Entwurf – vor Veröffentlichung anwaltlich prüfen. Stand: [Datum].
Unterauftragsverarbeiter
MenuPop setzt die folgenden Unternehmen ein, um den Dienst zu betreiben. Diese Unternehmen verarbeiten personenbezogene Daten der Kunden oder ihrer Gäste im Auftrag von MenuPop. Geschäftskunden informieren wir mindestens 30 Tage vor der Hinzuziehung eines neuen Unterauftragsverarbeiters.
Unterauftragsverarbeiter
| Unternehmen | Zweck | Daten | Sitz und Ort der Verarbeitung | Garantien bei Drittlandübermittlung |
|---|---|---|---|---|
| [Hosting-Anbieter, EU] | Server, Datenbank, Backups, Dateispeicher | Alle Dienstdaten | Europäische Union ([Land/Rechenzentrum, zu bestätigen]) | Keine Übermittlung in Drittländer vorgesehen [zu bestätigen]; Auftragsverarbeitungsvertrag |
| Cloudflare, Inc. (USA) | Auslieferung und Edge-Caching öffentlicher Speisekarten, Schutz vor Angriffen | IP-Adressen, Anfragedaten | Weltweit (Edge-Netzwerk), Verarbeitung auch in den USA | EU-US Data Privacy Framework, sofern zertifiziert; sonst EU-Standardvertragsklauseln [zu prüfen] |
| OpenStreetMap Foundation (Nominatim) | Ermittlung der Kartenkoordinaten einer Filiale aus ihrer Adresse, für die Wallet-Erinnerung in der Nähe | Geschäftsadresse der Filiale (keine Gästedaten) | Vereinigtes Königreich | Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich [zu prüfen] |
| Stripe Payments Europe Ltd. (Irland) | Zahlung der Abonnements per Karte und SEPA-Lastschrift | Rechnungskontakt, Rechnungsbeträge, Zahlungsdaten (Kartendaten verbleiben bei Stripe; MenuPop erhält nur Token und Kartenmarke) | Irland (EU); Unterverarbeitung in den USA möglich | EU-Standardvertragsklauseln bzw. Data Privacy Framework für US-Unterauftragsverarbeiter [zu prüfen] |
| Google LLC (Gemini API, kostenpflichtiger Tarif) | KI-gestützter Import von Speisekarten: Auslesen von Fotos und PDFs, Übersetzung von Artikelnamen | Fotos und PDFs gedruckter Speisekarten, die das Restaurant hochlädt; diese können Name, Anschrift oder Telefonnummer des Betriebs enthalten; keine Gästedaten | USA und weitere Standorte von Google | EU-US Data Privacy Framework, sofern zertifiziert; sonst EU-Standardvertragsklauseln. Nur kostenpflichtiger Tarif; keine Nutzung der Daten zur Verbesserung von Google-Produkten; Speicherung nur für Missbrauchsüberwachung für begrenzte Zeit [zu bestätigen] |
| Anthropic PBC (Claude API) | Alternativer Anbieter für den KI-Import; nur aktiv, wenn der Import-Anbieter entsprechend konfiguriert ist [derzeit nicht Standard, zu bestätigen] | Fotos und PDFs gedruckter Speisekarten (wie oben) | USA | EU-US Data Privacy Framework, sofern zertifiziert; sonst EU-Standardvertragsklauseln [zu prüfen]; keine Nutzung für Training gemäß Vertragsbedingungen |
| Apple Inc. (Apple Wallet, Apple Push Notification service) | Aktualisierung von Wallet-Pässen auf iPhones | Push-Token, Pass-Kennung, Bestellnummer und Status | Weltweit, Verarbeitung auch in den USA | EU-US Data Privacy Framework, sofern zertifiziert; sonst EU-Standardvertragsklauseln [zu prüfen] |
| Google LLC (Google Wallet API) | Aktualisierung von Wallet-Pässen auf Android-Geräten | Pass-Objekt-ID, Bestellnummer und Status | Weltweit, Verarbeitung auch in den USA | EU-US Data Privacy Framework, sofern zertifiziert; sonst EU-Standardvertragsklauseln [zu prüfen] |
| [Postmark (ActiveCampaign, LLC) oder Amazon Simple Email Service (Amazon Web Services)] [noch nicht gewählt] | Transaktions-E-Mails (Konto, Zahlungserinnerungen, Dienstmitteilungen) | E-Mail-Adresse, Nachrichteninhalt | [EU-Region, zu wählen] | [je nach Auswahl; SCC bzw. Data Privacy Framework prüfen] |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung | Technische Fehlerdaten, pseudonyme Kennungen | EU-Region [zu bestätigen] | EU-Standardvertragsklauseln bei möglichem Zugriff aus den USA [zu prüfen] |
Empfänger ohne Auftragsverarbeitung
Diese Empfänger verarbeiten Daten in eigener Verantwortung oder sind eigenständige Stellen. MenuPop ist für deren Verarbeitung nicht verantwortlich.
| Empfänger | Zweck | Daten | Hinweis |
|---|---|---|---|
| Browser-Push-Dienste (Google, Apple, Mozilla) | Zustellung von Web-Push-Benachrichtigungen an Gäste, die diese aktiviert haben | Verschlüsselte Benachrichtigung, Push-Adresse | Verantwortung des jeweiligen Push-Dienstes für die Zustellung |
| Europäische Kommission (VIES-System) | Prüfung der USt-IdNr. von Geschäftskunden | USt-IdNr. des Kunden | Abfrage bei einem öffentlichen EU-System |
| Google (Bewertungslink) | Öffnen der Google-Bewertungsseite durch den Gast | Nach Öffnung durch den Gast gelten die Datenschutzbestimmungen von Google | Keine Übermittlung durch MenuPop außer dem Link |
Hinweise
- Die Liste ist an den Quellcode gebunden: Jede neue Schnittstelle, die Kundendaten empfängt, wird vor dem Einsatz hier ergänzt.
- Kontakt für Fragen: [E-Mail Datenschutz].