Datenschutz­erklärung

1. Verantwortlicher und Kontakt

Vertreten durch den Geschäftsführer Galip Sertan Dilibal.
Telefon: +49 179 157 6487
E-Mail: [email protected]

2. Geltungsbereich und Rechtsgrundlagen

Diese Hinweise erläutern die Verarbeitung beim Besuch von bbqrmenu.com, bei Kontaktanfragen und bei der Nutzung unserer Anwendung. Unser Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB; Verträge mit Verbrauchern im Sinne des § 13 BGB werden nicht geschlossen.

Wir verarbeiten Daten, soweit dies für die Bereitstellung, Sicherheit und Nutzung unseres Angebots, die Beantwortung von Anfragen oder die Erfüllung von Verträgen erforderlich ist. Rechtsgrundlagen sind je nach Zweck Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen), lit. c (rechtliche Pflichten), lit. f (berechtigte Interessen) oder lit. a (Einwilligung). Unsere berechtigten Interessen sind der sichere Betrieb, die Abwehr von Missbrauch und die Bearbeitung geschäftlicher Kommunikation. Es erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung.

3. Hosting, Server-Logfiles und SSL/TLS

Die Anwendung läuft auf einem VPS der netcup GmbH, Deutschland, mit Serverstandort Deutschland. Beim Seitenabruf werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, technischer Antwortstatus sowie vom Browser übermittelte Geräte-, Browser- und gegebenenfalls Referrer-Angaben verarbeitet. Serverprotokolle dienen dem Betrieb, der Fehleranalyse und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO).

Die Aufbewahrung von Protokollen richtet sich nach ihrem Bedarf für Fehler- und Sicherheitsanalysen; bei konkreten Vorfällen kann eine längere Sicherung zur Aufklärung und Rechtsverfolgung erforderlich sein. Die Übertragung über unsere Website erfolgt verschlüsselt per HTTPS/SSL/TLS. Verschlüsselung ersetzt nicht die notwendige Verarbeitung durch die beteiligten technischen Dienstleister.

Weitere Angaben: Datenschutz bei netcup.

4. Cloudflare: CDN, Proxy, DNS und Sicherheit

Cloudflare, Inc., USA, stellt die vorgeschaltete Auslieferung und Absicherung der Website bereit. Anfragen einschließlich IP-Adresse, Verbindungsdaten und übertragener Inhalte werden dabei über Cloudflare verarbeitet. Dies dient der zuverlässigen, schnellen Bereitstellung und dem Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Durch das internationale Netzwerk sind Verarbeitungen außerhalb der EU, insbesondere in den USA, möglich.

Cloudflares veröffentlichter Vertrag zur Auftragsverarbeitung enthält EU-Standardvertragsklauseln und Regelungen für internationale Übermittlungen: Cloudflare Data Processing Addendum. Ein Server- oder Speicherstandort in der EU bedeutet nicht, dass sämtliche Verbindungs- und Supportdaten ausschließlich dort verarbeitet werden.

5. Bilder und Cloudflare R2

Öffentliche Bilder werden in Cloudflare R2 mit EU-Jurisdiktion gespeichert und über media.bbqrmenu.com ausgeliefert. Beim Bildabruf verarbeitet Cloudflare die für die Übertragung erforderlichen Verbindungsdaten. Öffentlich bereitgestellte Bilder sind für Besucher abrufbar. Grundlage ist die Bereitstellung unserer Leistung nach Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die EU-Speicherbindung für Objekte ist von der Verarbeitung im CDN und von internationalen Supportzugriffen zu unterscheiden.

Ein Teil der älteren Bilder wird weiterhin über UploadThing-Adressen unter ufs.sh ausgeliefert. Anbieter ist laut aktueller Datenschutzerklärung T3 Tools, Inc., USA. Beim Abruf solcher Bilder werden die erforderlichen Verbindungsdaten an diesen Dienst übertragen; internationale Verarbeitung ist möglich. Die Nutzung dient der Anzeige bereits veröffentlichter Inhalte (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: UploadThing-Datenschutzhinweise. Neue Uploads unserer Anwendung verwenden R2.

Informationen zur Speicherbindung: Cloudflare R2 – Data location.

6. Datenbank und Benutzerkonten

Wir verwenden Neon PostgreSQL mit Datenbankregion Frankfurt, Deutschland. Gespeichert werden insbesondere Geschäftsanfragen, Benutzer- und Berechtigungsdaten sowie die für Restaurants erforderlichen Inhalte. Neon gehört zu Databricks; die aktuellen veröffentlichten Bedingungen nennen Databricks, Inc. und Neon, LLC (USA). Trotz der gewählten Datenbankregion können internationale Verwaltungs-, Support- oder Unterauftragsverarbeitungen relevant sein.

