1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten im Rahmen der Website remakassen.com und der REMA Cloud ist:
Lucas-Konstantin Reich
Königsborner Str. 40
39175 Biederitz
Deutschland
- lucas@remakassen.com
- Telefon
- +49 172 3251150
- Website
- remakassen.com
REMA Cloud ist ein Angebot von Lucas-Konstantin Reich.
2. Rollen von REMA, Kunden und Restaurants
REMA ist Verantwortlicher, soweit REMA die Zwecke und wesentlichen Mittel einer Verarbeitung selbst festlegt. Das betrifft insbesondere die öffentliche REMA-Website, persönliche REMA-Konten, eigene Vertragskontakte, den REMA-Shop und die Abrechnung eigener REMA-Produkte sowie eigene Sicherheits-, Nachweis- und Verwaltungszwecke.
Unternehmenskunden und Restaurants sind grundsätzlich selbst Verantwortliche, wenn sie Zwecke und Nutzung ihrer Beschäftigten-, Gast-, Reservierungs-, Bestell-, Kassen-, Journal-, Fiskal- oder Ausgabendaten bestimmen. REMA verarbeitet diese fachlichen Daten im Rahmen der Plattform grundsätzlich nach dokumentierten Weisungen als Auftragsverarbeiter. Die Rechtsgrundlage gegenüber den betroffenen Personen bestimmt dann der jeweilige Kunde oder das jeweilige Restaurant.
Bei einer Online-Reservierung oder Online-Bestellung ist das auf der Gastoberfläche bezeichnete Restaurant insbesondere für die Bearbeitung, Gästekommunikation, angebotenen Speisen und Restaurantleistungen verantwortlich. REMA stellt die technische Plattform bereit und verarbeitet die Daten zur Übermittlung und Statusverwaltung. Für reservierungs- oder bestellbezogene Anliegen kann zusätzlich das jeweilige Restaurant kontaktiert werden.
Andere Anbieter können für klar abgegrenzte eigene Zwecke selbst verantwortlich sein, insbesondere ein Zahlungsdienstleister oder eine vom Kunden aktivierte Bestellplattform. Die Rollen werden deshalb nicht pauschal für alle Dienste gleichgesetzt.
3. Allgemeines zur Datenverarbeitung
Soweit REMA selbst Verantwortlicher ist, verarbeiten wir personenbezogene Daten nur für den in dieser Erklärung jeweils bezeichneten Zweck. Soweit REMA als Auftragsverarbeiter handelt, bestimmt der jeweilige Kunde oder das jeweilige Restaurant Zweck und Rechtsgrundlage; Anfragen zu diesen fachlichen Daten leiten wir erforderlichenfalls an den Verantwortlichen weiter.
Rechtsgrundlagen der Verarbeitung sind insbesondere:
- Art. 6 Abs. 1 lit. b DSGVO für Verarbeitungen, die objektiv zur Anbahnung oder Erfüllung eines Vertrags mit der betroffenen Person erforderlich sind.
- Art. 6 Abs. 1 lit. c DSGVO nur, wenn eine konkrete gesetzliche Pflicht die jeweilige Verarbeitung verlangt.
- Art. 6 Abs. 1 lit. f DSGVO für erforderliche eigene Sicherheits-, Missbrauchsschutz-, Nachweis- und Betriebszwecke; unsere Interessen sind insbesondere Verfügbarkeit, Integrität und Schutz von Konten, Kundeninhalten und Diensten.
- Art. 6 Abs. 1 lit. a DSGVO, wenn für einen optionalen Zweck eine gesonderte Einwilligung eingeholt wird.
- Art. 9 Abs. 2 lit. a DSGVO nur, wenn eine ausdrückliche Einwilligung gerade die Verarbeitung von Angaben zu Allergien, Unverträglichkeiten oder anderen Gesundheitsdaten für den bezeichneten Zweck erfasst. Die bloße Kenntnisnahme dieser Datenschutzerklärung ist weder Einwilligung noch Vertragsannahme.
