Allgemeine Geschäftsbedingungen (AGB)

chiwai food intelligence — SaaS-Plattform für Gastronomie

Yung UG (haftungsbeschränkt)

Version 3.0 — Stand: 28.06.2026 Vorgängerversion: v2.1 vom 15.06.2026 (Entwurf) Erstellt nach Rechtsprüfungsvorbesprechung mit RA Eötvös, 28.06.2026

Präambel

Die Yung UG (haftungsbeschränkt), Jahnstraße 56, 60318 Frankfurt am Main, eingetragen im Handelsregister des Amtsgerichts Frankfurt am Main unter HRB 143468 (Beurkundung: 26.05.2026; Handelsregistereintrag: 10.06.2026), vertreten durch den Geschäftsführer Chi Kei Yung (nachfolgend „Anbieter”), betreibt unter der Marke chiwai food intelligence und der Domain chiwai.eu eine Software-as-a-Service-Plattform für gastronomische Betriebe (nachfolgend „Plattform”).

Die nachfolgenden Allgemeinen Geschäftsbedingungen (nachfolgend „AGB”) regeln das Vertragsverhältnis zwischen dem Anbieter und seinen Kunden. Die AGB richten sich ausschließlich an Unternehmer im Sinne von § 14 BGB.

§ 1 Geltungsbereich und Vertragspartner

Diese AGB gelten für sämtliche Verträge über die Nutzung der chiwai-Plattform sowie für alle damit verbundenen Leistungen des Anbieters.
Entgegenstehende oder von diesen AGB abweichende Bedingungen des Kunden werden nicht anerkannt, es sei denn, der Anbieter hat ihrer Geltung ausdrücklich in Textform zugestimmt.
Die Plattform richtet sich ausschließlich an Unternehmer im Sinne von § 14 BGB, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbraucher im Sinne von § 13 BGB sind keine Vertragspartner des Anbieters. Der Kunde sichert seine Unternehmereigenschaft bei Vertragsschluss ausdrücklich zu.
Diese AGB sind in deutscher Sprache maßgeblich. Eine englischsprachige Übersetzung wird zur Information bereitgestellt. Bei Abweichungen zwischen der deutschen und einer fremdsprachigen Fassung gilt stets der deutsche Text.

§ 2 Vertragsschluss und Vertragsgegenstand

(1) Vertragsschluss

Der Vertrag kommt zustande durch Bestätigung der Registrierung des Kunden durch den Anbieter in Textform (E-Mail) oder durch Freischaltung des Kundenzugangs. Darstellungen auf chiwai.eu oder in Vertriebsgesprächen sind unverbindliche Einladungen zur Abgabe eines Angebots; verbindlich ist erst die Auftragsbestätigung des Anbieters.

(2) Vertragsgegenstand

Der Anbieter stellt dem Kunden die Plattform als Software-as-a-Service zur Nutzung über das Internet bereit. Ein Anspruch auf Überlassung von Quellcode oder lokal installierbarer Software besteht nicht.

(3) Leistungsumfang

Der konkrete Leistungsumfang richtet sich nach dem jeweils gebuchten Tarif gemäß § 3 und der zugehörigen Leistungsbeschreibung (Anlage 1). Je nach Tarif umfasst die Leistung insbesondere:

Erfassung, Verwaltung und Veröffentlichung von Speisekarten-, Zutaten-, Allergen- und Nährwertdaten;
automatisierte Berechnung von Allergenkennzeichnungen und Nährwertangaben auf Basis der vom Anbieter gepflegten Globalen Wissensbasis (BASE A);
Bereitstellung einer Kunden-Speisekartenseite unter einer Subdomain von chiwai.eu;
Generierung strukturierter Daten nach Schema.org (JSON-LD) für Suchmaschinen und KI-Systeme;
Ausspielung von Speisekartendaten in den Google Business Profile FoodMenu-Feed;
optional: KI-gestützte Auslesung von Lieferantenrechnungen (Beleg-Upload-Feature).

(4) Weiterentwicklung

Der Anbieter ist berechtigt, die Plattform weiterzuentwickeln und Funktionen anzupassen, sofern der vertragsgemäße Nutzen für den Kunden dadurch nicht wesentlich beeinträchtigt wird. Wesentliche Leistungsänderungen werden dem Kunden mindestens sechs Wochen vorab mitgeteilt. Unberührt hiervon bleibt § 12.

§ 3 Tarife und Vergütung

(1) Tarife

Der Anbieter bietet folgende Tarife an:

Tarif	Monatliche Vergütung (netto)	Leistungsumfang
FREE	0,00 €	Grundfunktionen gemäß Anlage 1
GROWTH	50,00 €	Erweiterter Funktionsumfang gemäß Anlage 1
PRO	100,00 €	Vollständiger Funktionsumfang inkl. KI-Sichtbarkeit gemäß Anlage 1
ENTERPRISE	individuell	Individuell vereinbarter Leistungsumfang

Add-on-Leistungen (insbesondere benutzerdefinierte Domain menu.{kundendomain}, Google Business Profile Pflege) werden gesondert vereinbart und berechnet.

(2) Nettopreise

Alle Preisangaben verstehen sich als Nettopreise zuzüglich der jeweils gültigen gesetzlichen Umsatzsteuer.

