1. Datenschutz auf einen Blick
Allgemeine Hinweise
Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.
Datenerfassung auf dieser Website
Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur verantwortlichen Stelle“ in dieser Datenschutzerklärung sowie dem Impressum entnehmen.
Wie erfassen wir Ihre Daten?
Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z. B. um Daten handeln, die Sie in ein Registrierungs- oder Kontaktformular eingeben oder uns bei der Beauftragung des Einrichtungsservices als Dokumente zur Verfügung stellen.
Andere Daten werden beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem, Uhrzeit des Seitenaufrufs und IP-Adresse in Server-Logs sowie Session-Cookies). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Website betreten.
Wofür nutzen wir Ihre Daten?
Ein Teil der Daten wird erhoben, um eine fehlerfreie, sichere und performante Bereitstellung der Website und der digitalen Speisekarten zu gewährleisten. Bei solook nutzen wir Ihre Daten primär zur Bereitstellung der Software-Plattform, zur Verwaltung Ihres Kundenkontos, zur Bearbeitung von Einrichtungsservice-Aufträgen, zur Rechnungsstellung sowie zur Abwehr von Missbrauch und Cyberangriffen.
Welche Rechte haben Sie bezüglich Ihrer Daten?
Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten sowie die Einschränkung der Verarbeitung zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese jederzeit für die Zukunft widerrufen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde sowie das Recht auf Datenübertragbarkeit zu.
2. Allgemeine Hinweise und Pflichtinformationen
Datenschutz
Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.
Wenn Sie diese Website benutzen, werden verschiedene personenbezogene Daten erhoben. Diese Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.
Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.
Hinweis zur verantwortlichen Stelle
Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:
Murat Bali
Inhaber (handelnd unter der Geschäftsbezeichnung „solook Speisekarten“)
Eschstr. 10
32139 Spenge
Deutschland
Telefon: +49 (0) 5225 862 68 38
E-Mail: info@solook.de
Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet. Soweit wir im Rahmen der Bereitstellung und Pflege digitaler Speisekarten personenbezogene Daten im Auftrag unserer Gastronomiekunden verarbeiten, handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage des mit dem jeweiligen Kunden geschlossenen Auftragsverarbeitungsvertrags (AVV).
Speicherdauer, Verfall und Aufbewahrung
Soweit innerhalb dieser Datenschutzerklärung keine speziellere Frist genannt wird, verbleiben personenbezogene Daten bei uns, bis der jeweilige Zweck für die Datenverarbeitung entfällt oder das Vertragsverhältnis beendet wird. Gesetzliche Aufbewahrungspflichten (insbesondere handels- und steuerrechtliche Aufbewahrungspflichten von bis zu 8 bzw. 10 Jahren gemäß § 147 AO und § 257 HGB für Buchungsbelege, Rechnungs- und Vertragsunterlagen) sowie die Aufbewahrung von Vertrags- und Freigabenachweisen zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. b und lit. e DSGVO, insbesondere innerhalb der regelmäßigen zivilrechtlichen Verjährungsfrist von drei Jahren gemäß §§ 195, 199 BGB) bleiben unberührt; in diesen Fällen werden die betroffenen Nachweisdaten für die reguläre operative Nutzung gesperrt und nach Ablauf der jeweiligen Aufbewahrungs- bzw. Verjährungsfristen gelöscht.
Verbindliche Fristen und technische Mechanismen im Einzelnen:
- E-Mail-Verifizierungstokens und Passwort-Reset-Links: Werden nach Ablauf ihrer Gültigkeitsdauer (24 Stunden bei E-Mail-Verifizierungstokens, 1 Stunde bei Passwort-Reset-Links) technisch ungültig und können anschließend nicht mehr eingelöst werden.
- Sicherheits-Rate-Limiting: Mit einem geheimen Serverschlüssel pseudonymisierte Prüfwerte und Zugriffszeitstempel zur Missbrauchs- und Angriffserkennung werden innerhalb des jeweiligen Zeitfensters (je nach geschützter Funktion zwischen 5 und 60 Minuten) ausgewertet und bei nachfolgenden Zugriffen oder nach erfolgreichem Login automatisch verworfen bzw. überschrieben.