4. Besuch der Website und technische Zugriffsdaten
Beim Aufruf unserer Website und der REMA Cloud können automatisch technische Daten verarbeitet werden. Dazu gehören insbesondere:
- IP-Adresse
- Datum und Uhrzeit des Zugriffs
- aufgerufene Seite oder Funktion
- Browsertyp und Browserversion
- Betriebssystem
- Referrer-URL
- Geräte- und Verbindungsinformationen
- HTTP-Statuscodes
- Fehler- und Sicherheitsprotokolle
Die Verarbeitung erfolgt zur Bereitstellung der Website, zur Stabilität und Sicherheit des Systems, zur Fehleranalyse und zur Missbrauchsprävention.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Website und der REMA Cloud.
5. Hosting, Backend und technische Infrastruktur
Zur Bereitstellung von REMA Cloud setzen wir technische Dienste für Hosting, Datenbank, Backend, Authentifizierung, E-Mail-Versand, Zahlungsabwicklung, Datei- und Medienbereitstellung, Adressprüfung, Wetterdaten sowie Sicherheit und Monitoring ein. Ob ein funktionsbezogener Dienst Daten erhält, hängt davon ab, ob die betreffende Funktion genutzt und produktiv konfiguriert ist.
Nach aktuellem technischen Stand werden insbesondere folgende Dienste eingesetzt:
- Vercel für Hosting und Frontend-Bereitstellung. Vercel Web Analytics und Vercel Speed Insights sind derzeit nicht in die Anwendung eingebunden.
- Databuddy Analytics, Inc. für die optionale, einwilligungsbasierte Reichweiten-, Performance- und Conversion-Messung auf ausgewählten öffentlichen REMA-Seiten.
- Convex für Backend-, Datenbank-, Dateispeicher- und Echtzeitfunktionen.
- WorkOS für Authentifizierung, Benutzerverwaltung, Organisationen, Rollen und Berechtigungen.
- Resend für transaktionale Nachrichten, insbesondere Reservierungsbestätigungen, Stornierungen und Systembenachrichtigungen.
- Stripe für Checkout, Zahlungsabwicklung, Abonnements und zahlungsbezogene Betrugsprävention.
- UploadThing für von berechtigten Nutzern hochgeladene Shop- und Online-Menü-Medien.
- Geoapify für die Adresssuche und Adressprüfung, sofern diese Funktion konfiguriert ist.
- Open-Meteo für Geocoding und Wetterdaten zu betrieblichen Standorten im Journalbereich.
- Uber Eats für Store-Verknüpfung und den Import sowie die Statusbearbeitung von Bestellungen, wenn ein Kunde diese Integration ausdrücklich aktiviert.
- Eine von REMA betriebene Server- und ClickHouse-Infrastruktur für Worker-Eingangsdaten, Journaldaten, Auswertungen, technische Protokolle und die Verarbeitung betrieblicher Kassendaten.
REMA-eigene Server- und ClickHouse-Komponenten sind selbst keine externen Empfänger. Externe Hosting-, Netzwerk-, Backup- oder Wartungsanbieter hinter diesen Komponenten sind dagegen Teil der jeweiligen Anbieter- und Unterauftragnehmerkette. Soweit ein technischer Anbieter Daten im Auftrag verarbeitet, wird er vertraglich entsprechend eingebunden. Soweit ein Anbieter Daten für eigene gesetzliche oder Zahlungszwecke verarbeitet, gelten für diesen Vorgang dessen eigene Datenschutzinformationen.
Eine Übermittlung oder ein Fernzugriff außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines einschlägigen Angemessenheitsbeschlusses oder geeigneter Garantien wie Standardvertragsklauseln. Welche Garantie für einen konkreten Empfänger einschlägig ist, richtet sich nach der tatsächlich aktivierten Funktion und Anbieterbeziehung. Eine Kopie der für eine konkrete Übermittlung einschlägigen Garantie kann über den in Abschnitt 1 genannten Kontakt angefordert werden; rechtlich erforderliche Schwärzungen bleiben möglich.
