Datenschutzerklärung

Version v3 · Stand: 08.10.2026

für chiwai.eu, verwaltung.chiwai.eu und die Restaurant-Seiten unter *.chiwai.eu
Sprache: Diese deutsche Fassung ist maßgeblich. Fassungen in Englisch und Traditionellem Chinesisch werden nach Abnahme der deutschen Fassung als Übersetzung erstellt.
Abgrenzung: Diese Erklärung beschreibt, was der Anbieter (Yung UG) auf seinen eigenen Seiten und als Betreiber der Plattform verarbeitet. Die Datenschutzerklärung der einzelnen Restaurant-Seite ist ein eigenes Dokument des jeweiligen Restaurants.

1 Verantwortlicher und Kontakt

Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist:
Yung UG (haftungsbeschränkt), Jahnstraße 56, 60318 Frankfurt am Main, HRB 143468, Amtsgericht Frankfurt am Main, vertreten durch den Geschäftsführer Chi Kei Yung.
E-Mail für Datenschutzfragen und alle Anfragen: [email protected].
Ein Datenschutzbeauftragter ist nicht benannt.
Die Umwandlung in eine GmbH erfolgt im Wege des Formwechsels (§§ 190, 202 UmwG); der Verantwortliche bleibt derselbe Rechtsträger, es ändert sich nur die Firma. Diese Erklärung wird dann angepasst.

2 Unsere Rollen

Datenstrom	Rolle des Anbieters	Wer informiert die Betroffenen
Besuch von chiwai.eu (Marketing-Seite), Kontaktformular, Nominierungsseiten	Verantwortlicher	diese Erklärung
Registrierung, Anmeldung und Konto der Nutzer des Restaurants (verwaltung.chiwai.eu), Sitzungen, Sicherheit	Verantwortlicher (Vertragsdurchführung, Zugangsschutz)	diese Erklärung
Vertragsverwaltung, Rechnungsstellung, Zahlung, Nachweis der Zustimmung	Verantwortlicher	diese Erklärung
Betrieb der Plattform: technische Protokolle, Fehlersuche, Abwehr von Angriffen, Sicherung	Verantwortlicher	diese Erklärung
Server-Protokolle beim Abruf der Speisekarten-Seite eines Restaurants	Verantwortlicher (Betrieb und Sicherheit des Servers)	diese Erklärung; das Restaurant für den Inhalt seiner Seite
Inhalte, die das Restaurant verwaltet: Speisekarte, Zutaten, Fotos, Rechnungen und Belege, Gastanfragen per WhatsApp	Auftragsverarbeiter des Restaurants (Auftragsverarbeitungsvertrag, Anlage 2 der AGB)	das Restaurant (Impressum und Datenschutzerklärung der Restaurant-Seite)
Auslesen durch den eigenen KI-Dienst des Betriebs über die Schnittstelle (MCP)	keine Verarbeitung im Auftrag des Anbieters; Verantwortung des Betriebs (Nr. 3.8b)	der Betrieb
Aggregation anonymisierter Betriebsdaten (AGB § 7)	Verantwortlicher für die Erzeugung der Aggregate, soweit Personenbezug möglich ist; Modelltraining nur mit gesonderter Zustimmung	diese Erklärung

Das Bestell-Widget ist derzeit nicht Teil der Plattform; es wird erst bei seiner Aufnahme beschrieben.

3 Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

3.1 Aufruf der Webseiten und Server-Protokolle

Beim Aufruf einer Seite verarbeitet der Webserver technisch notwendige Verbindungsdaten: IP-Adresse (soweit die Anfrage über Cloudflare läuft, die Adresse des Cloudflare-Vorsystems), Zeitpunkt, angeforderte Adresse, Statuscode, übertragene Datenmenge, Referrer und User-Agent.

Zweck: Auslieferung der Seite, Stabilität, Fehlersuche, Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
Speicherdauer: Protokolldateien des Webservers werden täglich rotiert und nach 14 Tagen überschrieben.