- Server-Logfiles und Hosting-Backups: Server-Logfiles werden beim Hostinganbieter ALL-INKL.COM standardmäßig für maximal 7 Tage gespeichert und anschließend automatisch gelöscht, sofern keine längere Aufbewahrung zu Beweiszwecken bei konkreten Sicherheitsvorfällen erforderlich ist. Datensicherungen (Rolling Backups) werden vom Hostinganbieter ALL-INKL.COM im Rahmen der technischen Systemwiederherstellung vorgehalten. Nach den Angaben von ALL-INKL.COM werden FTP-Dateisicherungen ungefähr alle 14 Tage erstellt (normalerweise zwei Sicherungsstände, die maximal etwa zwei bzw. vier Wochen alt sind) sowie MySQL-Datenbanksicherungen in der Regel vom Vortag, von vor etwa 5–8 Tagen und von vor etwa 9–12 Tagen vorgehalten. Im aktiven System gelöschte Daten oder Dateien können daher vorübergehend noch in bestehenden Sicherungskopien verbleiben und werden im Rahmen der jeweiligen Backup-Rotation fortlaufend überschrieben.
- Originaldateien beim Einrichtungsservice: Im Rahmen des Einrichtungsservices eingereichte Speisekartenvorlagen werden in einem gegen öffentlichen Webzugriff gesperrten Serververzeichnis für die Dauer der Auftragsbearbeitung und Kundenprüfung vorgehalten. Für Original-Speisekartendateien gelten folgende verbindliche Aufbewahrungsfristen:
- Erfolgreich freigegebene Aufträge: 12 Monate ab dokumentierter Kundenfreigabe (zur Bearbeitung etwaiger Rückfragen, Reklamationen und zum Abgleich mit der eingereichten Vorlage).
- Abgelehnte oder stornierte Aufträge: 30 Tage ab dokumentierter Ablehnung bzw. Stornierung.
- Nicht weiterverfolgte Aufträge: 90 Tage ab letzter dokumentierter Aktivität.
- Laufende Streitfälle: Erforderliche Nachweise und Originaldateien sind durch eine Beweissicherungssperre (Legal Hold) bis zur abschließenden Klärung geschützt.
- Gesonderte Behandlung von Freigabenachweisen, Vertrags- und Abschlussnachweisen sowie steuerlich oder vertraglich notwendigen Dokumenten: Dokumentierte und gegen nachträgliche Veränderung geschützte Freigabenachweise, AVV- und AGB-Abschlussnachweise sowie steuerlich oder vertraglich notwendige Dokumente werden getrennt von den Original-Speisekartendateien und getrennt von der jederzeit im Dashboard bearbeitbaren aktiven Speisekarte zu Nachweis- und Rechtsverteidigungszwecken (Art. 6 Abs. 1 lit. c und lit. f, Art. 17 Abs. 3 lit. b und lit. e DSGVO) für die Dauer des Vertragsverhältnisses sowie anschließend für die Dauer der gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) und der regelmäßigen zivilrechtlichen Verjährungsfristen (§§ 195, 199 BGB) gesperrt aufbewahrt.
Empfänger von Daten und Hinweis zur Datenweitergabe in Drittstaaten
Wir setzen auf dieser Website keine Drittanbieter-Marketing- oder Tracking-Tools (wie Google Analytics, Facebook Pixel o. Ä.) ein. Unser primäres Webhosting, die Datenbanken und der E-Mail-Versand werden auf Servern innerhalb der Bundesrepublik Deutschland bei unserem Auftragsverarbeiter ALL-INKL.COM betrieben.
Soweit dies zur Erfüllung unserer steuer- und handelsrechtlichen Pflichten erforderlich ist, werden abrechnungs- und buchhaltungsrelevante Unterlagen (z. B. Rechnungen über den Einrichtungsservice oder PLUS-Abonnements) an unser Steuerbüro / unseren Steuerberater sowie an die zuständige Finanzverwaltung (Finanzamt) übermittelt (Art. 6 Abs. 1 lit. c und lit. f DSGVO).