Die Verarbeitung dient der Anfragebearbeitung und Leistungserbringung (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Weitere Informationen: Neon-Vertragsbedingungen und Databricks-Datenschutzhinweise. Letztere beschreiben unter anderem Standardvertragsklauseln und die DPF-Zertifizierung einschließlich Neon, LLC.

Die Anmeldung wird mit der in unserer eigenen Anwendung betriebenen Bibliothek Better Auth umgesetzt. Better Auth ist dabei kein separater externer Empfänger von Anmeldedaten. Für Anmeldung, Sitzungen und Zwei-Faktor-Authentifizierung verarbeiten wir erforderliche Kontodaten und verwenden technische Cookies. Passwörter werden als Hashwerte gespeichert. Sicherheits- und Verwaltungsaktionen können protokolliert werden (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

7. Kontaktformulare und B2B-Anfragen

Die Kontaktformulare erheben Name, Restaurant bzw. Betrieb und E-Mail-Adresse als Pflichtangaben. Telefon, Ort, gewünschte Menüsprachen und Nachricht können freiwillig angegeben werden. Hinzu kommen Sprache, Eingangszeit und Bearbeitungsstatus. Ohne die Pflichtangaben können wir die Anfrage über das Formular nicht bearbeiten.

Die Angaben werden in unserer Datenbank gespeichert und berechtigten Administratoren zur Bearbeitung angezeigt. Das Formular versendet derzeit keine automatische E-Mail-Benachrichtigung. Es gibt kein Newsletter-Abonnement und keine Einwilligung in Werbung.

Wenn die betroffene Person selbst Vertragspartei ist oder einen Vertrag anbahnt, gilt Art. 6 Abs. 1 lit. b DSGVO. Bei Ansprechpartnern eines Unternehmens und allgemeinen geschäftlichen Anfragen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Beantwortung und Organisation der geschäftlichen Anfrage. Die Kenntnisnahme dieser Datenschutzerklärung ist keine gesonderte Einwilligung.

Zum Schutz vor Spam nutzen wir ein verstecktes Prüffeld sowie zeitlich begrenzte Anfragelimits. Für diese Limits werden aus der technischen Client-Adresse und weiteren Begrenzungsmerkmalen schlüsselbasierte Hashwerte gebildet. In den Limit-Schlüsseln speichern wir keine Klartext-IP-Adresse oder Formularinhalte (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie uns direkt per E-Mail kontaktieren oder wir per E-Mail antworten, werden die Kommunikationsdaten auch über unser angegebenes Gmail-Postfach verarbeitet. Für Nutzer im EWR nennt Google Google Ireland Limited als verantwortlichen Anbieter dieses Dienstes; internationale Verarbeitung ist möglich. Näheres erläutern Googles Datenschutzhinweise. Eine Anfrage über das Formular wird nicht automatisch an Gmail übertragen.

8. Einwilligungsverwaltung

Auf unseren Marketing-, Kontakt- und Rechtshinweisseiten können Sie Statistik-Cookies akzeptieren, ablehnen oder einzeln auswählen. Beide Entscheidungen ermöglichen die normale Nutzung der Website. Wir speichern ausschließlich Auswahl, Version und Zeitpunkt lokal auf Ihrem Gerät unter bbqrmenu_consent_v1. Die Auswahl gilt bis zu 180 Tage; nach Ablauf, Löschen der Browserdaten oder einer erforderlichen Versionsänderung wird erneut gefragt.

Diese Speicherung dient der Beachtung Ihrer Datenschutzentscheidung (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO). Ohne speicherbare Zustimmung bleibt Google Analytics deaktiviert. Sie können Ihre Auswahl jederzeit hier oder im Footer ändern: Cookie-Einstellungen. Details stehen in unserer Cookie-Richtlinie.

9. Google Analytics 4

Nur mit Ihrer ausdrücklichen Einwilligung verwenden wir Google Analytics 4 von Google Ireland Limited, Irland, für Statistiken zur Nutzung unserer Marketing-Website. Vor Ihrer Einwilligung und nach Ablehnung laden wir weder das Google-Analytics-Script noch senden wir Analytics-Anfragen an Google. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und für Speicherung bzw. Zugriff auf dem Endgerät § 25 Abs. 1 TDDDG.

Verarbeitet werden insbesondere aufgerufene Marketing-Seiten, Zeitpunkte, Cookie-Kennungen sowie technische Browser-, Geräte- und Verbindungsangaben. Unser Code übermittelt bereinigte Seitenadressen ohne Suchparameter oder URL-Fragmente und keine Namen, E-Mail-Adressen, Telefonnummern, Restaurantnamen oder Formularinhalte. Werbeeinwilligungen bleiben verweigert; Google-Signals- und Personalisierungsfunktionen werden im Tag deaktiviert. Wir verwenden weder Google Ads noch Meta Pixel.