3.2 Cloudflare als vorgeschalteter Dienst

Alle Seiten unter chiwai.eu werden über Cloudflare ausgeliefert (Netz zur Auslieferung von Inhalten, DNS, Verschlüsselung der Übertragung, Schutz vor Angriffen). Cloudflare verarbeitet dabei technisch jeden Seitenaufruf, einschließlich der IP-Adresse des Besuchers. Auf den Speisekarten-Seiten der Restaurants lädt der Browser keine Skripte von Cloudflare oder Dritten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Empfänger und Drittland: Cloudflare, Inc. (USA). Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Module 2 und 3), alternativ des EU-US Data Privacy Framework; Auftragsverarbeitungsvertrag: DPA 6.4 vom 03.04.2026.

3.3 Cookies und lokaler Speicher

Speisekarten-Seiten der Restaurants ([restaurant].chiwai.eu): Die Plattform setzt dort keine Cookies und nutzt keinen lokalen Speicher des Browsers; es werden keine Analyse- oder Werbedienste eingebunden. Eine Einwilligung nach § 25 TDDDG ist dort nicht erforderlich.
Verwaltungsbereich (verwaltung.chiwai.eu): Vor der Anmeldung setzt die Seite keine Cookies, speichert nichts im Browser und lädt keine Inhalte von Dritten. Nach der Anmeldung setzt die Anwendung zwei technisch notwendige Cookies (Zugangs- und Erneuerungs-Token, nur für den Server lesbar, beim Abmelden gelöscht). Sie sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil sie für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Zusätzlich speichert eine Seite des Verwaltungsbereichs für die Dauer der Sitzung im Browser, dass eine Einwilligung zum Foto-Upload bestätigt wurde.
Marketing-Seite chiwai.eu: Die Seite setzt keine Cookies und bindet keine Dienste Dritter ein, die Cookies setzen oder Daten an Dritte übertragen; Schriftarten werden vom eigenen Server geladen. Eine Einwilligungsabfrage ist deshalb nicht erforderlich.

3.4 Registrierung, Konto und Anmeldung

Bei der Registrierung und Nutzung des Kontos verarbeiten wir E-Mail-Adresse, Name, Name des Restaurants, Rolle, Kennwort (nur als gesalzener Hash, Verfahren bcrypt), Sitzungsdaten, Anmeldeversuche (nach 5 Fehlversuchen temporäre Sperre), optional einen Passkey oder die Google-Kennung bei Anmeldung mit Google.

Zweck: Vertragsdurchführung, Zugangsschutz.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsmaßnahmen: lit. f.
Dauer: für die Vertragslaufzeit; danach Löschung 60 Tage nach Vertragsende (AGB § 11 Abs. 3); Nachweise der Zustimmung und Rechnungen so lange, wie gesetzlich oder nach Nr. 6 vorgesehen (Art. 6 Abs. 1 lit. c).
Empfänger: Google (nur bei Anmeldung mit Google, auf Wunsch des Nutzers), Resend (Versand von Zugangs- und Kennwortmails).

3.5 Vertragsschluss und Zustimmungsnachweis

Bei der Annahme der AGB, des Auftragsverarbeitungsvertrags und dieser Datenschutzerklärung protokollieren wir: Zeitpunkt, Dokument und Version, Prüfsumme (Hash) der Fassung, Name und Kontakt des Betriebs, Einladungskennung, soweit erfasst die IP-Adresse.

Zweck: Nachweis des Vertragsschlusses und der angenommenen Fassung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Nachweis, Rechtsverteidigung).
Dauer: Vertragsdauer plus 3 Jahre (regelmäßige Verjährung).

3.6 Zahlung

Zahlungen werden ausschließlich über Stripe abgewickelt. Zahlungsdaten gibt der Nutzer unmittelbar bei Stripe an; wir erhalten keine vollständigen Kartendaten, sondern Abonnement- und Zahlstatus, Kunden- und Rechnungskennungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Aufbewahrung von Rechnungen: lit. c.
Empfänger: Stripe Payments Europe, Ltd. (Irland); Übermittlung an Stripe, LLC (USA) auf Grundlage des EU-US Data Privacy Framework und der EWR-Standardvertragsklauseln; Auftragsverarbeitungsvertrag vom 28.09.2026.