Hinsichtlich hochgeladener Speisekartenvorlagen erfolgt keinerlei Übermittlung in Drittstaaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (eine Übermittlung an Google Gemini findet derzeit nicht statt, siehe Abschnitt 6). Eine Übermittlung der öffentlichen Internetadresse (URL) einer Kunden-Speisekarte über das Protokoll IndexNow an teilnehmende Suchmaschinenbetreiber (insbesondere Microsoft Bing, Yandex, Seznam und Naver) ist für Kunden-Speisekarten standardmäßig deaktiviert und findet nur statt, wenn der Gastronom diese Funktion im Kunden-Dashboard ausdrücklich aktiviert (Opt-in) und uns damit zur Übermittlung anweist (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Da im IndexNow-Verbund eingereichte URLs automatisch mit allen teilnehmenden Suchmaschinen geteilt werden, kann hierbei – sofern die öffentliche Speisekarten-URL den Namen einer natürlichen Person (z. B. des Betriebsinhabers) enthält – auf Weisung des Gastronomen ein Personenbezug in Drittstaaten außerhalb des Europäischen Wirtschaftsraums (insbesondere USA, Russische Föderation / Russland und Südkorea) übermittelt werden (Details siehe Abschnitt 4).
Widerruf einer Einwilligung zur Datenverarbeitung
Sofern eine Datenverarbeitung im Einzelfall auf Ihrer Einwilligung beruht, können Sie eine bereits erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.
Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen (Art. 21 DSGVO)
Wenn die Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 21 Abs. 1 DSGVO).
Beschwerderecht bei der zuständigen Aufsichtsbehörde
Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Die für solook zuständige Aufsichtsbehörde ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4
40213 Düsseldorf
Telefon: +49 (0) 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: www.ldi.nrw.de
Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.
Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung (Art. 15–18 DSGVO)
Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung (Art. 15 DSGVO) sowie ggf. ein Recht auf Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) oder Einschränkung der Verarbeitung (Art. 18 DSGVO) dieser Daten. Das Recht auf Löschung besteht gemäß Art. 17 Abs. 3 DSGVO nicht, soweit die weitere Aufbewahrung zur Erfüllung einer rechtlichen Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrungspflichten) oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit unter der im Impressum angegebenen Adresse an uns wenden.
Pflicht zur Bereitstellung personenbezogener Daten (Art. 13 Abs. 2 lit. e DSGVO)
Die Bereitstellung Ihrer Stamm-, Kontakt- und Vertragsdaten (insbesondere Name des Betriebs, geschäftliche E-Mail-Adresse, Bestätigung der Unternehmereigenschaft sowie bei kostenpflichtigen Leistungen die Rechnungsanschrift und Speisekartenvorlagen) ist für den Vertragsabschluss, die Einrichtung eines Kundenkontos, den Abschluss des Auftragsverarbeitungsvertrags (Art. 28 DSGVO) sowie die Durchführung des Einrichtungsservices und die gesetzliche Rechnungsstellung vertraglich bzw. gesetzlich erforderlich. Ohne die Bereitstellung dieser Pflichtangaben kann kein Nutzungsvertrag oder Einrichtungsauftrag geschlossen und durchgeführt werden. Beim bloßen informatorischen Besuch unserer Website oder beim Abruf einer öffentlichen Speisekarte ist die Übermittlung technischer Verbindungsdaten (insbesondere der IP-Adresse) technisch erforderlich, um die Seite an Ihr Endgerät auszuliefern.
Keine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 13 Abs. 2 lit. f DSGVO)
Wir führen keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO durch.
3. Hosting und Infrastruktur
Externes Hosting und Backup-Infrastruktur bei ALL-INKL.COM
Diese Website und unsere Software-Plattform werden bei einem externen Dienstleister gehostet:
ALL-INKL.COM – Neue Medien Münnich
Inhaber: René Münnich
Hauptstraße 68
02742 Friedersdorf
Deutschland
Die personenbezogenen Daten, die auf dieser Website erfasst werden (insb. Server-Logdateien, Registrierungs- und Kontodaten, Speisekarteninhalte, Nachweisdatensätze und Dateiuploads), werden auf den Servern von ALL-INKL.COM in Rechenzentren in Deutschland gespeichert. Zur Sicherstellung der Datenverfügbarkeit und Systemwiederherstellung führt der Hostinganbieter auf Infrastrukturebene regelmäßige Datei- und Datenbank-Sicherungen (Rolling Backups) durch. Nach den veröffentlichten Informationen von ALL-INKL.COM werden dabei FTP-Dateisicherungen ungefähr alle 14 Tage (normalerweise zwei Sicherungen, maximal etwa zwei bzw. vier Wochen alt) sowie MySQL-Sicherungen vom Vortag, von vor etwa 5–8 Tagen und von vor etwa 9–12 Tagen vorgehalten, wobei tarifabhängig zusätzliche Sicherungsroutinen bestehen können. Werden Daten oder Dateien im aktiven System gelöscht, sind sie im laufenden Produktivbetrieb nicht mehr abrufbar, können jedoch vorübergehend noch in bestehenden Sicherungskopien des Hostinganbieters enthalten sein, bis sie im Rahmen der jeweiligen Backup-Rotation überschrieben werden; eine verbindliche Garantie für die endgültige Löschung nach einem festen Zeitraum ist mit diesen Angaben nicht verbunden.