(3) Zahlung

Die Vergütung wird monatlich im Voraus in Rechnung gestellt. Die Zahlung erfolgt per SEPA-Lastschrift oder Kreditkarte über den Zahlungsdienstleister Stripe Payments Europe Ltd. (Irland). Die Zahlungsdaten werden bei Registrierung hinterlegt. Der Kunde erteilt mit Vertragsschluss ein entsprechendes SEPA-Lastschriftmandat, soweit er die Lastschrift-Zahlungsart wählt.

(4) Rechnungsstellung

Rechnungen werden in elektronischer Form (§ 14 UStG) gestellt. Auf Anforderung werden Rechnungen im Format XRechnung oder ZUGFeRD ausgestellt. Rechnungen sind ohne Abzug sofort zur Zahlung fällig.

(5) Reverse Charge

Für Kunden mit Sitz in einem anderen EU-Mitgliedstaat, die eine gültige Umsatzsteuer-Identifikationsnummer mitgeteilt haben, findet das Reverse-Charge-Verfahren nach § 13b UStG i.V.m. Art. 196 MwStSystRL Anwendung.

(6) Verzug

Bei Zahlungsverzug ist der Anbieter berechtigt, Verzugszinsen in Höhe von neun Prozentpunkten über dem Basiszinssatz (§ 288 Abs. 2 BGB) sowie die gesetzliche Verzugskostenpauschale (§ 288 Abs. 5 BGB) zu verlangen. Bei Zahlungsverzug von mehr als 30 Tagen ist der Anbieter berechtigt, den Zugang zur Plattform zu sperren; weitergehende Rechte bleiben unberührt.

(7) Steueränderungsvorbehalt

Ändern sich nach Vertragsschluss die gesetzlichen Steuersätze oder zwingend zu entrichtende öffentliche Abgaben, ist der Anbieter berechtigt, die Vergütung entsprechend der gesetzlichen Änderung anzupassen. Die Anpassung gilt erst für Leistungszeiträume nach Inkrafttreten der Änderung. Steueränderungen gelten nicht als AGB-Änderung im Sinne von § 12.

(8) Preisanpassung (VPI-Indexklausel)

Der Anbieter ist berechtigt, die in § 3 Abs. 1 genannten Vergütungen einmal je Kalenderjahr anzupassen. Maßstab ist die prozentuale Veränderung des Verbraucherpreisindex (VPI) für Deutschland (Statistisches Bundesamt, Destatis) gegenüber dem Stand im Monat des Vertragsschlusses (Basismonat). Eine Anpassung nach oben ist auf maximal 8 Prozentpunkte pro Jahr begrenzt; Preissenkungen bei rückläufigem VPI werden im gleichen Verfahren weitergegeben (Symmetrieprinzip).

Preisanpassungen werden dem Kunden mindestens sechs (6) Wochen vor Beginn des betroffenen Abrechnungszeitraums in Textform mitgeteilt.

Im Fall einer Preiserhöhung ist der Kunde berechtigt, den Vertrag innerhalb von vier (4) Wochen nach Zugang der Mitteilung mit einer Frist von sechs (6) Wochen zum Ende des laufenden Abrechnungszeitraums außerordentlich zu kündigen (Sonderkündigungsrecht). Macht der Kunde von diesem Recht keinen Gebrauch, gilt die Preisanpassung als angenommen.

§ 4 Pionier-Programm

(1) Auswahl und Anspruch

Der Anbieter bietet ausgewählten Kunden ein Pionier-Programm an. Die Aufnahme in das Programm erfolgt nach alleinigem Ermessen des Anbieters; ein Rechtsanspruch auf Aufnahme besteht nicht.

(2) Kostenfreier Zeitraum

Pionier-Kunden erhalten Zugang zur Plattform im Tarif GROWTH oder PRO kostenfrei für einen Zeitraum von zwölf (12) Kalendermonaten ab Datum der Freischaltung (nachfolgend „Pionier-Zeitraum”).

(3) Automatische Beendigung — keine Verlängerung

Das Pionier-Verhältnis endet automatisch mit Ablauf des Pionier-Zeitraums, ohne dass es einer Kündigung bedarf. Eine automatische Verlängerung oder Umwandlung in einen kostenpflichtigen Tarif findet nicht statt. Der Zugang zur Plattform wird nach Ablauf des Pionier-Zeitraums deaktiviert, soweit der Kunde nicht vor Ablauf aktiv einen kostenpflichtigen Tarif wählt.

(4) Gegenleistungen des Pionier-Kunden

Als Gegenleistung für die kostenfreie Nutzung erklärt sich der Pionier-Kunde mit folgenden Bedingungen einverstanden. Die Einzelheiten sind in der Pionier-Vereinbarung (Anlage 3) geregelt, die als Individualvereinbarung Bestandteil des Vertrags wird:

(a) Anonymisierte Trainingsdaten

Der Pionier-Kunde erklärt sich damit einverstanden, dass aus seinen in die Plattform eingegebenen Belegen und Rezepturdaten anonymisierte Match-Datenpunkte (Belegtext → Produkt-ID, ohne Preise, ohne Lieferantenidentität, ohne Tenant-Bezug) zur dauerhaften Verbesserung der plattforminternen KI-Erkennungsmodelle des Anbieters verwendet werden dürfen — auch nach Ablauf des Pionier-Zeitraums für bereits erzeugte Datenpunkte. Die erzeugten Datenpunkte sind nicht re-identifizierbar und unterfallen nicht der DSGVO (Erwägungsgrund 26 DSGVO). Da die Datenpunkte technisch nicht aus Aggregaten entfernt werden können, begründen sie nach Vertragsende keinen Anspruch nach Art. 17 DSGVO. Diese Vereinbarung ist jederzeit mit Wirkung für die Zukunft widerrufbar; bereits verarbeitete Datenpunkte verbleiben im anonymisierten Aggregat.