3.7 Kontaktaufnahme, Kontaktformulare, E-Mail, WhatsApp

Kontaktformulare („Kostenlos starten“, Kontakt, Nominierung): Bei „Kostenlos starten“ verarbeiten wir Name des Betriebs, Ort und E-Mail-Adresse; bei den anderen Formularen Name, E-Mail-Adresse, Nachricht und freiwillige Angaben. Zusätzlich verarbeitet der Webserver technische Verbindungsdaten (Nr. 3.1).
Zweck: Bearbeitung Ihrer Anfrage, Einrichtung Ihrer Speisekarte und Rückmeldung an Sie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage), hilfsweise lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Eine Einwilligung holen wir dafür nicht ein; das Häkchen im Formular bestätigt nur, dass Sie diese Hinweise gelesen haben. Name des Betriebs, Ort und E-Mail-Adresse sind für die Bearbeitung erforderlich.
Empfänger: Die Formulareingabe wird per E-Mail über Resend (Plus Five Five, Inc., USA) an unsere Adresse [email protected] übermittelt. E-Mails an [email protected] und [email protected] gehen unmittelbar in unser Postfach bei Google (Google Workspace) (Nr. 4 und 5). Übermittlung in die USA jeweils auf Grundlage von Standardvertragsklauseln bzw. des EU-US Data Privacy Framework (Nr. 5).
Speicherdauer: sechs Monate nach Erledigung der Anfrage; wird aus der Anfrage ein Vertrag, gelten die Fristen für Vertragsdaten (Nr. 6).
E-Mail an uns: Wenn Sie uns an [email protected] oder [email protected] schreiben, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, soweit angegeben, und den Inhalt Ihrer Nachricht zur Beantwortung. Die Nachricht liegt in dem Postfach bei Google (Google Workspace), das für Anfragen an [email protected] und [email protected] genutzt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Speicherdauer: sechs Monate nach Erledigung.
WhatsApp: Auf chiwai.eu führt ein Link (wa.me) zu einer WhatsApp-Nachricht an die Kontaktnummer des Anbieters. WhatsApp ist ein Dienst der Meta-Gruppe; Vertragspartner für die Verarbeitung von EU-Daten ist WhatsApp Ireland Limited. Wir nutzen WhatsApp Business; es gelten die WhatsApp Business Data Processing Terms (Stand 22.08.2025) und das Data Transfer Addendum (Übermittlung in die USA über Standardvertragsklauseln oder Data Privacy Framework). Zusätzlich können Sie uns für die Einrichtungshilfe (Onboarding) über eine weitere WhatsApp-Business-Nummer erreichen; diese Nachrichten laufen über die WhatsApp Business Cloud API von WhatsApp Ireland Limited und werden bei Meta höchstens 30 Tage gespeichert. Textnachrichten werden dort automatisch mit festen Textbausteinen beantwortet; eingereichte Speisekarten werden wie in Nr. 3.8 (b) beschrieben erkannt. Wir verarbeiten Telefonnummer und Nachrichteninhalt zur Beantwortung und verwenden Ihre Nummer nicht für Werbung. Kontaktbuch: In unserem WhatsApp-Business-Konto ist die Funktion „Contact book“ aktiv; dadurch speichert Meta die Telefonnummern und Nutzerkennungen der Personen, die mit uns schreiben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Speicherdauer bei uns: sechs Monate nach Erledigung.
Gastanfragen an ein Restaurant per WhatsApp: Diese Nachrichten verarbeitet der Anbieter im Auftrag des Restaurants (siehe Nr. 2); Informationen dazu gibt das Restaurant.

