Datenschutz — Ihre Daten gehören Ihnen.

Diese Datenschutzerklärung informiert gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) über die Verarbeitung personenbezogener Daten durch CODLAB UG (haftungsbeschränkt) beim Besuch dieser Website sowie bei der Nutzung unserer Produkte und Dienste. Die Reservierungsplattform Riservati wird vom selben Verantwortlichen betrieben — siehe gesonderte Abschnitte 4–12.

1. Verantwortliche

Für diese Website (codlab.de) und die zugehörigen IT-Dienstleistungen:
CODLAB UG (haftungsbeschränkt)
Vertreten durch den Geschäftsführer: Davide D'Antoni
St.-Jakob-Straße 6, 93161 Sinzing, Deutschland
E-Mail: [email protected] · Telefon: +49 941 20 90 28 62

Die Reservierungsplattform Riservati (Abschnitte 4–12) wird vom selben Verantwortlichen betrieben. „Riservati“ und „CodLab“ sind Marken der CODLAB UG (haftungsbeschränkt)

Die Benennung eines Datenschutzbeauftragten ist gesetzlich nicht erforderlich (§ 38 BDSG). Für datenschutzrechtliche Anfragen wenden Sie sich bitte an die jeweils oben genannte E-Mail-Adresse.

2. Hosting und Zugriffsdaten (Server-Logs)

Diese Website wird auf einem Server der Ionos SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland) gehostet. Beim Aufruf der Seiten verarbeitet der Server automatisch technische Zugriffsdaten in sogenannten Server-Logfiles:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• Referrer-URL (zuvor besuchte Seite)
• Browser-Typ und Betriebssystem (User-Agent)
• Aufgerufene Seite und übertragene Datenmenge

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nach 30 Tagen automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und stabilen Bereitstellung der Website).

Dieser Website ist der Sicherheits- und CDN-Dienst Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) vorgeschaltet. Cloudflare verarbeitet beim Seitenaufruf als Auftragsverarbeiter technische Verbindungsdaten — insbesondere IP-Adresse, User-Agent und Referrer —, um Angriffe abzuwehren und Inhalte beschleunigt auszuliefern. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework sowie auf Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Verfügbarkeit der Website).

3. Kontaktaufnahme

Bei Kontakt per E-Mail verarbeiten wir die von Ihnen mitgeteilten Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht) ausschließlich zur Bearbeitung Ihrer Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme oder Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

4. Riservati – Reservierungsmanagement-Plattform

Riservati ist eine SaaS-Plattform zur Verwaltung von Restaurantreservierungen. Im Rahmen der Plattform verarbeiten wir folgende personenbezogene Daten:

a) Restaurantbetreiber (Kunden von CODLAB)

Bei der Registrierung und Nutzung von Riservati werden folgende Daten erhoben:

• E-Mail-Adresse, Telefonnummer
• Restaurantname, Adresse, Website
• Öffnungszeiten, Kapazitäten, Tischkonfigurationen
• Zahlungsinformationen (über Stripe, siehe Abschnitt 12)

Die Bereitstellung dieser Daten ist zur Nutzung der Plattform erforderlich; ohne diese Daten kann der Dienst nicht erbracht werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

b) Gäste / Endkunden der Restaurants

Bei einer Reservierung über Riservati (Widget, App oder WhatsApp) werden folgende Daten erhoben:

• Name, E-Mail-Adresse, Telefonnummer
• Datum, Uhrzeit, Personenzahl der Reservierung
• Sonderwünsche, Allergien und diätetische Präferenzen
• Reservierungsstatus (bestätigt, storniert, erschienen, nicht erschienen)

Die Bereitstellung von Name und Telefonnummer ist zur Durchführung der Reservierung erforderlich. Ohne diese Angaben kann die Reservierung nicht entgegengenommen werden.