Die Nutzung von ALL-INKL.COM erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO im Interesse einer sicheren, schnellen und zuverlässigen Bereitstellung unserer SaaS-Plattform sowie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Durchführung und Erfüllung der Verträge mit unseren Kunden.
Auftragsverarbeitung (AVV)
Wir haben mit ALL-INKL.COM einen Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen (Datum des Vertragsschlusses: 17.09.2026). Hierdurch wird gewährleistet, dass unser Hostinganbieter die personenbezogenen Daten unserer Plattformnutzer ausschließlich nach unseren Weisungen und unter Einhaltung technischer und organisatorischer Sicherheitsmaßnahmen nach der DSGVO verarbeitet.
Server-Log-Dateien
Der Hostinganbieter der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an den Server übermittelt. Dies sind:
- Browsertyp und Browserversion
- Verwendetes Betriebssystem
- Referrer URL (die zuvor besuchte Seite)
- Hostname und IP-Adresse des zugreifenden Rechners
- Datum und Uhrzeit der Serveranfrage
- HTTP-Statuscode und übertragene Datenmenge
Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Server-Log-Dateien werden beim Hostinganbieter ALL-INKL.COM standardmäßig für maximal 7 Tage gespeichert und anschließend automatisch gelöscht, sofern keine längere Aufbewahrung zu Beweiszwecken bei konkreten Sicherheitsvorfällen erforderlich ist. Beim Aufruf unserer allgemeinen Website sowie hinsichtlich der übergreifenden Systemsicherheit und Angriffserkennung erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch fehlerfreien Darstellung, Systemsicherheit und Stabilität). Soweit Server-Log-Dateien beim Abruf einer öffentlichen digitalen Speisekarte durch Restaurantgäste zur technischen Auslieferung der Speisekarte anfallen, erfolgt die Bereitstellung der Speisekarte im Auftrag des jeweiligen Gastronomiebetriebs (Art. 28 DSGVO i. V. m. Art. 6 Abs. 1 lit. f DSGVO).
4. Datenerfassung auf dieser Plattform
Kontaktaufnahme per E-Mail oder Telefon
Wenn Sie uns per E-Mail oder Telefon kontaktieren, werden Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (z. B. Name, E-Mail-Adresse, Telefonnummer, Betriebsangaben sowie Inhalt Ihrer Nachricht) zum Zwecke der Bearbeitung Ihres Anliegens bei uns verarbeitet und gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.
Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Die von Ihnen an uns per Kontaktanfrage übersandten Daten verbleiben bei uns, bis Sie uns zur Löschung auffordern oder der Zweck für die Datenspeicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihres Anliegens); zwingende gesetzliche Bestimmungen – insbesondere handels- und steuerrechtliche Aufbewahrungsfristen von 6 bis 10 Jahren bei geschäftlicher Korrespondenz (§ 257 HGB, § 147 AO) – bleiben unberührt.