3.8 KI-Dienste

Die Plattform nutzt KI-Dienste von Dienstleistern für zwei Zwecke:
(a) Auswertung von Rechnungen mit Mistral AI SAS (Frankreich): nur, wenn das Restaurant die Einwilligung „KI-Rechnung“ erteilt hat. Ohne diese Einwilligung werden Rechnungen nicht an einen KI-Dienst übermittelt.
(b) Übersetzung und Erkennung von Speisekarten mit Alibaba Cloud (Qwen): Übersetzt werden Texte der Speisekarte (zum Beispiel Namen und Beschreibungen von Gerichten). Außerdem erkennt Qwen Speisekarten aus Fotos oder PDF-Dateien, die der Betrieb einreicht, zum Beispiel per WhatsApp an die Einrichtungshilfe; übermittelt wird das eingereichte Bild bzw. die eingereichte Datei der Speisekarte. Daten von Gästen werden nicht übermittelt; wir bitten den Betrieb, auf den Bildern keine Personen abzubilden. Das Ergebnis ist nur ein Entwurf, den der Betrieb bestätigt.
Rechnungen werden ausschließlich mit Mistral AI ausgewertet; an andere KI-Anbieter gehen sie nicht. Ein Training von KI-Modellen mit Daten der Restaurants findet nur mit gesonderter Zustimmung statt (AGB § 7); bei Mistral AI ist die Nutzung zum Training abgeschaltet.
Antworten auf Bewertungen im Google-Unternehmensprofil werden, wenn sie mit KI vorbereitet werden, nur auf Grundlage des Bewertungstextes ohne den Namen des Bewertenden erstellt. Ein solcher Dienst ist derzeit nicht aktiv.

3.8b Anbindung eines eigenen KI-Dienstes durch den Betrieb (Restaurant-MCP)

Sie können die Schnittstelle der Plattform (MCP) mit einem KI-Dienst Ihrer Wahl verbinden, zum Beispiel mit Ihrem eigenen Claude-Konto. Diesen Dienst wählen, beauftragen und nutzen Sie selbst; der Vertrag besteht zwischen Ihnen und dem Anbieter des KI-Dienstes. Daten, die in Ihrer Sitzung an den Anbieter gehen (bei Claude: Anthropic), gibt der Betrieb in seiner eigenen Sitzung auf Grundlage seines eigenen Vertrags mit dem Anbieter weiter; die Verarbeitung dort erfolgt nicht in unserem Auftrag und nicht nach unseren Weisungen. Wir empfehlen dafür ein Geschäftskonto mit Auftragsverarbeitungsvertrag.
Wir erhalten über die Schnittstelle nur das, was Sie einreichen (Vorschläge, zum Beispiel Rechnungszeilen und Etikettdaten). Diese verarbeiten wir als Auftragsverarbeiter für Ihren Betrieb nach dem Auftragsverarbeitungsvertrag (Nr. 2); sie wirken auf Speisekarte und Daten erst, wenn Sie sie auf der Webseite bestätigt haben. Wir geben über die Schnittstelle keine personenbezogenen Daten von Gästen an Ihren KI-Dienst weiter. Wir setzen für diese Funktion keinen KI-Dienst von Anthropic ein.

3.9 Aggregation und Qualitätssicherung

Wir erzeugen aus Betriebsdaten vollständig anonymisierte, aggregierte Auswertungen (Benchmarks, Produktverbesserung und Produktentwicklung, Branchenberichte). Die Nutzung der gebildeten Aggregate bleibt auch nach Vertragsende zulässig; ein KI-Training erfolgt nur mit gesonderter Zustimmung. Rohdaten gehen nicht an Dritte, eine Nutzung für konkurrierende Dienste findet nicht statt.

4 Empfänger und Dienstleister

Wir setzen die folgenden Dienstleister ein. Zu jedem Dienstleister nennen wir Zweck, Datenarten, Drittland mit Grundlage (soweit uns belegt) und Speicherdauer. Die Garantien im Einzelnen stehen in Nr. 5, die Fristen in Nr. 6.