7. Optionale Reichweiten-, Performance- und Conversion-Messung mit Databuddy
Nach Ihrer ausdrücklichen Einwilligung setzen wir auf ausgewählten öffentlichen Seiten Databuddy ein. Dies betrifft insbesondere die öffentliche Startseite, Kassensystem-Seiten, die Produktseiten der Cloud-Module, Kontakt, Shop mit Kassenkonfigurator, Warenkorb und Checkout. Geschützte REMA-Cloud- und Adminbereiche sowie die Speisekarten-, QR-, Reservierungs- und Bestellseiten einzelner Restaurants und Tokenpfade sind technisch von dieser Messung ausgeschlossen. Vercel Web Analytics und Vercel Speed Insights bleiben nicht eingebunden.
Zwecke sind die Messung von Seitenaufrufen und Besucherquellen, die Erkennung von Abbrüchen im Kassenkonfigurator und im Kauftrichter sowie die Beurteilung der technischen Seitenerfahrung. Erfasst werden können insbesondere aufgerufener Seitenpfad, Referrer-Domain, Kampagnenparameter, Browser-, Geräte- und grobe Regionsinformationen, anonyme Sitzungskennungen, Zeitstempel und Web-Vitals. Für Kassenkonfigurator und Kauftrichter übermitteln wir ausschließlich kategorisierte Ereignisse wie erreichte Konfigurationsschritte, Warenkorbinteresse, Übergang zur Zahlung, technische Blockadekategorie und verifizierten Kaufabschluss.
REMA verwendet die Databuddy-Identify-Funktion nicht und übermittelt insbesondere keine Namen, E-Mail-Adressen, Organisations-, Bestell-, Zahlungs- oder Kassenkennungen. Die automatische Übermittlung ungefilterter JavaScript-Fehlermeldungen und Stacktraces ist nicht aktiviert. Die IP-Adresse fällt beim technischen Verbindungsaufbau an; nach Angaben von Databuddy wird sie nur zur groben Standortbestimmung verwendet und danach verworfen.
Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO sowie, soweit Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG. Die Verweigerung oder der Widerruf hat keine Auswirkungen auf Shop, Checkout oder REMA Cloud.
Databuddy verarbeitet die Analysedaten als Auftragsverarbeiter. Nach den Anbieterangaben werden Besucher-Analysedaten in der Europäischen Union verarbeitet. Zu den benannten Unterauftragnehmern gehören insbesondere Hetzner für Datenbanken in Deutschland, Railway für API-Infrastruktur, Vercel für die Dashboard-Bereitstellung und Bunny.net für die Skript-Auslieferung. Die meisten Analysedaten werden nach Anbieterangaben gespeichert, solange das Databuddy-Projekt besteht; Performance-Metriken werden nach einem Jahr gelöscht. Bei Löschung des Projekts werden die zugehörigen Analysedaten gelöscht, vorbehaltlich begrenzter technischer Sicherungskopien.
Weitere Informationen:
Aktueller Status: noch nicht entschieden
8. REMA Cloud Benutzerkonten, Login und Organisationsverwaltung
Bei der Nutzung eines REMA Cloud Kontos verarbeiten wir insbesondere:
- Name
- E-Mail-Adresse
- Login- und Authentifizierungsdaten
- WorkOS-Benutzer-ID
- Organisationszugehörigkeit
- Rollen und Berechtigungen
- Einladungen zu Organisationen
- Mitgliedschaftsstatus
- Nutzungs- und Sicherheitseinstellungen
- Zeitpunkte von Registrierung, Login, Änderungen und administrativen Aktionen
Bei Unternehmenskunden oder Restaurantbetreibern können zusätzlich verarbeitet werden:
- Firmenname oder rechtlicher Name
- Rechtsform
- Anschrift
- Rechnungs- oder Geschäftsadresse
- geschäftliche E-Mail-Adresse
- geschäftliche Telefonnummer
- Ansprechpartner
- Position im Unternehmen
- Umsatzsteuer-ID
- Steuernummer, sofern für Vertrags- oder Abrechnungszwecke erforderlich
- Registerangaben, sofern angegeben
- Vertrags-, Modul- und Statusinformationen
Für das persönliche REMA-Konto und einen Vertrag mit der betroffenen Person ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage, soweit die jeweilige Angabe hierfür erforderlich ist. Bei Ansprechpartnern einer juristischen Person stützt REMA eigene Vertragskontakte auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Anbahnung, Durchführung und Dokumentation des Organisationsvertrags. Rollen, Berechtigungen und fachliche Datenzugriffe innerhalb einer Kundenorganisation werden von dieser Organisation festgelegt und durch REMA grundsätzlich als Auftragsverarbeiter technisch umgesetzt. Gesetzliche Abrechnungs- oder Steuerpflichten werden nur auf Art. 6 Abs. 1 lit. c DSGVO gestützt, soweit sie den konkreten Datensatz tatsächlich erfassen.