Diese Daten werden im Auftrag des jeweiligen Restaurants verarbeitet. Das Restaurant ist Verantwortlicher gemäß Art. 4 Nr. 7 DSGVO; CODLAB fungiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Ein entsprechender Auftragsverarbeitungsvertrag ist Bestandteil der Nutzungsbedingungen der Plattform.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Reservierung).

c) Kundenhistorie, Profilbildung und automatisierte Bewertung

Zur Verbesserung des Service und zum Schutz der Restaurants werden auf Basis der Reservierungshistorie folgende Daten pro Restaurant automatisch berechnet und gespeichert:

• Gesamtanzahl der Reservierungen, abgeschlossene Reservierungen, Stornierungen, Nichterscheinen
• Durchschnittliche Gruppengröße, bevorzugte Uhrzeiten
• Treuepunktzahl (Loyalty Score, 0–100): berechnet aus der Abschlussquote der Reservierungen und der Besuchshäufigkeit
• Risikobewertung (Risk Score, 0–100): berechnet aus der Quote von Nichterscheinen und Stornierungen
• Kundensegment (z. B. Neukunde, Stammgast, VIP) basierend auf der Treuepunktzahl

Automatisierte Einzelfallentscheidungen (Art. 22 DSGVO): Die oben genannten Bewertungen (Loyalty Score, Risk Score) dienen als Entscheidungshilfe für das Restaurantpersonal. Es werden keine Reservierungen ausschließlich auf Grundlage einer automatisierten Verarbeitung abgelehnt oder angenommen, die rechtliche Wirkung entfaltet oder in ähnlicher Weise erheblich beeinträchtigt. Die endgültige Entscheidung über die Annahme oder Ablehnung einer Reservierung liegt stets beim Restaurantpersonal.

Sperrliste (Blacklist): Restaurants können einzelne Telefonnummern auf eine Sperrliste setzen. Bei einer Reservierungsanfrage über den KI-Assistenten wird die Telefonnummer mit dieser Liste abgeglichen. Der KI-Assistent weist in diesem Fall darauf hin, dass eine Reservierung über das Restaurant direkt erfolgen sollte. Die Entscheidung, eine Nummer auf die Sperrliste zu setzen, wird ausschließlich vom Restaurantpersonal getroffen (keine automatisierte Entscheidung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Restaurants an der Kundenpflege und am Schutz vor wiederholtem Nichterscheinen). Sie können der Profilbildung jederzeit widersprechen (Art. 21 DSGVO) und eine Überprüfung der automatisierten Bewertung durch eine zuständige Person verlangen.

d) Google Business Profile (GBP) Integration

Auf ausdrücklichen Wunsch des jeweiligen Restaurants bietet Riservati eine optionale Synchronisation mit dem Google Business Profile des Restaurants. Die Verbindung wird vom Inhaber pro Standort über Google OAuth 2.0 autorisiert und kann jederzeit widerrufen werden.

• OAuth-Scope: ausschließlich https://www.googleapis.com/auth/business.manage. Verwendete Google-APIs: My Business Account Management API, Business Information API und Place Actions API.
• Übertragung an Google (Push): Öffnungszeiten, Telefonnummer, Website-URL, Unternehmensbeschreibung sowie ein Reservierungs-Link als Place-Action („Reservierungen“), der auf https://riservati.de/r/<restaurant> verweist.
• Abruf von Google (Pull): Dieselben Felder werden nur lesend abgerufen, um leere Felder in Riservati zu befüllen; bestehende Werte werden niemals überschrieben.

Begrenzte Verwendung (Limited Use): Die über den Scope business.manage erlangten Daten werden ausschließlich für die beschriebene Synchronisation der Geschäftsinformationen verwendet. Es werden keine Bewertungen, Fotos, Beiträge (Posts) oder Nachrichten gelesen, gespeichert, verarbeitet oder weitergegeben. Die Nutzung erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen; es findet keine Weitergabe an Dritte und keine Nutzung zu Werbe-, Profiling- oder Trainingszwecken statt.

Empfänger & Drittlandtransfer: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung an Google LLC (USA) kann erfolgen auf Grundlage des EU-U.S. Data Privacy Framework (DPF) sowie ergänzender Standardvertragsklauseln (SCC).

Speicherung, Widerruf & Rechtsgrundlage: OAuth-Zugriffs- und Refresh-Token werden verschlüsselt gespeichert (Fernet, encrypted at rest); die Synchronisation erfolgt etwa einmal täglich pro Restaurant und ist gedrosselt (~1 Anfrage/Sekunde). Beim Trennen der Verbindung in den Riservati-Einstellungen wird das Token bei Google widerrufen und unverzüglich gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch OAuth-Autorisierung) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung auf Wunsch des Restaurants).