Dienstleister	Zweck	Datenarten	Drittland und Grundlage	Speicherdauer
Hetzner Online GmbH (Deutschland)	Hosting der Plattform und der Server	alle auf der Plattform verarbeiteten Daten, Server-Protokolle	kein Drittland; ausschließlich EU/EWR	wie bei den jeweiligen Daten in Nr. 6
Strato GmbH (Deutschland)	verschlüsselte Sicherungskopien außer Haus	Sicherungen der Plattformdaten	EU/EWR; Drittland nur, soweit zur Leistung erforderlich (Unterauftragnehmer in der Schweiz und den USA mit Standardvertragsklauseln)	nur so lange, wie die Sicherung zur Wiederherstellung der Plattform erforderlich ist
Cloudflare, Inc. (USA)	Auslieferung der Seiten, DNS, Verschlüsselung, Schutz vor Angriffen	IP-Adresse und Verbindungsdaten beim Seitenaufruf	USA; Standardvertragsklauseln (Module 2 und 3), alternativ EU-US Data Privacy Framework	nach den Bedingungen von Cloudflare
Google (Google Workspace)	E-Mail-Postfach, in dem Anfragen an [email protected] und [email protected] eingehen	Absenderadresse, Name (soweit angegeben), Inhalt der Nachricht und Anhänge	Übermittlung in Drittländer, insbesondere die USA, kann nicht ausgeschlossen werden; Grundlage sind die Garantien des Cloud Data Processing Addendum (Standardvertragsklauseln oder ein anderer zulässiger Transfermechanismus)	bei uns sechs Monate nach Erledigung der Anfrage
Google (Cloud, Anmeldung, Unternehmensprofil), soweit vom Restaurant genutzt	Anmeldung mit Google, Google-Unternehmensprofil, Bildablage	Google-Kennung, Inhalte und Fotos des Unternehmensprofils, abgelegte Bilder	wie Google Workspace: Cloud Data Processing Addendum	Löschung durch Google spätestens 180 Tage nach Vertragsende
Resend (Plus Five Five, Inc., USA)	Versand von E-Mails: Formulareingang, Zugangs- und Kennwortmails	E-Mail-Adresse, Inhalt der Formulareingabe bzw. der Mail, Zustellstatus	USA; Standardvertragsklauseln und EU-US Data Privacy Framework	Zustellprotokoll nach den Bedingungen von Resend; Anfragen bei uns sechs Monate nach Erledigung
WhatsApp Ireland Limited (Meta)	Kontaktweg per WhatsApp, Beantwortung von Nachrichten	Telefonnummer, Nutzerkennung, Nachrichteninhalt	Übermittlung in die USA über das Data Transfer Addendum (Standardvertragsklauseln, Data Privacy Framework)	bei WhatsApp höchstens 30 Tage für Nachrichten über die Cloud API; bei uns sechs Monate nach Erledigung
Stripe Payments Europe, Ltd. (Irland)	Zahlungsabwicklung	Abonnement- und Zahlstatus, Kunden- und Rechnungskennungen (Kartendaten gibt der Nutzer direkt bei Stripe an)	Übermittlung an Stripe, LLC (USA) über das EU-US Data Privacy Framework und EWR-Standardvertragsklauseln	Rechnungen: gesetzliche Aufbewahrungsfristen
Mistral AI SAS (Frankreich)	Auswertung von Rechnungen, nur bei Einwilligung „KI-Rechnung“	Inhalt der hochgeladenen Rechnung	Anbieter in der EU; Drittlandübermittlung nur bei Angemessenheit oder mit Standardvertragsklauseln; Training abgeschaltet	nach den Bedingungen von Mistral AI
Alibaba Cloud International (Qwen)	Übersetzung und Erkennung von Speisekarten	Texte der Speisekarte; eingereichte Bilder oder PDF-Dateien der Speisekarte; nur Betriebs- und Kartendaten, keine Daten von Gästen	Verarbeitung über die internationale Region Singapur; für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission; Grundlage ist der EWR-Datenverarbeitungszusatz mit Standardvertragsklauseln (Beschluss 2021/914)	nach den Bedingungen von Alibaba Cloud

Anthropic ist kein Dienstleister des Anbieters; zur Anbindung eines eigenen KI-Dienstes durch den Betrieb siehe Nr. 3.8b.

