGVO (Bestellung des Gastes). Zur Speicherung im Browser siehe Ziffer 16.

10. Zeiterfassung der Beschäftigten

Restaurants können die Arbeitszeiten ihrer Beschäftigten erfassen. Gespeichert werden Vor- und Nachname, Personalnummer, Beschäftigungsart, Tätigkeit, Eintritts- und Austrittsdatum, Soll-Arbeitszeit, optional Stundenlohn und Notizen, die Verknüpfung mit einem Benutzerkonto und ob die Person aktiv ist, sowie Arbeitsbeginn, Arbeitsende, Pausen, Notizen zu Zeiteinträgen, Freigaben (einschließlich der freigebenden Person), Ablehnungsgründe und Korrekturen.

Für die Verwaltung des Restaurants wertet Butler OS die Zeiteinträge je namentlich genannter Person aus: Nettoarbeitsstunden, durchschnittliche Stunden je Woche, Überstunden gegenüber der Soll-Arbeitszeit, Pausenquote und Anzahl der Schichten. Diese Auswertungen können als CSV- und als PDF-Datei exportiert werden; außerdem können die Zeiteinträge als CSV-Datei exportiert werden. Auswertungen sehen nur Personen mit der Rolle Inhaber oder Manager.

Zweck: Erfassung und Verwaltung der Arbeitszeiten durch das Restaurant. Die Rechtsgrundlage ergibt sich aus dem Beschäftigungsverhältnis zwischen Restaurant und Beschäftigten und den für das Restaurant geltenden Vorschriften, etwa zur Arbeitszeiterfassung; Fragen dazu richten Beschäftigte an das Restaurant. Zur Rollenverteilung siehe Ziffer 1.

11. E-Mails an Gäste, Restaurants und eingeladene Personen (Resend)

Butler OS versendet ausschließlich transaktionale E-Mails, keine Werbung:

- an Gäste: Bestätigung, Änderung und Stornierung einer Reservierung; bei Restaurants, die Online-Reservierungen erst bestätigen, außerdem die Eingangsbestätigung der Anfrage und gegebenenfalls deren Ablehnung; die Bestätigung eines Wartelisteneintrags und das Angebot eines frei gewordenen Platzes mit Ablaufzeit. Die Mails enthalten Name, Termin, Personenzahl, den Verwaltungslink, die Kontaktdaten und gegebenenfalls einen Hinweistext und das Logo des Restaurants sowie Links zu Impressum und Datenschutzerklärung, - an das Restaurant (an die Benachrichtigungs-E-Mail, sonst an die Kontakt-E-Mail): Benachrichtigung über neue, geänderte und stornierte Reservierungen mit Name, E-Mail-Adresse, Telefonnummer, Termin und Personenzahl des Gastes sowie einem Link in die Verwaltungsoberfläche (ohne den Verwaltungslink des Gastes); auf Wunsch des Restaurants außerdem eine tägliche Übersicht der Reservierungen des Tages an eine vom Restaurant festgelegte Adresse mit Uhrzeit, Personenzahl, Name, Telefonnummer, E-Mail-Adresse und Anmerkungen der Gäste, Tisch und Status, - an eingeladene Personen: die Einladung in das Team eines Restaurants mit dem Namen des Restaurants, der vorgesehenen Rolle, der E-Mail-Adresse der einladenden Person und einem befristeten Einladungslink.

Die E-Mails zur Bestätigung der Registrierung und zum Zurücksetzen des Passworts versendet nicht Butler OS, sondern der Anmeldedienst von Supabase (siehe Ziffer 6).

Jede Mail wird zuerst gemeinsam mit dem auslösenden Vorgang in der Datenbank abgelegt (Versandwarteschlange) und danach verschickt. Ist der Versanddienst vorübergehend nicht erreichbar, bleibt die Mail gespeichert und wird später erneut versucht (derzeit höchstens fünf Versuche). In der Warteschlange werden Empfängeradresse, Vorlage, die Daten, aus denen die Mail erstellt wird, das Restaurant, Versandstatus, Anzahl und Zeitpunkte der Versuche, eine eventuelle Fehlermeldung und die Kennung des Versanddienstes gespeichert.