Registrierung, Kundenkonto und elektronischer Abschluss des Auftragsverarbeitungsvertrags (AVV)
Für die Erstellung und Verwaltung digitaler Speisekarten können Sie sich auf solook registrieren. Im Rahmen der Registrierung und der anschließenden Profilpflege im Kunden-Dashboard erfassen wir:
- Name des Gastronomiebetriebs / Restaurants
- E-Mail-Adresse und Passwort (ausschließlich als nicht umkehrbarer Prüfwert gespeichert, niemals im Klartext)
- Bestätigung des Unternehmerstatus (§ 14 BGB) und Akzeptanz der AGB (mit Zeitstempel und Versionsstand)
- Elektronischer Abschluss des Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO: Beim elektronischen Abschluss werden die Benutzer- und gegebenenfalls Auftragszuordnung, die Bezeichnung des Gastronomiebetriebs, die E-Mail-Adresse, die Bestätigung der Unternehmereigenschaft (§ 14 BGB), die akzeptierte AVV- und gegebenenfalls AGB-Version, eine eindeutige Prüfsumme des vereinbarten Vertragstextes (einschließlich unveränderbarer Archivierung der Vertragsfassung), der Abschlusskontext (Registrierung, Einrichtungsauftrag oder Kunden-Dashboard), der Zeitpunkt des Abschlusses sowie eine serverseitige manipulationssichere Prüfsignatur in unseren Vertrags- und Abschlussnachweisen gespeichert; IP-Adressen oder Browser-Kennungen werden im AVV-Nachweis nicht verarbeitet oder gespeichert
- Im Dashboard: Anrede, Vor- und Nachname des Ansprechpartners, Anschrift des Betriebs (Straße, Hausnummer, PLZ, Ort, Land), Telefonnummer, optionale Website, optionale Links zum eigenen Impressum und zur eigenen Datenschutzerklärung des Gastronomiebetriebs (zur Anzeige in der Fußzeile der öffentlichen Speisekarte), Küchenrichtung, ein optionales Restaurant-Logo, die optionale Einstellung zur Suchmaschinen-Sofortmeldung (IndexNow Opt-in) sowie gegebenenfalls eine abweichende Rechnungsanschrift (Firmenname, Name, Straße, PLZ, Ort, Land)
Die Verarbeitung dieser Daten unseres Kunden (Vertragspartners) erfolgt zur Erfüllung des mit ihm geschlossenen Nutzungsvertrags bzw. zur Durchführung vorvertraglicher Maßnahmen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Die Dokumentation des Unternehmerstatus, der AGB-Zustimmung, eines elektronischen AVV-Abschlusses (Art. 28 DSGVO) sowie abrechnungsrelevanter Angaben erfolgt zudem zur Erfüllung unserer gesetzlichen Nachweis- und Aufbewahrungspflichten sowie zur Rechtswahrung auf Grundlage von Art. 6 Abs. 1 lit. c und lit. f DSGVO.
Einrichtungsservice, geschützte Dateiverwaltung und Freigabenachweise
Wenn Sie unseren optionalen Einrichtungsservice zur Digitalisierung Ihrer Speisekarte beauftragen, erfassen wir die von Ihnen im Formular angegebenen Betriebs- und Kontaktdaten (Name des Restaurants, Anrede, Vor- und Nachname, Anschrift, Land, Telefonnummer, E-Mail-Adresse, optionale Website, Küchenrichtung) sowie die von Ihnen bereitgestellten Speisekartenvorlagen (Dateiuploads wie PDF-, Bild-, Text- oder Office-Dateien sowie eine etwaige Speisekarten-URL). Sofern sich der Einrichtungsservice vorübergehend im Wartungsmodus befindet, werden währenddessen keine neuen Aufträge oder Dateiuploads über das Formular entgegengenommen.
Darüber hinaus speichern wir zur Vertrags- und Nachweisdokumentation Ihre Bestätigung der Unternehmereigenschaft (§ 14 BGB), der kostenpflichtigen Beauftragung, den Zeitpunkt Ihrer Zustimmung, die akzeptierte AGB-Version sowie den Nachweis des elektronischen AVV-Abschlusses. Sobald ein Mitarbeiter von solook mit der Bearbeitung Ihres Auftrags beginnt, wird – sofern zu Ihrer E-Mail-Adresse noch kein Benutzerkonto besteht – automatisch ein Vorschaukonto für Ihren Betrieb angelegt und Ihnen per E-Mail ein zeitlich befristeter Link zur Vergabe Ihres eigenen Passworts zugesendet. Im weiteren Verlauf speichern wir etwaige von Ihnen übermittelte Korrektur- und Änderungswünsche sowie die Nachweise über Ihre ausdrückliche Freigabe der erstellten Speisekarte (Freigabeart, Freigabekanal wie Dashboard oder Textform/E-Mail, Zeitpunkt, Prüfvermerk sowie bei Bestandskunden mit bezahltem PLUS-Abonnement den gegen nachträgliche Veränderung gesicherten Nachweis einer gesonderten Zustimmung zur Vertragsumstellung).