Google Analytics läuft nicht in QR-Menüs, QR-Weiterleitungen, Dashboard, Administration, Anmeldung, Zwei-Faktor-Authentifizierung oder API-Routen. Ihre Entscheidung auf der Marketing-Website aktiviert dort kein Google Analytics.

Eine Verarbeitung in den USA durch Google LLC ist möglich. Google nennt für internationale Übermittlungen insbesondere den EU-US Data Privacy Framework für zertifizierte US-Empfänger sowie Standardvertragsklauseln, soweit erforderlich: Googles Übermittlungsmechanismen. Weitere Informationen: Google-Analytics-Bedingungen.

Die Dauer der Speicherung von Analytics-Daten richtet sich nach den Aufbewahrungseinstellungen der verwendeten Property, dem statistischen Auswertungszweck und bestehenden Löschpflichten. Die Cookie-Laufzeit ist davon getrennt und in der Cookie-Richtlinie angegeben.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über Cookie-Einstellungen widerrufen. Dann beenden wir die laufende Analytics-Ausführung und entfernen zugängliche GA-Cookies nach Möglichkeit. Bereits erfolgte Verarbeitungen werden dadurch nicht rückwirkend unrechtmäßig; bereits übermittelte Daten werden durch das Löschen von Browser-Cookies nicht automatisch bei Google gelöscht.

10. QR-Menüs und eigene Menüstatistiken

Die von Restaurants veröffentlichten Menüs können eigene, von Google unabhängige Aufruf- und Produktstatistiken verwenden. Dafür übermittelt der Browser Menü- bzw. Produktkennungen an unsere Anwendung; die Statistikdatensätze enthalten keine IP-Adresse, Namen oder Kontaktangaben. Zur Begrenzung mehrfacher Zählungen verwendet die bestehende Menüfunktion Sitzungsspeicher. Diese Verarbeitung gehört nicht zur Google-Analytics-Einwilligung der Marketing-Website. Einzelheiten zum vorhandenen Menüspeicher finden Sie in der Cookie-Richtlinie.

Für personenbezogene Inhalte, die ein Restaurant selbst veröffentlicht oder im Rahmen eigener Angebote verarbeitet, kann das jeweilige Restaurant verantwortlich sein. Die vorliegenden Hinweise ersetzen dessen eigene Datenschutzinformationen nicht.

11. Empfänger, Übermittlungen und Speicherdauer

Daten werden innerhalb unseres Unternehmens nur zugriffsberechtigten Personen und den für die genannten Zwecke eingesetzten technischen Dienstleistern zugänglich gemacht. Bei Auftragsverarbeitungen sind die Anforderungen des Art. 28 DSGVO maßgeblich. Eine weitere Weitergabe kommt insbesondere in Betracht, wenn sie zur Vertragserfüllung, zur Durchsetzung von Rechtsansprüchen oder aufgrund gesetzlicher Pflichten erforderlich ist.

Bei Übermittlungen außerhalb des EWR sind Art. 44 ff. DSGVO zu beachten. Je nach Empfänger kommen ein Angemessenheitsbeschluss oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln, in Betracht. Die oben verlinkten Anbieterinformationen erläutern die jeweiligen Mechanismen. Informationen zu den für Ihre Daten einschlägigen Garantien erhalten Sie auf Anfrage über unsere Kontaktadresse.

Wir speichern personenbezogene Daten so lange, wie es für den jeweiligen Zweck erforderlich ist. Bei Anfragen sind der Bearbeitungsstand, eine anschließende Geschäftsbeziehung, gesetzliche Aufbewahrungspflichten und mögliche Rechtsansprüche maßgeblich. Für Konten und Vertragsdaten sind zusätzlich die Dauer des Vertrags und erforderliche Sicherheitsnachweise relevant. Backups unterliegen ihrem Sicherungs- und Überschreibungszyklus. Die Anwendung löscht geschlossene Anfragen nicht automatisch; die erforderliche Aufbewahrung ist daher auch organisatorisch zu prüfen.

12. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Erteilte Einwilligungen können Sie jederzeit für die Zukunft widerrufen. Für Anfragen nutzen Sie bitte die oben genannte Kontaktadresse.

Bei einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Gegen eine Verarbeitung für Direktwerbung besteht ein jederzeitiges Widerspruchsrecht.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Für unseren Sitz ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig: Beschwerde übermitteln.

13. Änderungen

Wir passen diese Hinweise bei Änderungen unserer Verarbeitung oder der rechtlichen Anforderungen an. Eine erforderliche neue Einwilligung wird gesondert eingeholt.

Stand: Oktober 2026