(b) KI-Verarbeitung durch Anthropic

Zur Erbringung bestimmter Plattformleistungen — insbesondere automatisierte Übersetzung von Gerichtsbezeichnungen und Zutaten, Allergen-Klassifikation sowie Textgenerierung — setzt der Anbieter den KI-Dienst Claude API der Anthropic, PBC (USA) ein. Die dabei verarbeiteten Daten sind Sachdaten (Gerichtsbezeichnungen, Zutatenbezeichnungen, Kategorieinformationen), keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO. Die Übermittlung erfolgt auf Basis des Anthropic Data Processing Addendum (verfügbar unter anthropic.com/legal/data-processing-addendum, SCC EU 2021/914 Module 2 + 3, irisches Recht). Personenbezogene Daten werden nicht an Anthropic übermittelt.

(c) Marketing-Referenz

Der Pionier-Kunde erklärt sich damit einverstanden, dass der Anbieter seinen Firmennamen und sein Logo sowie eine anonymisierte Fallbeschreibung (Case Study) auf chiwai.eu und in Marketingmaterialien des Anbieters verwendet. Diese Einwilligung kann der Kunde jederzeit mit Wirkung für die Zukunft in Textform widerrufen; bereits veröffentlichte Materialien können im Rahmen des technisch und redaktionell Zumutbaren angepasst werden.

(5) Übrige AGB

Alle übrigen Bestimmungen dieser AGB gelten für Pionier-Kunden entsprechend.

§ 5 Pflichten und Mitwirkung des Kunden

(1) Verantwortlichkeit für Daten

Der Kunde ist allein verantwortlich für die Richtigkeit, Vollständigkeit und Aktualität aller von ihm in die Plattform eingegebenen Daten. Dies gilt insbesondere für:

Zutaten-, Allergen- und Nährwertangaben der angebotenen Speisen und Getränke;
Preisangaben gegenüber Endverbrauchern;
Restaurant-Stammdaten (Anschrift, Öffnungszeiten, Kontaktdaten);
hochgeladene Lieferantenrechnungen und Produktinformationen.

(2) Allergen- und Nährwertangaben

Der Anbieter weist ausdrücklich darauf hin, dass automatisierte Allergen- und Nährwertberechnungen auf Basis der vom Kunden hinterlegten Rezepturen und Zutatenangaben erfolgen. Die inhaltliche Richtigkeit und lebensmittelrechtliche Konformität dieser Angaben liegt ausschließlich im Verantwortungsbereich des Kunden als Lebensmittelunternehmer im Sinne von Art. 8 LMIV (Verordnung (EU) Nr. 1169/2011). Der Kunde ist verpflichtet, alle von der Plattform generierten Allergen- und Nährwertangaben vor Veröffentlichung selbst zu prüfen und zu bestätigen. Ein entsprechender Bestätigungsschritt ist im Onboarding-Prozess der Plattform vorgesehen.

(3) Zugangsdaten und Nutzerkontrolle

Der Kunde hält seine Zugangsdaten geheim und stellt sicher, dass nur autorisierte Personen Zugang zur Plattform erhalten. Der Kunde haftet für alle unter seinen Zugangsdaten vorgenommenen Handlungen, soweit diese ihm zuzurechnen sind.

(4) Impressum und Datenschutz auf der Kunden-Speisekartenseite

Der Kunde ist verpflichtet, auf seiner Kunden-Speisekartenseite ein rechtskonformes Impressum (§ 5 DDG) sowie eine eigene Datenschutzerklärung bereitzuhalten. Die inhaltliche Verantwortung liegt beim Kunden. Der Anbieter stellt hierfür technische Eingabefelder in der Plattform bereit.

(5) Elektronische Rechnungen

Der Kunde stellt sicher, dass er elektronische Rechnungen im Sinne von § 14 UStG empfangen und verarbeiten kann.

§ 6 Datenschutz und Auftragsverarbeitung

(1) Datenschutzerklärung

Die Verarbeitung personenbezogener Daten durch den Anbieter richtet sich nach der jeweils aktuellen Datenschutzerklärung, abrufbar unter chiwai.eu/privacy/.

(2) Auftragsverarbeitungsvertrag (AVV)

Soweit der Anbieter im Rahmen der Plattformnutzung personenbezogene Daten im Auftrag des Kunden verarbeitet, schließen die Parteien einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab. Der AVV ist als Anlage 2 abrufbar unter chiwai.eu/legal/avv/ und wird mit Vertragsschluss wirksam. Die elektronische Form nach Art. 28 Abs. 9 DSGVO ist gewahrt.

(3) Subprozessoren

Eine aktuelle Liste der eingesetzten Subauftragsverarbeiter wird unter chiwai.eu/legal/avv/ bereitgestellt. Über Änderungen an der Subprozessor-Liste informiert der Anbieter den Kunden mindestens 30 Tage im Voraus. Das Widerspruchsrecht des Kunden richtet sich nach § 4 Abs. 2 des AVV.

§ 7 Datenaggregation, anonymisierte Auswertungen und KI-Nutzung

(1) Datentrennung

Der Anbieter verarbeitet folgende Datenkategorien strikt getrennt:

(a) Tenant-Daten: restaurantspezifische Daten des Kunden (Speisekarten, Rezepturen, Rechnungen, Stammdaten) — tenant-isoliert durch Row-Level-Security auf Datenbankebene, ausschließlich für den jeweiligen Kunden zugänglich, keine Cross-Tenant-Einsicht im Anwendungspfad.