Dokumentierter Freigabenachweis:
Zum Zeitpunkt Ihrer ausdrücklichen Freigabe des Einrichtungsauftrags wird automatisch ein dokumentierter und gegen nachträgliche Veränderung geschützter Freigabenachweis erstellt. Dieser hält exakt den von Ihnen geprüften und abgenommenen Stand der Speisekarte (Kategorien, Gerichte, Beschreibungen, Preise, Varianten, Allergen- und Zusatzstoffkennzeichnungen in den hinterlegten Sprachfassungen), die Eckdaten des Freigabevorgangs sowie Dateinamen, Dateigrößen und Prüfsummen der zugehörigen Originaldateien fest. Der gesamte Freigabenachweis wird durch eindeutige Prüfsummen und eine serverseitige Sicherheitssignatur gegen nachträgliche Veränderung geschützt. IP-Adressen oder Browser-Kennungen werden im Freigabenachweis nicht gespeichert. Die Speicherung erfolgt getrennt von Ihrer aktiven Speisekarte, sodass Sie Ihre öffentliche Speisekarte im Dashboard jederzeit frei ändern oder löschen können, während der Freigabenachweis ausschließlich zur Vertragsabwicklung sowie zur Beweissicherung und Verteidigung gegen etwaige Haftungs- oder Gewährleistungsansprüche (insb. bezüglich der Übereinstimmung mit Ihrer Vorlage und Ihren Allergen-/Preisangaben zum Abnahmezeitpunkt) aufbewahrt wird.
Geschützte Speicherung und Abruf von Originaldateien:
Im Einrichtungsservice hochgeladene Originaldateien werden in einem geschützten Serverbereich gespeichert, der gegen einen direkten Zugriff über das öffentliche Internet abgeriegelt ist. Bei neuen Einrichtungsaufträgen werden die hochgeladenen Originaldateien nicht als E-Mail-Anhang versendet; es wird lediglich eine interne Statusbenachrichtigung an die Administration gesendet, und der Abruf der Originaldateien erfolgt ausschließlich nach Anmeldung über einen zugriffsgeschützten Verwaltungsbereich.
Rechtsgrundlage für die Verarbeitung der Daten unseres Kunden (Vertragspartners) ist Art. 6 Abs. 1 lit. b DSGVO sowie hinsichtlich der Vertrags-, Freigabe- und Abrechnungsdokumentation Art. 6 Abs. 1 lit. c und lit. f DSGVO (berechtigtes Interesse an der Nachweisbarkeit der vertragskonformen Leistungserbringung und Kundenabnahme). Soweit in den vom Kunden bereitgestellten Speisekartenvorlagen personenbezogene Daten von Dritten oder Betriebsangehörigen (z. B. Namen oder Angaben von Inhabern, Küchen- oder Servicepersonal) enthalten sind, erfolgt die Verarbeitung im Rahmen der auftragsgemäßen Leistungserbringung für den Kunden (Art. 28 DSGVO).
Kontolöschung und Schutz gesetzlicher bzw. vertraglicher Nachweisunterlagen
Sie können Ihr Benutzerkonto im Dashboard nach Eingabe Ihres aktuellen Passworts selbst löschen, sofern zu Ihrem Konto keine geschützten Nachweisunterlagen vorliegen; hierbei werden Ihre aktive digitale Speisekarte, Kategorien, Gerichte, eigene Zutaten, hochgeladene Restaurant-Logos sowie Ihr Benutzerkonto unmittelbar entfernt. Bestehen zu Ihrem Benutzerkonto jedoch dokumentierte Einrichtungsaufträge, Servicegutschriften, geschützte Freigabenachweise, Vertrags- und Abschlussnachweise oder eine aktive Aufbewahrungssperre (Legal Hold), ist die unmittelbare Komplettlöschung direkt im Profil gesperrt, damit gesetzlich und vertraglich aufzubewahrende Abrechnungs- und Beweisunterlagen (Art. 17 Abs. 3 lit. b und lit. e DSGVO) nicht vorzeitig vernichtet werden. In diesem Fall weist Sie das Dashboard darauf hin, sich an uns (z. B. per E-Mail an info@solook.de) zu wenden, damit Ihr Löschwunsch geprüft und bearbeitet werden kann, ohne aufbewahrungspflichtige Nachweise vor Ablauf der jeweiligen Fristen zu löschen.