5. KI-gestützter Buchungsassistent

Riservati bietet einen KI-gestützten Chat-Assistenten für Reservierungen an. Dabei werden folgende Daten verarbeitet:

• Gesprächsverlauf (eingegebene Nachrichten und Antworten)
• Aus dem Gespräch extrahierte Buchungsdaten (Name, Datum, Uhrzeit, Personenzahl, Sonderwünsche)
• Erkannte Absicht (Buchung, Änderung, Stornierung)
• Erkannte Sprache des Gesprächs

Funktionsweise der KI-Verarbeitung (Art. 13 Abs. 2 lit. f DSGVO): Der KI-Assistent analysiert die eingegebenen Nachrichten, um Reservierungsabsichten zu erkennen und die relevanten Buchungsdaten (Datum, Uhrzeit, Personenzahl, Name) zu extrahieren. Der Assistent prüft automatisch die Verfügbarkeit anhand der Öffnungszeiten und Kapazitäten des Restaurants. Es findet keine automatisierte Kreditwürdigkeitsprüfung oder sonstige automatisierte Entscheidung mit rechtlicher Wirkung statt.

Die Verarbeitung erfolgt über KI-Dienste von Drittanbietern:

• Anthropic PBC (Claude API) – Sitz: San Francisco, USA
• OpenAI Inc. (GPT API) – Sitz: San Francisco, USA

An die KI-Dienste werden ausschließlich der Gesprächsverlauf und die Restaurantkonfiguration (Öffnungszeiten, Kapazitäten) übermittelt – keine darüber hinausgehenden personenbezogenen Daten. Beide Anbieter verarbeiten API-Daten gemäß ihren Datenverarbeitungsverträgen nicht zu eigenen Zwecken und setzen die Daten nicht zum Training ihrer KI-Modelle ein. Gesprächsprotokolle werden zur Qualitätssicherung für maximal 12 Monate gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Reservierung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung).

6. SMS- und E-Mail-Benachrichtigungen

Im Rahmen der Reservierungsverwaltung versenden wir im Auftrag der Restaurants folgende Benachrichtigungen:

• Reservierungsbestätigungen (SMS und/oder E-Mail)
• Erinnerungen vor dem Reservierungstermin
• Stornierungsbestätigungen

Hierfür werden Name, Telefonnummer und/oder E-Mail-Adresse des Gastes verarbeitet.

SMS-/E-Mail-Marketing: Restaurants können über Riservati Marketing-Nachrichten (z. B. Geburtstagsgrüße, Aktionen) an ihre Gäste versenden. Dies erfolgt ausschließlich mit vorheriger ausdrücklicher Einwilligung des Gastes (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 7 Abs. 2 Nr. 3 UWG). Jede Marketing-Nachricht enthält einen Hinweis auf die Widerrufsmöglichkeit. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Dienstleister:

• SMSHosting.it (Beit srl) – SMS-Versand (Sitz: Italien)
• Ionos SE – E-Mail-Versand über SMTP (Sitz: Deutschland)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (transaktionsbezogene Bestätigungen) bzw. Art. 6 Abs. 1 lit. a DSGVO (Marketing mit Einwilligung).

7. Push-Benachrichtigungen

Die Riservati-Apps nutzen Push-Benachrichtigungen, um Restaurantbetreiber und Mitarbeiter über neue Reservierungen und Statusänderungen zu informieren. Dafür werden Geräte-Token über den Expo Push Notification Service (650 Industries Inc., USA) verarbeitet.

Push-Benachrichtigungen werden nur nach ausdrücklicher Erlaubnis auf dem Endgerät aktiviert. Sie können jederzeit in den Geräteeinstellungen deaktiviert werden. Die Geräte-Token werden bei Abmeldung aus der App automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Aktivierung auf dem Endgerät) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

8. Riservati Staff App – Personalverwaltung

Die Riservati Staff App ermöglicht Restaurants die Verwaltung ihrer Mitarbeiter und die Zeiterfassung. Das Restaurant ist als Arbeitgeber Verantwortlicher für die Verarbeitung der Beschäftigtendaten; CODLAB fungiert als Auftragsverarbeiter.

a) Mitarbeiterdaten

• Vorname, Nachname, E-Mail-Adresse, Telefonnummer
• Foto/Avatar, PIN-Code (zur Identifikation am Gerät)
• Rolle, Beschäftigungsstatus, Eintrittsdatum
• Sollarbeitszeit, Urlaubstage

Personenbezogene Felder (Name, E-Mail, Telefonnummer, PIN) werden verschlüsselt in der Datenbank gespeichert (Fernet-Verschlüsselung, siehe Abschnitt 14).