(b) Aggregierte Daten: aus Tenant-Daten mehrerer Kunden gewonnene anonymisierte Statistiken — nicht re-identifizierbar, Nutzungsrecht beim Anbieter.

(2) Zulässige anonymisierte Aggregation

Der Anbieter ist berechtigt, aus Tenant-Daten anonymisierte Statistiken (z. B. Marktpreisindizes, Lieferantenvergleiche) zu erstellen, wenn folgende Bedingungen kumulativ erfüllt sind:

Mindestens zehn (10) voneinander unabhängige Kunden haben Daten zum selben Produkt-/Lieferanten-Bucket beigetragen (k-Anonymität, k ≥ 10; zusätzlich l-Diversity: mindestens drei verschiedene Lieferanten je Bucket).
Ein Rückschluss auf einzelne Kunden, Lieferanten oder konkrete Preisvereinbarungen ist technisch ausgeschlossen.
Die zeitliche Auflösung beträgt mindestens eine Kalenderwoche auf Einzelpositions-Ebene.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Anbieters und der Gesamtheit der Plattformnutzer). Anonymisierte Datenpunkte, die die vorstehenden Voraussetzungen erfüllen, sind keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO (Erwägungsgrund 26 DSGVO).

(3) Nutzung aggregierter Daten

Anonymisierte Aggregate darf der Anbieter verwenden für:

die interne Verbesserung plattforminterner KI-Erkennungsmodelle und Datenqualitätssicherung;
die interne Bereitstellung von Marktpreis- und Lieferantenanalysen für Planungszwecke des Anbieters.

Eine Bereitstellung aggregierter Daten für andere Kunden (Cross-Tenant-Benchmark-Feature) ist in dieser Version der AGB nicht vorgesehen. Der Anbieter behält sich vor, ein entsprechendes opt-in-Feature durch AGB-Änderung gemäß § 12 einzuführen.

Eine Weitergabe oder Vermarktung anonymisierter Daten an Dritte außerhalb der Plattform (z. B. an Lebensmittelhersteller, Marktforschungsunternehmen) ist von dieser Klausel nicht umfasst und bedarf einer gesonderten Vereinbarung mit ausdrücklicher Einwilligung des Kunden.

(4) Rechte des Kunden bei Vertragsende

Tenant-Daten werden nach Vertragsende 30 Tage zur Datenmitnahme bereitgestellt und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Anonymisierte Datenpunkte, die vor dem Vertragsende in Aggregate eingeflossen sind, können technisch nicht rückwirkend entfernt werden; da sie die Schwellen nach Abs. 2 erfüllen und nicht re-identifizierbar sind, begründen sie keinen Anspruch nach Art. 17 DSGVO (Erwägungsgrund 26 DSGVO).

§ 8 Geistige Eigentumsrechte

(1) Rechte an der Plattform

Sämtliche Rechte an der Plattform, ihrem Quellcode, ihrer Datenbankstruktur und den darin enthaltenen Inhalten verbleiben beim Anbieter oder seinen Lizenzgebern. Der Kunde erhält ein nicht-ausschließliches, nicht übertragbares und auf die Vertragslaufzeit beschränktes Nutzungsrecht an der Plattform.

(2) Rechte an Kundendaten

Alle Rechte an den vom Kunden eingegebenen Daten verbleiben beim Kunden. Der Kunde räumt dem Anbieter das zur Vertragserfüllung erforderliche, zeitlich auf die Vertragslaufzeit beschränkte Recht ein, Kundendaten zu speichern, zu verarbeiten und — soweit zur Leistungserbringung erforderlich — an Subauftragsverarbeiter weiterzugeben.

(3) Globale Wissensbasis (BASE A)

Die vom Anbieter gepflegte Globale Wissensbasis (Zutaten- und Produktstammdaten, Nährwerte, Allergeninformationen, Marken- und Lieferantendaten) ist Eigentum des Anbieters und genießt Datenbankschutz nach §§ 87a ff. UrhG. Eine systematische Entnahme, Vervielfältigung oder anderweitige Verwertung über den bestimmungsgemäßen Plattform-Nutzungszweck hinaus ist nicht gestattet.

§ 9 Verfügbarkeit, Support und Wartung

(1) Verfügbarkeitsgarantie

Der Anbieter garantiert für kostenpflichtige Tarife (GROWTH, PRO, ENTERPRISE) eine Plattformverfügbarkeit von 99 % im Jahresmittel (Messzeitraum: Kalenderjahr, Grundlage: BetterStack Monitoring-Daten). Ausgenommen von der Messung sind:

angekündigte Wartungsfenster (§ 9 Abs. 2);
Störungen durch höhere Gewalt;
Ausfälle bei Vorleistern (Hosting, CDN, DNS), die der Anbieter nicht zu vertreten hat.

Für den Tarif FREE wird keine Verfügbarkeitsgarantie gewährt; der Betrieb erfolgt im Rahmen der verfügbaren Kapazitäten (Best Effort). Service-Credits und Minderungsansprüche nach Abs. 1a gelten ausschließlich für kostenpflichtige Tarife.