Optionale Suchmaschinenbenachrichtigung bei Speisekarten-Aktualisierungen (IndexNow)
Für öffentliche Kunden-Speisekarten ist die automatische Suchmaschinenbenachrichtigung über das Protokoll IndexNow (api.indexnow.org) standardmäßig deaktiviert. Nur wenn ein Gastronom diese Funktion in seinem Kunden-Dashboard ausdrücklich per Opt-in aktiviert, übermittelt unser Server im Auftrag und auf dokumentierte Weisung des Gastronomen (Art. 28 Abs. 3 Satz 2 lit. a DSGVO) bei Inhaltsaktualisierungen im Dashboard die öffentliche Internetadresse (URL) dieser Speisekarte (einschließlich des aus Restaurantname und Ort gebildeten URL-Pfads) sowie technisch bedingt die Server-IP-Adresse unseres Webservers an den IndexNow-Dienst, damit Änderungen schneller im Suchindex aktualisiert werden. Alle am IndexNow-Protokoll teilnehmenden Suchmaschinenbetreiber (insbesondere Microsoft Bing, Yandex, Seznam und Naver) erhalten die eingereichten URLs automatisch. Enthält der Restaurantname bzw. der URL-Pfad den Namen einer natürlichen Person (z. B. des Betriebsinhabers), wird hierbei auf Weisung des Gastronomen ein Personenbezug auch an Suchmaschinenbetreiber in Drittstaaten außerhalb des Europäischen Wirtschaftsraums (insbesondere USA, Russische Föderation / Russland und Südkorea) übermittelt. IP-Adressen oder sonstige Nutzungsdaten von Restaurantgästen werden hierbei zu keinem Zeitpunkt übertragen. Der Gastronom kann die Funktion im Kunden-Dashboard jederzeit mit Wirkung für die Zukunft aktivieren oder deaktivieren. Soweit solook für eigene redaktionelle Seiten der Plattform (ohne Kunden-Speisekarten) IndexNow manuell nutzt, werden ausschließlich sachbezogene Plattform-URLs ohne Personenbezug übermittelt.
5. Cookies und Sitzungen
Unsere Website verwendet in zustandsbehafteten Bereichen (insbesondere Login, Registrierung, Kunden-Dashboard, Admin-Bereich und Formulare mit Sicherheits-Token) das technisch notwendige Session-Cookie.
Verwendung für angemeldete Kunden (Gastronomen) und Formulare:
Während Ihres Besuchs im geschützten Dashboard oder bei der Nutzung interaktiver Formulare dient dieses Session-Cookie dazu, Ihren Anmeldestatus aufrechtzuerhalten, Ihre Benutzersitzung zuzuordnen und Sicherheits-Token zum Schutz vor gefälschten Webseiten-Anfragen (Cross-Site-Request-Forgery, CSRF) abzugleichen. Für diese Funktionen ist das Session-Cookie technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b und lit. f DSGVO).
Verhalten bei Gästen und Besuchern digitaler Speisekarten:
Rufen anonyme Besucher (Restaurantgäste) eine öffentliche digitale Speisekarte über einen QR-Code oder Direktlink auf, startet unsere Anwendung keine neue Sitzung und setzt kein Session-Cookie. Auch ein Wechsel der Anzeigesprache innerhalb der Speisekarte erfolgt über URL-Parameter ohne das Setzen eines Cookies. Zur rein statistischen Anzeige der Gesamtaufrufe einer Speisekarte wird in unserer Datenbank lediglich ein anonymer Zählerwert um eins erhöht, ohne dass hierbei IP-Adressen, Gerätekennungen oder personenbezogene Besucherprofile in der Datenbank gespeichert werden.
Technischer Hinweis: Sofern Sie in demselben Webbrowser bereits aktiv auf solook.de angemeldet sind oder zuvor eine Sitzung auf einer anderen Unterseite unserer Plattform (z. B. Login oder Kontaktformular) gestartet haben, übermittelt Ihr Browser das bereits bestehende Session-Cookie technisch bedingt auch beim Aufruf einer Speisekarte mit. Unabhängig von Cookies fallen beim Abruf jeder Webseite auf Ebene des Webservers technisch notwendige Server-Log-Dateien an (siehe Abschnitt 3).