Für den Versand nutzen wir Resend, betrieben von Plus Five Five, Inc., USA. Resend erhält Absender, Empfängeradresse, Antwortadresse, Betreff und Inhalt der Mail. Resend gibt an, Daten in die USA zu übermitteln und dort zu verarbeiten.

Zweck und Rechtsgrundlage: E-Mails an Gäste gehören zur Reservierung bzw. zum Wartelisteneintrag für das Restaurant (siehe Ziffer 8). E-Mails an das Restaurant einschließlich der täglichen Übersicht versendet Butler OS als Teil der vereinbarten Software-Leistung: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Restaurant); soweit sie Gastdaten enthalten, siehe zur Rollenverteilung Ziffer 1. Einladungen versendet Butler OS auf Veranlassung des Restaurant-Inhabers (zur Rollenverteilung siehe Ziffer 1).

12. Protokollierung von Änderungen (Audit-Log)

Wichtige Änderungen werden nachvollziehbar protokolliert: wer (interne Kennung des Benutzerkontos) wann was geändert hat, mit den Werten vor und nach der Änderung. Das Audit-Log enthält dabei auch personenbezogene Daten:

- bei Reservierungen und Wartelisteneinträgen Termin, Personenzahl, Tisch, Status und Herkunft der Buchung – nicht Name, E-Mail-Adresse oder Telefonnummer des Gastes, - bei Änderungen am Restaurantprofil dessen Kontaktdaten (E-Mail-Adressen, Telefonnummer), Logo-Adressen und Hinweistexte sowie bei den Einstellungen der täglichen Übersicht deren Empfängeradresse, - bei Team-Einladungen die E-Mail-Adresse der eingeladenen Person, - bei Beschäftigten Name, Personalnummer, Beschäftigungsart, Tätigkeit, Soll-Arbeitszeit, Stundenlohn, die Verknüpfung mit einem Benutzerkonto und ob die Person aktiv ist, - bei der Zeiterfassung die geänderten Zeiten sowie Freitexte (Notiz bei der Einreichung, Ablehnungs- und Korrekturgründe).

IP-Adressen und Browserkennungen werden im Audit-Log nicht gespeichert.

Zweck: Nachvollziehbarkeit, Missbrauchs- und Fehleraufklärung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

13. Abrechnung des Software-Abonnements (Stripe)

Restaurants bezahlen ihr Butler-OS-Abonnement über Stripe. Butler OS übermittelt Stripe den Namen und die Kontakt-E-Mail-Adresse des Restaurants, die Adresskennung seiner öffentlichen Seite sowie interne Kennungen von Restaurant und Tarif und den Abrechnungszeitraum. Zahlungsdaten wie Karten- oder Kontonummern geben Restaurants direkt auf der Bezahlseite von Stripe ein; Butler OS erhält und speichert sie nicht.

Stripe benachrichtigt Butler OS über Zahlungs- und Abonnementereignisse. Diese Nachrichten speichern wir vollständig, bevor wir sie verarbeiten (siehe Ziffer 15). Sie können die Rechnungs- und Kontaktangaben enthalten, die im Stripe-Bezahlvorgang angegeben wurden. Rechnungen von Stripe werden in Butler OS gespiegelt (Rechnungsnummer, Betrag, Status, Ausstellungs-, Fälligkeits- und Zahlungsdatum sowie Links zur Rechnung bei Stripe). Über den Verwaltungsbereich erreichen Restaurants außerdem das Kundenportal von Stripe.

Welches Stripe-Unternehmen Vertragspartner ist, hängt nach Angaben von Stripe vom Sitz des Kunden ab. Stripe gibt an, Daten auch in die USA zu übermitteln und dafür Standardvertragsklauseln sowie das EU-U.S. Data Privacy Framework zu nutzen (Datenschutzhinweise von Stripe).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Restaurant); für Rechnungsdaten gegebenenfalls zusätzlich gesetzliche Aufbewahrungspflichten.