Rechtsgrundlage: § 26 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungsverhältnisses). Die Bereitstellung dieser Daten ist für die Begründung und Durchführung des Beschäftigungsverhältnisses erforderlich.

b) Zeiterfassung und Standortdaten

Beim Ein- und Ausstempeln über die Staff App werden folgende Daten erfasst:

• Zeitstempel des Ein- und Ausstempelns
• GPS-Koordinaten (Breitengrad/Längengrad) zur Standortvalidierung
• Geräteinformationen (Plattform, Gerätename)
• Berechnete Arbeitszeit und eventuelle Verspätung

Die GPS-Standorterfassung dient ausschließlich der Überprüfung, ob das Ein-/Ausstempeln am vereinbarten Arbeitsort erfolgt. Die GPS-Daten werden nur zum Zeitpunkt des Stempelvorgangs punktuell erhoben – es findet keine kontinuierliche Standortverfolgung statt. Die Daten werden maximal 24 Monate aufbewahrt.

Rechtsgrundlage für die Zeiterfassung: § 26 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beschäftigungsverhältnisses). Rechtsgrundlage für die GPS-Standorterfassung: § 26 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Arbeitgebers an der Überprüfung der korrekten Arbeitszeiterfassung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Erteilung der Standortberechtigung auf dem Endgerät). Die Standortberechtigung kann jederzeit in den Geräteeinstellungen widerrufen werden; das Ein-/Ausstempeln ist auch ohne GPS-Freigabe möglich.

9. Riservati Online-Shop

Restaurants können über Riservati einen Online-Shop für Bestellungen (Abholung, Lieferung, Vor-Ort) betreiben. Dabei werden folgende Daten verarbeitet:

• Kundenname, Telefonnummer, E-Mail-Adresse
• Lieferadresse (bei Lieferbestellungen)
• Bestelldetails (Artikel, Menge, Gesamtbetrag)
• Zahlungsinformationen (über Stripe Connect, siehe Abschnitt 12)

Die Bereitstellung von Name und Kontaktdaten ist für die Abwicklung der Bestellung erforderlich.

Das jeweilige Restaurant ist Verantwortlicher; CODLAB fungiert als Auftragsverarbeiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Kaufvertrag).

10. WhatsApp Business Integration

Riservati kann mit der WhatsApp Business API verbunden werden, um Reservierungen und Kommunikation über WhatsApp zu ermöglichen. Dabei werden verarbeitet:

• Telefonnummer des Gastes
• Name (soweit im WhatsApp-Profil hinterlegt)
• Nachrichtenverlauf innerhalb des 24-Stunden-Sitzungsfensters
• Medieninhalte (Bilder, Dokumente), soweit vom Gast gesendet

Dienstleister: Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland). Meta verarbeitet die Daten als eigenständiger Verantwortlicher gemäß den eigenen Nutzungsbedingungen der WhatsApp Business Platform. Informationen zur Datenverarbeitung durch Meta: WhatsApp Business Data Processing Terms.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Reservierung auf Initiative des Gastes).

Hinweis: Die Nutzung von WhatsApp ist freiwillig. Alternativ können Reservierungen über das Widget oder telefonisch vorgenommen werden.

11. Riservati Desktop App

Die Riservati Desktop App für Windows und macOS kommuniziert mit denselben Servern und verarbeitet dieselben Daten wie in den Abschnitten 4–10 beschrieben. Zusätzlich wird die App-Version zur Bereitstellung automatischer Updates verarbeitet.

12. Zahlungsabwicklung (Stripe)

Für die Abwicklung von Zahlungen (Abonnements und Shop-Bestellungen) nutzen wir den Zahlungsdienstleister Stripe:

• Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) – für die Zahlungsabwicklung in Europa
• Stripe Inc. (354 Oyster Point Blvd, South San Francisco, USA) – als Muttergesellschaft

Bei der Zahlung werden folgende Daten direkt über das Stripe-Zahlungsformular (Stripe Elements) an Stripe übermittelt – die vollständigen Zahlungsdaten gelangen zu keinem Zeitpunkt auf unsere Server:

• Name, E-Mail-Adresse
• Kreditkarten- oder Zahlungsdaten
• Rechnungsadresse

Wir speichern ausschließlich die letzten vier Ziffern der Kartennummer, die Kartenmarke und das Ablaufdatum zur Anzeige im Kundenkonto sowie die Stripe Customer ID und Subscription ID zur Zuordnung.