(1a) Rechtsfolge bei SLA-Unterschreitung

Unterschreitet die gemessene Verfügbarkeit im Messzeitraum bei einem kostenpflichtigen Tarif 99 %, ist der Kunde berechtigt, die Vergütung des betroffenen Kalendermonats anteilig zu mindern nach der Formel: (Ausfall in Stunden ÷ Gesamtstunden des Monats) × Monatsgebühr. Der Minderungsbetrag ist mindestens 50,00 € je Monat, soweit die Minderungsformel einen geringeren Betrag ergäbe. Die Minderung ist auf die Monatsgebühr des betroffenen Zeitraums begrenzt. Weitergehende Schadensersatzansprüche richten sich nach § 10.

(2) Wartungsarbeiten

Geplante Wartungsarbeiten werden mindestens 48 Stunden vorab per E-Mail angekündigt und möglichst außerhalb der typischen gastronomischen Betriebszeiten (nach 23:00 Uhr bzw. vor 06:00 Uhr MEZ) durchgeführt.

(3) Support

Der Anbieter stellt Support per E-Mail ([email protected]) bereit, Montag bis Freitag 09:00–17:00 Uhr (außer gesetzlichen Feiertagen in Hessen). Der Umfang und die Reaktionszeiten richten sich nach dem gebuchten Tarif (Anlage 1).

§ 10 Haftung

(1) Unbeschränkte Haftung

Der Anbieter haftet unbeschränkt für Schäden aus:

Verletzung von Leben, Körper oder Gesundheit;
Vorsatz oder grober Fahrlässigkeit;
Arglist;
Ansprüchen nach dem Produkthaftungsgesetz.

(2) Haftung bei leichter Fahrlässigkeit — Kardinalpflichten

Bei leichter Fahrlässigkeit haftet der Anbieter nur, wenn eine wesentliche Vertragspflicht (Kardinalpflicht) verletzt wurde — d. h. eine Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesen Fällen ist die Haftung begrenzt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden, höchstens jedoch auf die in den letzten zwölf Monaten vor dem Schadensereignis geleisteten Vergütungen, mindestens jedoch 5.000,00 Euro.

(3) Ausschluss im Übrigen

Im Übrigen — insbesondere bei leichter Fahrlässigkeit außerhalb von Kardinalpflichten — ist die Haftung des Anbieters ausgeschlossen.

(4) Erfüllungsgehilfen

Die Haftungsbeschränkungen der Absätze 2 und 3 gelten auch zugunsten der gesetzlichen Vertreter und Erfüllungsgehilfen des Anbieters.

(5) Haftung für Kundendaten und Allergenangaben; Freistellung

Der Anbieter haftet nicht für Schäden, die auf vom Kunden bereitgestellten oder eingegebenen Daten beruhen — insbesondere nicht für Schäden infolge unrichtiger Allergen-, Zutaten- oder Nährwertangaben des Kunden. Für Fehler in der Globalen Wissensbasis (BASE A) des Anbieters haftet dieser nur bei grober Fahrlässigkeit.

Der Kunde stellt den Anbieter von allen Ansprüchen Dritter frei, die darauf beruhen, dass der Kunde unrichtige, unvollständige oder nicht rechtzeitig aktualisierte Allergen-, Zutaten- oder Nährwertangaben in der Plattform hinterlegt oder veröffentlicht hat. Die Freistellungspflicht umfasst auch angemessene Kosten der Rechtsverteidigung.

§ 11 Laufzeit und Kündigung

(1) Standardtarife (FREE / GROWTH / PRO)

Verträge über Standardtarife laufen auf unbestimmte Zeit. Sie können von beiden Parteien jederzeit zum Ende des laufenden Kalendermonats in Textform (E-Mail genügt) gekündigt werden.

(2) ENTERPRISE

Laufzeit und Kündigungsfristen für ENTERPRISE-Verträge werden individuell im Einzelvertrag vereinbart.

(3) Kündigung aus wichtigem Grund

Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für den Anbieter liegt insbesondere vor, wenn der Kunde:

trotz Mahnung mit mehr als zwei Monatsgebühren im Zahlungsverzug ist;
trotz Abmahnung gegen wesentliche Pflichten dieser AGB verstößt;
die Plattform in einer Weise nutzt, die Dritte schädigt oder gegen geltendes Recht verstößt.

(4) Folgen der Vertragsbeendigung

Nach Vertragsende wird der Kundenzugang deaktiviert. Kundendaten (Tenant-Daten) werden 30 Tage nach Vertragsende in einem strukturierten Format (CSV) zum Abruf bereitgestellt und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Anspruch auf Datenmigration in ein bestimmtes Fremd-Format besteht nicht.

§ 12 Änderungen der AGB

(1) Ankündigung

Der Anbieter ist berechtigt, diese AGB mit einer Ankündigungsfrist von sechs (6) Wochen zu ändern. Die geänderten AGB werden dem Kunden per E-Mail mitgeteilt. Die Mitteilung benennt die geänderten Punkte und gibt einen sachlichen Grund für die Änderung an. Sachliche Gründe für AGB-Änderungen sind insbesondere:

Anpassungen an geänderte Rechtslage oder Rechtsprechung;
Anpassungen aufgrund von Änderungen der angebotenen Plattformleistungen gemäß § 2 Abs. 4;
Anpassungen der Preisliste nach § 3 Abs. 8 (VPI-Indexierung; gesondert geregelt);
Anpassungen des Subprozessor-Verzeichnisses (gesondert geregelt in § 6 Abs. 3).