14. Schutz vor Überlastung (Upstash)

Um Missbrauch und Überlastung zu verhindern (z. B. automatisierte Anmeldeversuche oder massenhafte Buchungen), zählen wir Anfragen je IP-Adresse und Funktionsbereich. Dafür wird bei Upstash, Inc., USA, einem Anbieter von Redis-Datenbanken, ein Zähler aus IP-Adresse und Funktionsbereich gespeichert; die Datenbank ist laut unserer Betriebsdokumentation in der Region Frankfurt am Main angelegt. Der Zähler wird nach Ablauf des Zeitfensters (60 Sekunden) automatisch gelöscht. Weitere Daten erhält Upstash nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Verfügbarkeit).

15. Zahlungs- und Abonnementnachrichten (Webhooks)

Nachrichten von Stripe zur Abrechnung des Software-Abonnements werden vor der Verarbeitung vollständig gespeichert, zusammen mit Eingangszeit, Verarbeitungsstatus, Anzahl der Versuche und einer eventuellen Fehlermeldung. So werden doppelt zugestellte Nachrichten erkannt, und fehlgeschlagene Nachrichten können erneut verarbeitet werden. Nachrichten mit ungültiger Signatur werden gekürzt (höchstens 2.000 Zeichen) gespeichert und nicht verarbeitet.

Für die Online-Bezahlung durch Gäste sieht Butler OS eigene Nachrichtenwege vor; sie sind derzeit nicht aktiviert (siehe Ziffer 9). Würden sie aktiviert, würden deren Nachrichten ebenfalls vollständig gespeichert, auch Nachrichten mit ungültiger Signatur.

Zweck und Rechtsgrundlage: wie bei der Abrechnung des Abonnements (Ziffer 13).

16. Cookies und Speicherung im Browser

Butler OS verwendet folgende Speichertechniken:

- Sitzungs-Cookie des Anmeldedienstes (Name: sb-<Projektkennung>-auth-token, bei großen Sitzungen auf mehrere Teile verteilt). Es wird nach der Anmeldung an der Verwaltungsoberfläche oder nach dem Öffnen eines Bestätigungs- oder Zurücksetzungslinks gesetzt, enthält die Anmeldesitzung und wird bei Seitenaufrufen bei Bedarf erneuert. Laufzeit: höchstens 400 Tage ab dem letzten Setzen; beim Abmelden wird es gelöscht. - Bestätigungs-Cookie des Anmeldedienstes (Name: sb-<Projektkennung>-auth-token-code-verifier). Es wird bereits beim Absenden der Registrierung und beim Anfordern eines Links zum Zurücksetzen des Passworts gesetzt, also vor einer Anmeldung, und enthält einen zufälligen Prüfwert, mit dem der Link aus der E-Mail diesem Browser zugeordnet wird. Laufzeit nach den Standardeinstellungen der verwendeten Bibliothek: höchstens 400 Tage. - Lokaler Speicher (Local Storage) der Bestellseite am Tisch mit Warenkorb, gerade abgeschickter Bestellung und der Liste Ihrer Bestellungen (siehe Ziffer 9); die Liste wird nicht automatisch gelöscht. - Beim Import einer Speisekarte aus einem Foto im Verwaltungsbereich lädt die Texterkennung Sprachdaten und kann sie nach dem Standardverhalten der verwendeten Bibliothek in einem Speicher des Browsers (IndexedDB) zwischenspeichern. Diese Sprachdaten enthalten keine personenbezogenen Angaben.

Gäste, die reservieren oder bestellen, erhalten kein Cookie. Es gibt keine Analyse-, Marketing- oder Drittanbieter-Cookies; ein Einwilligungsbanner ist nicht eingebaut.

Rechtsgrundlage: Nach unserer Einschätzung ist das Speichern und Auslesen dieser Informationen auf Ihrem Gerät unbedingt erforderlich, damit die von Ihnen genutzte Funktion bereitgestellt werden kann (Anmeldung, Bestellseite, Speisekarten-Import); deshalb holen wir dafür keine Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG). Für die weitere Verarbeitung gelten die Rechtsgrundlagen der jeweiligen Funktion (Ziffern 6 und 9).

17. Fehleranalyse (Sentry)

Um Fehler zu erkennen und zu beheben, nutzen wir Sentry, betrieben von Functional Software, Inc., USA. Unsere Sentry-Organisation nutzt die EU-Datenregion; Fehlerberichte und Leistungsdaten werden dort nach Angaben von Sentry in Frankfurt am Main gespeichert. Konto- und Organisationsdaten unserer Sentry-Organisation verarbeitet Sentry nach eigenen Angaben auch in den USA.