9. Online-Reservierungen, QR-Bestellungen und angebundene Plattformen
Wenn Gäste über eine REMA Cloud Reservierungsseite eine Reservierung anfragen oder buchen, können insbesondere folgende Daten verarbeitet werden:
- Vorname und Nachname
- E-Mail-Adresse
- optional Telefonnummer, sofern nicht vom Restaurant als Pflichtfeld aktiviert
- Datum und Uhrzeit der Reservierung
- Personenanzahl
- Standort
- Raum- oder Tischzuordnung
- Reservierungsstatus
- Reservierungscode
- Storno- oder Verwaltungsinformationen
- freiwillige Notizen
- freiwilliger Anlass, zum Beispiel Geburtstag oder Geschäftsessen, sofern aktiviert
- freiwillige Angaben zu Allergien oder Unverträglichkeiten, sofern aktiviert
- Zeitpunkt der Anfrage, Änderung, Bestätigung oder Stornierung
Welche Kontaktdaten für eine Reservierung benötigt werden, legt das angezeigte Restaurant in der Buchungsoberfläche fest. Ohne die dort als erforderlich gekennzeichneten Angaben kann die Reservierung nicht oder nicht vollständig durchgeführt werden.
Freiwillige Angaben wie Anlass oder Notizen sind für die Reservierung nicht erforderlich. Angaben zu Allergien oder Unverträglichkeiten können Gesundheitsdaten darstellen. Sie werden nur nach einer gesonderten ausdrücklichen Einwilligung für den unmittelbar bezeichneten Reservierungszweck übermittelt. Die Einwilligung kann jederzeit für die Zukunft gegenüber dem Restaurant oder über den Kontakt in Abschnitt 1 widerrufen werden; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Eine fortlaufende Übernahme solcher Angaben in ein Gastprofil erfordert eine davon gesondert erfasste Grundlage.
Die Rechtsgrundlage für die eigentliche Reservierungsbearbeitung bestimmt das verantwortliche Restaurant, häufig Art. 6 Abs. 1 lit. b DSGVO. REMA verarbeitet die fachlichen Reservierungsdaten insoweit nach Weisung. Für eigene, minimierte Sicherheits-, Missbrauchsschutz- und Fehlernachweise stützt sich REMA auf Art. 6 Abs. 1 lit. f DSGVO. Für Gesundheitsdaten gelten Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.
Bei einer öffentlichen QR-Bestellung werden je nach Funktion insbesondere Restaurant und Standort, Tisch- oder QR-Ziel, ausgewählte Artikel, Mengen, Anpassungen, Preise, Währung, freiwillige Bestellnotiz, Bestell- und Statuskennungen, Zeitpunkte sowie ein technisch geschützter Abrufbezug verarbeitet. Das angezeigte Restaurant ist für Angebot, Bestellung und Restaurantleistung verantwortlich; REMA übermittelt und verwaltet die Bestellung als technische Plattform. REMA verarbeitet eigene minimierte Sicherheits- und Nachweisdaten getrennt davon.