(2) Widerspruchsrecht

Widerspricht der Kunde der Änderung nicht innerhalb von vier (4) Wochen nach Zugang der Mitteilung in Textform, gelten die geänderten AGB als angenommen. Der Anbieter weist den Kunden in der Änderungsmitteilung ausdrücklich auf diese Rechtsfolge und auf die Widerspruchsmöglichkeit hin (Hinweispflicht).

(3) Kündigung bei Widerspruch

Widerspricht der Kunde fristgerecht, ist der Anbieter berechtigt, den Vertrag zum Zeitpunkt des Inkrafttretens der Änderung zu kündigen.

(4) Kernleistungsschutz

Änderungen dieser AGB dürfen nicht die folgenden Kernleistungspflichten des Anbieters einschränken oder aufheben:

die Verpflichtung, dem Kunden seine Tenant-Daten nach Vertragsende in maschinenlesbarer Form (CSV) bereitzustellen (§ 11 Abs. 4);
die grundlegende Funktion der Allergen-Anzeige auf der Kunden-Speisekartenseite;
den Grundsatz der Tenant-Datenisolation (§ 7 Abs. 1).

Änderungen der vorstehenden Kernleistungen bedürfen der ausdrücklichen schriftlichen Zustimmung des Kunden.

§ 13 Schlussbestimmungen

(1) Rechtswahl

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG) und deutschen Kollisionsrechts.

(2) Gerichtsstand

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag ist Frankfurt am Main, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(3) Textform

Änderungen und Ergänzungen dieses Vertrages sowie Erklärungen, die ausdrücklich Textform erfordern, bedürfen der Textform (§ 126b BGB). E-Mail genügt der Textform.

(4) Salvatorische Klausel

Sollte eine Bestimmung dieser AGB ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die ihr am nächsten kommende gesetzliche Regelung.

(5) Keine stillschweigende Vertragsänderung

Das Schweigen des Anbieters auf Angebote, Auftragsbestätigungen oder sonstige Erklärungen des Kunden gilt nicht als Zustimmung.

Anlagen (Bestandteile dieser AGB)

Anlage	Inhalt	Version
Anlage 1	Leistungsbeschreibungen der Tarife FREE / GROWTH / PRO / ENTERPRISE + Add-ons	v1.0 — Stand 28.06.2026
Anlage 2	Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO inkl. Anhang A (TOM) und Anhang B (Subprozessoren)	v1.1 — Stand 28.06.2026
Anlage 3	Pionier-Vereinbarung (Individualvereinbarung)	v1.0 — Stand 28.06.2026

Anlage 1 — Leistungsbeschreibung der Tarife

Stand: 28.06.2026 — Version 1.0

Funktion	FREE	GROWTH	PRO	ENTERPRISE
Speisekartenverwaltung (Gerichte, Zutaten)	✓	✓	✓	✓
Allergen-Kennzeichnung (14 LMIV-Allergene)	✓	✓	✓	✓
Nährwertangaben	—	✓	✓	✓
Kunden-Speisekartenseite (chiwai.eu-Subdomain)	✓	✓	✓	✓
JSON-LD Schema.org Ausgabe	—	✓	✓	✓
GBP FoodMenu-Feed	—	✓	✓	✓
KI-gestützte Beleg-Auslesung	—	—	✓	✓
KI-SEO-Optimierung (llms.txt, AI-Sichtbarkeit)	—	—	✓	✓
Mehrsprachige Speisekarte (DE/EN/ZH)	—	✓	✓	✓
Anzahl Standorte	1	1	bis 3	individuell
SLA-Garantie	Best Effort	99 % p. a.	99 % p. a.	individuell
Support-Reaktionszeit	5 Werktage	3 Werktage	1 Werktag	individuell
Benutzerdefinierte Domain (menu.xxx)	Add-on 10 €	Add-on 10 €	Add-on 10 €	individuell
GBP-Pflege (Komplettservice)	—	Add-on 50 €/M	Add-on 50 €/M	individuell

Alle Preise netto zzgl. gesetzlicher Umsatzsteuer. Einrichtungsgebühr: 300,00 € netto (einmalig, gilt für GROWTH und PRO; ENTERPRISE: individuell; Pionier-Kunden: entfällt).

Anlage 2 — Auftragsverarbeitungsvertrag (AVV)

Stand: 28.06.2026 — Version 1.1 (vgl. chiwai.eu/legal/avv/)

Anbieter (Auftragsverarbeiter): Yung UG (haftungsbeschränkt) Jahnstraße 56, 60318 Frankfurt am Main HRB 143468, AG Frankfurt am Main Vertreten durch: Chi Kei Yung (Geschäftsführer) Kontakt Datenschutz: [email protected]

AVV § 1 Gegenstand und Dauer der Auftragsverarbeitung

Gegenstand der Auftragsverarbeitung ist die Erbringung der in den AGB definierten Plattformleistungen, im Rahmen derer der Auftragsverarbeiter (Anbieter) personenbezogene Daten für den Verantwortlichen (Kunden) verarbeitet.
Die Auftragsverarbeitung beginnt mit Vertragsschluss und endet mit der Beendigung des Hauptvertrags (AGB).
Die Verarbeitung erfolgt ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Plattformleistungen und zur Erfüllung der Weisungen des Verantwortlichen.