Fehlerberichte werden vom Server und aus Ihrem Browser gesendet. Sie enthalten die Fehlermeldung, den technischen Programmablauf, die aufgerufene Adresse, Browser- und Betriebssystemangaben und die Programmversion. Bevor ein Fehlerbericht versendet wird, entfernt Butler OS Cookies, Anmelde-Header, Formularinhalte und gesondert übermittelte Adressparameter, ersetzt erkennbare E-Mail-Adressen und Telefonnummern durch Platzhalter und verwirft Felder wie Gastname, Anmerkungen, E-Mail und Telefon. Es werden keine Benutzerkonten zugeordnet und keine Sitzungsaufzeichnungen erstellt.

Die aufgerufene Adresse selbst wird nicht entfernt: Fehlerberichte aus dem Browser können die vollständige Adresse einschließlich ihrer Parameter enthalten, Fehlerberichte vom Server den aufgerufenen Pfad einschließlich seiner Parameter. Fehlerberichte aus dem Browser können außerdem einen kurzen Verlauf der zuvor aufgerufenen Seiten und der Anfragen der Seite an den Server enthalten, jeweils mit den zugehörigen Adressen. Enthält eine dieser Adressen einen Zugangscode oder andere Parameter (siehe Ziffer 4), kann dieser in Sentry gespeichert werden.

Zusätzlich wird ein kleiner Teil der Seitenaufrufe und Anfragen (standardmäßig 5 %) im Browser und auf dem Server als Leistungsmessung erfasst. Leistungsmessungen enthalten die aufgerufenen Adressen einschließlich ihrer Parameter und Zugangscodes sowie Zeitangaben; sie können außerdem Browserangaben und die zuvor besuchte Seite enthalten. Die oben beschriebene Bereinigung wird auf Leistungsmessungen nicht oder nicht vollständig angewendet. Leistungsmessungen auf dem Server können je nach technischer Umgebung zusätzlich die IP-Adresse und die Browserkennung enthalten.

Beim Versand aus dem Browser erhält Sentry technisch Ihre IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien Betrieb).

18. Speicherdauer und Löschung

Wir beschreiben hier den tatsächlichen technischen Stand:

- Reservierungen, Wartelisteneinträge und Bestellungen werden nicht automatisch gelöscht. Stornierte Reservierungen bleiben mit dem Status „storniert“ erhalten, geschlossene Wartelisteneinträge mit ihrem Status. - Die Versandwarteschlange (Ziffer 11) behält jede Mail einschließlich Empfängeradresse und Inhalt dauerhaft; eine automatische Löschung ist nicht umgesetzt. Nur der Link einer Team-Einladung wird nach Abschluss des Versands aus der gespeicherten Mail entfernt. - Benutzerkonten, Einladungen und deaktivierte Zugänge werden nicht automatisch gelöscht. - Audit-Log (Ziffer 12) und Zahlungs- und Abonnementnachrichten (Ziffer 15) werden bewusst nicht gelöscht, um die Nachvollziehbarkeit zu sichern. - Die Überlastungszähler (Ziffer 14) werden nach 60 Sekunden automatisch gelöscht. - Cookies und lokaler Speicher: siehe Ziffer 16. - Protokolle und Sicherungskopien bei Vercel, Supabase, Resend und Sentry unterliegen deren Aufbewahrungsregeln.

Eine Löschung oder Anonymisierung einzelner Gastdaten ist auf Anfrage manuell möglich; ein automatischer Löschprozess ist nicht umgesetzt. Auch ein vollständiger Export der Daten eines Restaurants und eine Löschung nach Vertragsende sind noch nicht umgesetzt; vorgesehen ist ein Zeitraum von 30 Tagen nach Vertragsende, in dem ein Restaurant seine Daten exportieren kann, bevor sie gelöscht werden.

Wie lange die Daten ihrer Gäste und Beschäftigten aufbewahrt werden, sollen grundsätzlich die Restaurants festlegen. Feste Fristen oder Standardwerte gibt es dafür derzeit nicht.