Stripe ist PCI DSS Level 1 zertifiziert. Stripe ist als eigenständiger Verantwortlicher bzw. Auftragsverarbeiter tätig. Datenschutzerklärung von Stripe: stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

CodLab CRM – Unternehmenssoftware (Web- und Mobile-App)

Mit CodLab CRM bieten wir eine Unternehmenssoftware (Kunden-, Angebots-, Rechnungs- und Mitarbeiterverwaltung) als Web-Anwendung und als App für iOS und Android an. Setzt ein Unternehmen CodLab CRM ein, ist dieses Unternehmen Verantwortlicher für die darin verarbeiteten Daten (z. B. Kunden-, Auftrags- und Mitarbeiterdaten einschließlich Zeiterfassung); wir verarbeiten diese Daten ausschließlich im Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Die Server stehen in Deutschland (Ionos SE).

Für den Betrieb der App selbst verarbeiten wir: technische Diagnosedaten bei Fehlern (Sentry, Datenhaltung in der EU/Frankfurt, ohne personenbezogene Inhalte), pseudonyme Geräte-Token für optionale Push-Benachrichtigungen (Zustellung über Apple bzw. Google) sowie Versionsdaten für App-Updates über unsere eigenen Server. Optionale KI-Funktionen nutzen Anthropic (Claude) auf Grundlage der EU-Standardvertragsklauseln; eine Nutzung der Inhalte zum KI-Training findet nicht statt.

Die vollständige Datenschutzerklärung zu CodLab CRM finden Sie unter: crm.codlab.de/datenschutz

13. Cookies und Webanalyse

Diese Website und die eingebetteten Widgets verwenden Cookies und vergleichbare Technologien (localStorage). Die Rechtsgrundlage für den Zugriff auf Endgeräte richtet sich nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz).

a) Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Website zwingend erforderlich und werden ohne Einwilligung gesetzt (§ 25 Abs. 2 Nr. 2 TDDDG).

b) Google Analytics 4

Wir nutzen Google Analytics 4 (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) zur statistischen Analyse der Websitenutzung. Die Aktivierung erfolgt ausschließlich nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Dabei werden unter anderem verarbeitet: Seitenaufrufe, Verweildauer, Geräteinformationen, ungefährer Standort (Land/Region). Die IP-Adresse wird anonymisiert übermittelt.

Google ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner widerrufen.

c) Lokale Speicherung (Widget)

Das Buchungs-Widget nutzt den lokalen Speicher des Browsers (localStorage), um den Gesprächsverlauf vorübergehend zwischenzuspeichern. Diese Daten werden nach 20 Minuten automatisch gelöscht und nicht an Dritte übermittelt. Es handelt sich um technisch notwendige Speicherung (§ 25 Abs. 2 Nr. 2 TDDDG).

d) Spam-Schutz im Kontaktformular (ohne externe Dienste)

Unser Kontaktformular wird ausschließlich durch serverseitige, datensparsame Verfahren vor automatisierten Anfragen (Spam, Bots) geschützt: ein verstecktes Honeypot-Feld, eine Zeit- und Plausibilitätsprüfung sowie ein IP-bezogenes Rate-Limit. Es kommt KEIN Google reCAPTCHA und kein externer Drittdienst zum Einsatz.

Es werden hierfür keine personenbezogenen Daten an Dritte (insbesondere nicht in die USA) übermittelt und keine zusätzlichen Cookies gesetzt. Verarbeitet werden lediglich die von Ihnen im Formular eingegebenen Angaben sowie technische Metadaten (IP-Adresse, Zeitstempel) zur Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz unseres Kontaktformulars vor Missbrauch durch Bots und Spam).

e) Meta-Pixel (Facebook & Instagram)

Zur Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram sowie zur Ausspielung relevanter Anzeigen setzen wir das Meta-Pixel der Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland) ein. Das Meta-Pixel wird ausschließlich nach Ihrer ausdrücklichen Einwilligung in die Kategorie „Marketing“ über unseren Cookie-Banner aktiviert (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Dabei können Daten wie Ihre IP-Adresse, aufgerufene Seiten und Geräteinformationen an Meta übermittelt und auch in die USA übertragen werden. Meta ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Cookie-Banner widerrufen.