AVV § 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Kategorien personenbezogener Daten

Datenkategorie	Beispiele	Verarbeitungszweck
Kontaktdaten des Kunden	Name, E-Mail, Telefon des Restaurant-Betreibers	Vertragsabwicklung, Support
Mitarbeiterdaten	Name, Zugangsdaten von Plattform-Nutzern des Kunden	Zugriffsverwaltung
Endkundendaten	Name, E-Mail, ggf. Bestelldaten (soweit vom Kunden eingegeben)	Betrieb der Speisekartenseite
Lieferantendaten	Firmennamen, Kontaktdaten aus hochgeladenen Rechnungen	Beleg-Upload-Feature

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (insbesondere Gesundheitsdaten) werden im Rahmen dieses AVV nicht verarbeitet. Allergeninformationen beziehen sich auf Speisen, nicht auf Personen, und sind daher keine personenbezogenen Daten im Sinne von Art. 4 Nr. 1 DSGVO. Individuelle Gast-Allergiepräferenzen werden nicht in der Plattform gespeichert.

(2) Kategorien betroffener Personen

Beschäftigte und Beauftragte des Verantwortlichen (Plattform-Nutzer);
Endkunden des Restaurants (soweit vom Verantwortlichen in die Plattform eingegeben);
Ansprechpartner bei Lieferanten des Verantwortlichen (aus Belegen).

AVV § 3 Pflichten des Auftragsverarbeiters (Anbieter)

(1) Weisungsbindung

Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich der Weisungen in diesem AVV und den AGB — es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet.

(2) Vertraulichkeit

Der Anbieter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Technische und organisatorische Maßnahmen (TOM)

Der Anbieter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuell implementierten TOM sind in Anhang A zu diesem AVV dokumentiert.

(4) Unterstützung bei Betroffenenrechten

Der Anbieter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 15–22 DSGVO) nachzukommen.

(5) Unterstützung bei Datenschutzpflichten

Der Anbieter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgeabschätzung).

(6) Meldung von Datenschutzverletzungen

Der Anbieter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden. Die Meldung erfolgt per E-Mail an die vom Verantwortlichen bei Vertragsschluss hinterlegte E-Mail-Adresse.

(7) Löschung und Rückgabe

Der Anbieter löscht nach Wahl des Verantwortlichen am Ende der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten oder gibt diese zurück und löscht vorhandene Kopien, soweit nicht nach dem Recht der EU oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(8) Nachweispflichten

Der Anbieter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachweisen zu können, und ermöglicht Überprüfungen einschließlich Inspektionen. Der Anbieter ist berechtigt, für solche Prüfungen eine angemessene Aufwandsentschädigung zu verlangen, die vorab vereinbart wird.

AVV § 4 Subauftragsverarbeiter

(1) Allgemeine Genehmigung

Der Verantwortliche erteilt dem Anbieter hiermit die allgemeine Genehmigung, die in Anhang B aufgeführten Subauftragsverarbeiter einzusetzen. Der Anbieter informiert den Verantwortlichen über beabsichtigte Änderungen der Subauftragsverarbeiter-Liste (Hinzufügung oder Austausch) mindestens 30 Tage im Voraus.

(2) Widerspruchsrecht

Der Verantwortliche kann einer beabsichtigten Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung in Textform widersprechen, wenn er dafür sachliche datenschutzrechtliche Gründe darlegt. Im Fall eines berechtigten Widerspruchs werden die Parteien eine einvernehmliche Lösung anstreben. Können sie sich nicht einigen, ist der Anbieter berechtigt, den Vertrag außerordentlich zum Zeitpunkt des Wirksamwerdens der Subprozessoren-Änderung zu kündigen.

(3) Weitergabepflichten

Der Anbieter legt allen Subauftragsverarbeitern die gleichen Datenschutzpflichten auf wie in diesem AVV vereinbart.

(4) Haftung

Der Anbieter haftet dem Verantwortlichen gegenüber für die Einhaltung der datenschutzrechtlichen Pflichten durch seine Subauftragsverarbeiter.

AVV § 5 Drittlandübermittlung

(1) Die Verarbeitung personenbezogener Daten durch den Anbieter und seine Subauftragsverarbeiter erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

(2) Soweit einzelne Subauftragsverarbeiter ihren Sitz in einem Drittland haben oder dort Daten verarbeiten, erfolgt die Übermittlung auf Basis geeigneter Garantien gemäß Art. 46 DSGVO oder eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO. Details sind in Anhang B angegeben.

(3) Recht des Verantwortlichen bei Änderung der Drittlandgarantie

Fällt eine in Anhang B genannte Rechtsgrundlage für die Drittlandübermittlung weg und steht keine gleichwertige Garantie zur Verfügung, hat der Anbieter den Verantwortlichen unverzüglich zu informieren. In diesem Fall hat der Verantwortliche das Recht, den Vertrag außerordentlich zu kündigen.

AVV § 6 Pflichten des Verantwortlichen (Kunde)

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten, die er in die Plattform eingibt oder hochlädt, allein verantwortlich.
Der Verantwortliche erteilt Weisungen an den Anbieter ausschließlich in Textform. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
Der Verantwortliche informiert den Anbieter unverzüglich, wenn er bei der Prüfung der Verarbeitungsergebnisse Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.