19. Empfänger

Personenbezogene Daten erhalten – jeweils nur für die beschriebenen Zwecke:

- das jeweilige Restaurant für die Daten seiner Gäste und Beschäftigten, - Vercel (Hosting, Ziffer 4), - Supabase (Datenbank, Anmeldung, Dateien, Ziffer 5), - Resend (E-Mail-Versand, Ziffer 11), - Stripe (Abrechnung des Abonnements, Ziffer 13), - Upstash (Schutz vor Überlastung, Ziffer 14), - Sentry (Fehleranalyse, Ziffer 17).

Außerdem erhalten technisch Daten: die Betreiber externer Server, von denen ein Restaurant sein Logo einbindet (IP-Adresse beim Laden des Logos, Ziffer 7), und die Website eines Restaurants, in die es das Buchungs- oder Bestellwidget eingebettet hat (Ziffer 8).

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet durch Butler OS nicht statt.

20. Übermittlung in Drittländer

Die Datenbank, die Server-Funktionen, der Überlastungsschutz und die Fehlerberichte werden in Frankfurt am Main betrieben. Mehrere Anbieter haben ihren Sitz jedoch außerhalb der EU (Vercel, Resend, Sentry und Upstash in den USA, Supabase in Singapur; bei Stripe abhängig vom Vertragspartner). Nach deren eigenen Angaben können personenbezogene Daten in die USA oder nach Singapur übermittelt werden. Vercel, Supabase und Stripe nennen dafür Standardvertragsklauseln, Vercel und Stripe zusätzlich das EU-U.S. Data Privacy Framework; Resend nennt in seinen Datenschutzhinweisen keinen konkreten Mechanismus. Eine Übermittlung in Drittländer können wir daher nicht ausschließen.

21. Ihre Rechte

Sie haben nach Maßgabe der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21).

Betrifft Ihre Anfrage Daten, die ein Restaurant über Butler OS verarbeitet (etwa Ihre Reservierung), wenden Sie sich bitte an das Restaurant. Sie können sich auch an uns wenden; wir leiten Ihre Anfrage dann an das Restaurant weiter und unterstützen es bei der Beantwortung.

22. Widerruf von Einwilligungen

Nach derzeitigem Stand ist keine Verarbeitung auf eine Einwilligung gestützt. Sollte künftig eine Einwilligung eingeholt werden, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen.

23. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO).

24. Pflicht zur Bereitstellung

Für eine Online-Reservierung und einen Wartelisteneintrag sind Name, E-Mail-Adresse und Telefonnummer erforderlich; ohne sie kann die Buchung nicht abgeschlossen werden. Für ein Benutzerkonto ist eine E-Mail-Adresse erforderlich. Alle übrigen Angaben im Buchungsformular sind freiwillig.

25. Automatisierte Entscheidungen

Nach unserer Einschätzung trifft Butler OS keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO; Profile werden nicht erstellt. Die Software ermittelt automatisch freie Uhrzeiten und weist einen passenden Tisch zu; das richtet sich allein nach Öffnungszeiten, Tischgrößen und bestehenden Reservierungen. Freie Plätze bietet sie automatisch Einträgen auf der Warteliste an und schließt abgelaufene Einträge (siehe Ziffer 8); die Reihenfolge richtet sich nach der Zahl bisheriger Angebote und dem Zeitpunkt der Eintragung. Merkmale Ihrer Person spielen dabei keine Rolle.

26. Datensicherheit

Wir schützen die Daten unter anderem durch verschlüsselte Übertragung (TLS), eine serverseitige Trennung der Daten verschiedener Restaurants in der Anwendung, rollenbasierte Berechtigungen, nicht erratbare Zugangscodes für Gastlinks, eine Begrenzung von Anfragen je IP-Adresse, das Entfernen bestimmter personenbezogener Angaben aus Fehlerberichten (mit den in Ziffer 17 genannten Einschränkungen) sowie die ausschließlich serverseitige Verwendung von geheimen Zugangsschlüsseln.

27. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen oder eingesetzte Dienste ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.

28. Kontakt

Für Fragen zum Datenschutz: t.kuenniger@tk-value.de