14. Datenverschlüsselung und technische Sicherheit

Wir setzen umfangreiche technische Maßnahmen zum Schutz personenbezogener Daten ein (Art. 32 DSGVO):

• Verschlüsselung in der Datenbank: Personenbezogene Felder (Name, E-Mail, Telefonnummer, Sonderwünsche, Mitarbeiterdaten, PIN-Codes) werden mit Fernet-Verschlüsselung (symmetrisch, basierend auf AES-128-CBC mit HMAC-Authentifizierung) verschlüsselt gespeichert.
• Transportverschlüsselung: Alle Verbindungen zwischen Client und Server nutzen HTTPS/TLS. HTTP Strict Transport Security (HSTS) ist mit einer Gültigkeit von einem Jahr aktiviert.
• Authentifizierung: JWT-Token (JSON Web Token) mit begrenzter Gültigkeit und automatischer Rotation. Access-Token: 1 Stunde, Refresh-Token: 30 Tage.
• Mobile Sicherheit: Zugangsdaten werden in verschlüsseltem Gerätespeicher (Expo SecureStore / iOS Keychain / Android Keystore) abgelegt.
• API-Schutz: Ratenbegrenzung (Rate Limiting) gegen Missbrauch, CORS-Richtlinien, CSRF-Schutz.

15. Auftragsverarbeiter und internationale Datenübermittlung

Zur Erbringung unserer Dienste setzen wir folgende Drittanbieter ein:

Datenübermittlung in Drittländer: Soweit personenbezogene Daten an Anbieter in den USA übermittelt werden, erfolgt dies auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework (DPF), sofern der jeweilige Anbieter DPF-zertifiziert ist. Ergänzend oder alternativ wurden mit allen US-Anbietern Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie Datenverarbeitungsverträge (DPA) abgeschlossen.

Mit allen Auftragsverarbeitern wurden Verträge gemäß Art. 28 DSGVO geschlossen, bzw. entsprechende Datenschutzbestimmungen sind verbindlicher Bestandteil der jeweiligen Nutzungsbedingungen.

16. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Nach Ablauf der Speicherdauer werden die Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

17. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit – Erhalt Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen, einschließlich Profilbildung (Art. 21 DSGVO). Bei Widerspruch prüfen wir, ob zwingende schutzwürdige Gründe vorliegen.
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• Automatisierte Entscheidungen – Sofern automatisierte Bewertungen (Loyalty Score, Risk Score) Auswirkungen auf Sie haben, können Sie eine Überprüfung durch eine zuständige Person verlangen, Ihren Standpunkt darlegen und die Entscheidung anfechten (Art. 22 DSGVO).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]. Wir werden Ihre Anfrage unverzüglich, spätestens jedoch innerhalb eines Monats bearbeiten (Art. 12 Abs. 3 DSGVO). Zur Identitätsprüfung kann eine Verifizierung Ihrer Identität erforderlich sein.

Hinweis für Gäste: Da CODLAB für Gästedaten als Auftragsverarbeiter fungiert, richten Sie Anfragen zu Ihren Reservierungsdaten bitte vorrangig an das jeweilige Restaurant. Wir unterstützen Sie gerne bei der Weiterleitung.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach (www.lda.bayern.de).

18. Datenschutz-Folgenabschätzung

Für Verarbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringen (insbesondere KI-gestützte Datenverarbeitung und Profilbildung), wurde eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchgeführt. Die Ergebnisse fließen in die laufende Verbesserung unserer technischen und organisatorischen Maßnahmen ein.

19. Sicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören unter anderem die unter Abschnitt 14 genannten Maßnahmen sowie Zugriffsbeschränkungen nach dem Prinzip der minimalen Berechtigung, regelmäßige Sicherheitsupdates und die Protokollierung von Zugriffen.

Im Falle einer Verletzung des Schutzes personenbezogener Daten informieren wir die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO und – bei voraussichtlich hohem Risiko – die betroffenen Personen gemäß Art. 34 DSGVO.

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage, unsere Dienste oder die Art der Datenverarbeitung ändert. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert. Die aktuelle Version ist stets unter dieser URL abrufbar.

---

Stand: Juni 2026 | Verantwortlicher: CODLAB UG (haftungsbeschränkt). Kontakt [email protected]