AVV § 7 Schlussbestimmungen AVV

Dieser AVV ist integraler Bestandteil der AGB. Im Widerspruchsfall zwischen AVV und AGB geht der AVV in datenschutzrechtlichen Fragen vor.
Für diesen AVV gilt das Recht der Bundesrepublik Deutschland und der Europäischen Union.
Die salvatorische Klausel der AGB (§ 13 Abs. 4) gilt entsprechend.
Änderungshistorie:

Version 1.0 — 27.06.2026: Erstveröffentlichung
Version 1.1 — 28.06.2026: Drittlandabschnitt aktualisiert (Cloudflare DPF-Angemessenheitsbeschluss; Anthropic TIA-Status); Art. 9 DSGVO-Klarstellung Allergeninformationen; Austrittsrecht § 5 Abs. 3 neu

Anhang A — Technische und Organisatorische Maßnahmen (TOM)

Stand: 28.06.2026

A.1 Zutrittskontrolle (physische Sicherheit)

Serverinfrastruktur bei Hetzner Online GmbH (Rechenzentrum Falkenstein/Nürnberg, ISO 27001 zertifiziert)
Kein physischer Zugang des Anbieters zum Rechenzentrum; Zugang ausschließlich über verschlüsselte SSH-Verbindung
Produktionssystem (cx43) ist ein dedizierter Server; kein Shared-Hosting

A.2 Zugangskontrolle (logische Sicherheit)

Datenbankzugang ausschließlich über SSH-Tunnel (kein direkter Port 5432 im Internet)
Passwort-Policy: Mindestlänge 16 Zeichen, kein Sharing
API-Authentifizierung: Bearer-Token (X-Restaurant-Key), pro Tenant individuell
Admin-Zugang: 2-Faktor-Authentifizierung (MFA) — implementiert

A.3 Zugriffskontrolle (Datenzugriff)

Row-Level-Security (RLS) in PostgreSQL: Tenant-Daten sind auf Datenbankebene isoliert
Anwendungscode kann nicht tenant-übergreifend lesen (serverseitig erzwungen)
Separate Datenbank-Rollen für Lese- und Schreibzugriff

A.4 Trennungskontrolle

Tenant-Daten werden in einer logisch getrennten Datenbankschicht (Row-Level-Security + Schema-Isolation) verwaltet
Produktionsdaten und Entwicklungsumgebung sind getrennt

A.5 Übertragungssicherheit

Alle Datenübertragungen ausschließlich über TLS 1.3 (HTTPS); ältere Protokollversionen (TLS 1.0/1.1) sind deaktiviert
Cloudflare CDN mit aktivem DDoS-Schutz und WAF
E-Mail-Kommunikation über SMTP mit STARTTLS

A.6 Verfügbarkeitskontrolle

Tägliche automatisierte Backups der PostgreSQL-Datenbank (Hetzner Backup)
Backup-Aufbewahrung: 7 Tage rollierend
RPO ≤ 24 Stunden; RTO ≤ 4 Stunden (Hetzner-Snapshot-Wiederherstellung realistisch < 30 Minuten)

A.7 Monitoring und Incident Response

Externes Uptime-Monitoring: BetterStack (60-Sekunden-Intervall), Alert-Kanäle: E-Mail + SMS
Internes Infrastruktur-Monitoring: Netdata v2.10+ auf cx43
Incident-Response-Prozess: Erkennung (BetterStack-Alert) → interne Diagnose (Netdata) → Behebung → Meldung an Verantwortlichen binnen 48 h wenn personenbezogene Daten betroffen → ggf. Meldung HessLfDI (Art. 33 DSGVO)

Anhang B — Subauftragsverarbeiter

Stand: 28.06.2026

Subauftragsverarbeiter	Sitz	Zweck	Datenort	Rechtsgrundlage Drittland
Hetzner Online GmbH	Deutschland	Hosting Hauptserver (cx43), PostgreSQL-Datenbank, alle Tenant-Daten	Falkenstein / Nürnberg (DE)	Kein Drittland
Cloudflare Inc.	USA (EU-Niederlassung Irland)	CDN, DNS, SSL, DDoS-Schutz, WAF, E-Mail-Routing	EU-Edge primär (Dublin, Frankfurt)	Art. 45 DSGVO — Angemessenheitsbeschluss 2023/1795 (Trans-Atlantic Data Privacy Framework); Cloudflare Inc. ist DPF-zertifiziert. SCC EU 2021/914 als Auffanggrundlage.
Anthropic, PBC	USA	KI-Backbone: Übersetzung von Gerichte-/Zutatenbezeichnungen, Allergen-Klassifikation, Textgenerierung	EU-Endpoint (api.anthropic.com EU-Region)	SCC EU 2021/914 Module 2 + 3 via Anthropic Data Processing Addendum (selbst-exekutierend). Anthropic ist nicht DPF-zertifiziert. Beschränkung: Es werden ausschließlich nicht-personenbezogene Sachdaten (Speise-/Zutatenbezeichnungen, Kategorien) übermittelt. Keine personenbezogenen Daten. Transfer Impact Assessment (TIA): in Erstellung, voraussichtlich Q3 2026.
Stripe Payments Europe Ltd.	Irland (EU)	Zahlungsabwicklung, Customer-Stammdaten, Rechnungsstellung	Irland (EU) + ggf. USA (Stripe Inc.)	SCC EU 2021/914 für US-Transfer gemäß Stripe DPA
Google Ireland Ltd.	Irland (EU)	Gmail SMTP-Relay (outbound @chiwai.eu), Google Search Console, Google Business Profile API	Irland (EU)	Kein Drittland für EU-Dienste (Google Ireland Ltd. als Verantwortliche Stelle)

AGB Yung UG (haftungsbeschränkt) — Version 3.0 — Stand: 28.06.2026 Anbieter: Yung UG (haftungsbeschränkt) · Jahnstraße 56 · 60318 Frankfurt am Main · HRB 143468 · [email protected]