Keine Marketing- oder Tracking-Cookies:
Es werden auf der gesamten Plattform keine Marketing-, Tracking- oder Profiling-Cookies von Drittanbietern eingesetzt.
6. Hinweis zur derzeit deaktivierten KI-Erfassungshilfe (Google Gemini)
Eine Übermittlung von Speisekartendaten an Google Gemini findet derzeit nicht statt. Die in der Software vorbereitete interne Verwaltungsfunktion zur KI-gestützten Strukturierung von Speisekartenvorlagen über Google Gemini (Google Ireland Limited / Google LLC) ist im laufenden Betrieb technisch deaktiviert. Sämtliche Speisekarten und Einrichtungsaufträge werden derzeit ohne Einsatz externer KI-Dienste ausschließlich auf unseren Servern in Deutschland verarbeitet.
Eine etwaige spätere Freischaltung dieser internen Erfassungshilfe erfolgt erst nach Abschluss der vertraglichen und datenschutzrechtlichen Einbindung (Auftragsverarbeitung gemäß Art. 28 DSGVO im kostenpflichtigen Geschäftstarif ohne KI-Modelltraining sowie Drittlandtransfer-Garantien nach Art. 45, 46 DSGVO) und nach rechtzeitiger Information unserer Kunden gemäß § 7 des Auftragsverarbeitungsvertrags. Selbst im Falle einer künftigen Freischaltung würden niemals ungeprüfte Originaldateien übermittelt, sondern ausschließlich zuvor lokal auf unserem Server in Deutschland zugeschnittene, von Datei-Metadaten (wie EXIF-/GPS-Daten) bereinigte und von nicht erforderlichen Personenangaben dauerhaft geschwärzte Bildkopien, die unmittelbar nach der Auswertung wieder automatisiert gelöscht werden.
7. IT-Sicherheit, Missbrauchsschutz und E-Mail-Versand
Sicherheits-Rate-Limiting (Missbrauchsschutz)
Um unsere Plattform vor automatisierter Ausspähung, Brute-Force-Angriffen (z. B. auf Benutzerpasswörter) sowie dem massenhaften Missbrauch von Formularen (z. B. Registrierungen, Passwort-Resets oder Einrichtungsanfragen) zu schützen, setzen wir ein serverseitiges Rate-Limiting ein.
Hierbei werden die IP-Adresse des anfragenden Rechners sowie bei anmelde- und E-Mail-bezogenen Vorgängen die eingegebene E-Mail-Adresse unter Verwendung eines geheimen Serverschlüssels (HMAC-SHA256) in einen nicht umkehrbaren Prüfwert umgewandelt. Die IP-Adresse wird für die Missbrauchserkennung nicht im Klartext gespeichert. Der pseudonymisierte Prüfwert wird zusammen mit einem Zugriffszeitstempel serverseitig abgeglichen, um die Anzahl der Anfragen pro Zeitfenster zu begrenzen. Nach Ablauf des jeweiligen Zeitfensters (je nach geschützter Funktion zwischen 5 und 60 Minuten) oder nach einer erfolgreichen Anmeldung werden die Einträge automatisch verworfen bzw. gelöscht.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Abwehr von Cyberangriffen und der Gewährleistung der Systemstabilität.
E-Mail-Versand (Transaktionsnachrichten ohne Versand von Kundendatei-Anhängen)
Für den Versand erforderlicher System- und Transaktions-E-Mails (z. B. Verifizierungslinks bei der Registrierung, Passwort-Zurücksetzen, Statusbenachrichtigungen zu Einrichtungsaufträgen) nutzen wir die gesicherte SMTP-Mailserver-Infrastruktur unseres Hostinganbieters ALL-INKL.COM. Bei neuen Einrichtungsaufträgen werden hochgeladene Original-Speisekartendateien nicht als E-Mail-Anhang verschickt; die E-Mail-Benachrichtigung enthält lediglich die Auftragsreferenz und Statusinformationen, während die hochgeladenen Dateien ausschließlich im geschützten Serververzeichnis verbleiben.
Die Übermittlung erfolgt transportverschlüsselt (TLS/SSL). Die Verarbeitung dient der Durchführung des Vertragsverhältnisses auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.