5 Übermittlung in Drittländer

Eine Übermittlung in ein Land außerhalb der EU oder des EWR erfolgt nur nach Art. 44 bis 49 DSGVO. Die Garantien je Anbieter:

Cloudflare, Inc. (USA): EU-Standardvertragsklauseln (Module 2 und 3), alternativ EU-US Data Privacy Framework.
WhatsApp Ireland Limited (Meta): Übermittlung in die USA über das Data Transfer Addendum (Standardvertragsklauseln, Data Privacy Framework).
Resend (Plus Five Five, Inc., USA): EU-Standardvertragsklauseln und EU-US Data Privacy Framework.
Stripe: Stripe Payments Europe, Ltd. im EWR; Übermittlung an Stripe, LLC (USA) über das EU-US Data Privacy Framework und EWR-Standardvertragsklauseln.
Google (Google Workspace, Google Cloud): EU-Standardvertragsklauseln (Controller-to-Processor bzw. Processor-to-Processor) oder ein anderer zulässiger Transfermechanismus nach dem Cloud Data Processing Addendum.
Mistral AI SAS (Frankreich): Anbieter in der EU; eine Drittlandübermittlung nur bei Angemessenheit oder mit Standardvertragsklauseln.
Alibaba Cloud International: Die Verarbeitung erfolgt über die internationale Region Singapur; für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission. Grundlage ist der EWR-Datenverarbeitungszusatz mit Standardvertragsklauseln (Beschluss 2021/914). Übermittelt werden nur Betriebs- und Kartendaten, keine Daten von Gästen.
Strato GmbH: EU/EWR; Drittland nur, soweit zur Leistung erforderlich; Unterauftragnehmer in der Schweiz und den USA mit Standardvertragsklauseln.
Hetzner Online GmbH: ausschließlich EU/EWR.

Eine Kopie der Garantien erhalten Betroffene auf Anfrage unter der Adresse in Nr. 1.

6 Speicherdauer

Daten	Dauer
Server-Protokolle des Webservers	14 Tage (tägliche Rotation)
Kontodaten und Vertragsdaten	Vertragslaufzeit, danach 60 Tage (AGB § 11 Abs. 3)
Rechnungen und Zahlungsbelege	gesetzliche Aufbewahrungsfristen
Zustimmungsprotokolle	Vertragsdauer plus 3 Jahre
Sicherungskopien	nur so lange, wie sie zur Wiederherstellung der Plattform erforderlich sind
Nachrichten per Kontaktformular, E-Mail und WhatsApp an den Anbieter	6 Monate nach Erledigung

7 Ihre Rechte

Sie haben gegenüber dem Verantwortlichen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Restaurants verarbeiten, leiten wir sie an das Restaurant weiter, das als Verantwortlicher entscheidet.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für den Anbieter ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Wilhelmstraße 7, 65185 Wiesbaden.
Anfragen: [email protected]. Die Frist für die Antwort ergibt sich aus Art. 12 Abs. 3 DSGVO (ein Monat, Verlängerung um zwei Monate bei Komplexität).

8 Pflicht zur Bereitstellung; automatisierte Entscheidungen

Die Angabe von E-Mail-Adresse, Name und Restaurantname bei der Registrierung ist für den Vertragsschluss erforderlich; ohne diese Angaben kann der Vertrag nicht geschlossen werden. Eine ausschließlich automatisierte Entscheidung mit Rechtswirkung nach Art. 22 DSGVO findet nicht statt; die KI-gestützte Auswertung von Rechnungen, Etiketten und Speisekarten liefert nur Vorschläge, über die das Restaurant entscheidet.

9 Sicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, unter anderem: verschlüsselte Übertragung, Trennung der Daten je Restaurant, Kennwörter nur als Hash, Begrenzung von Anmeldeversuchen, verschlüsselte Sicherungen außer Haus. Einzelheiten stehen im Auftragsverarbeitungsvertrag, Anhang 1.

10 Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert (zum Beispiel neue Funktionen oder Dienstleister), und weisen im Verwaltungsbereich auf die neue Fassung hin. Die jeweils gültige Fassung trägt Version und Datum.