Wenn ein Kunde die Uber-Eats-Integration aktiviert, werden Store-Zuordnung und -Status, verschlüsselte Autorisierungstokens, signierte Webhook-Ereignisse, Provider-Bestellkennungen und -status, Artikel und Anpassungen sowie die von Uber übermittelten Bestellerkontakt- und Fehlerdaten verarbeitet. Der Kunde bestimmt Verbindung, Store-Mapping und Bearbeitung seiner Bestellungen. Uber verarbeitet Daten innerhalb seiner Plattform für eigene und gegebenenfalls weitere in seinen Datenschutzinformationen bezeichnete Zwecke. Das Trennen der Integration beendet den Abruf neuer Vorgänge, löscht aber nicht automatisch bereits übernommene Bestellungen oder gesetzlich beziehungsweise betrieblich noch erforderliche Nachweise.
10. Gastprofile und wiederkehrende Reservierungen
REMA Cloud kann dem jeweiligen Restaurant Funktionen zur Verwaltung von Gastdaten bereitstellen. Dabei können insbesondere folgende Daten verarbeitet werden:
- Name
- E-Mail-Adresse
- Telefonnummer
- Anzahl und Datum vergangener Reservierungen
- letzte Reservierung
- Besuchsanzahl
- interne Notizen des Restaurants
- freiwillig hinterlegte Allergien oder Ernährungspräferenzen
- Newsletter-Einwilligung, sofern diese Funktion genutzt wird
Diese Daten dienen dem Restaurant zur besseren Verwaltung von Reservierungen und Gästebeziehungen.
Interne Notizen dürfen nur sachliche, reservierungs- oder servicebezogene Informationen enthalten. Besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn hierfür eine ausdrückliche Einwilligung oder eine andere geeignete Rechtsgrundlage besteht.
11. E-Mail-Kommunikation
REMA Cloud kann transaktionale E-Mails versenden, insbesondere:
- Eingangsbestätigungen
- Reservierungsbestätigungen
- Ablehnungen
- Änderungsmitteilungen
- Stornomitteilungen
- Benachrichtigungen an Restaurantpersonal
- Export- oder Systembenachrichtigungen
Diese Nachrichten dienen der Abwicklung der Reservierung, der Plattformnutzung oder der Vertragserfüllung und sind keine Marketingnachrichten.
Dabei können insbesondere verarbeitet werden:
- Empfängeradresse
- Art der Nachricht
- Reservierungsbezug
- Sendezeitpunkt
- Zustellstatus
- Fehlerinformationen
- technische E-Mail-ID des Versanddienstleisters
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO.
13. Kassenanbindung, Worker, Synchronisation und Journaldaten
REMA Cloud kann Funktionen zur Anbindung lokaler Kassensysteme, Worker-Installationen, Kassenstandorte und Synchronisationsprozesse bereitstellen.
Dabei können insbesondere verarbeitet werden:
- Organisations- und Standortdaten
- Kassen- und Gerätebezeichnungen
- Installations- und Worker-IDs
- Gerätename
- lokaler Hostname
- Betriebssystem
- App- oder Worker-Version
- Verbindungsstatus
- Heartbeat- und Synchronisationsstatus
- Fehlermeldungen
- ausstehende oder fehlgeschlagene Datenpakete
- Zeitpunkte von Synchronisationen
- Kassen-, Journal-, Export- oder Berichtsdaten
- Empfänger von Export- oder Journal-E-Mails
Je nach Nutzung des Kassensystems können Kassen-, Journal- oder Exportdaten personenbezogene Daten enthalten, zum Beispiel Bediener-, Personal-, Rechnungs-, Transaktions- oder Kommunikationsdaten.
Der Kunde bestimmt die Zwecke seiner Kassen-, Journal-, Fiskal-, Beschäftigten- und Exportdaten und ist hierfür grundsätzlich Verantwortlicher. REMA verarbeitet diese fachlichen Daten zur Bereitstellung der vereinbarten Kassenanbindung, Synchronisation, Auswertung und Exportfunktion grundsätzlich als Auftragsverarbeiter. Die Rechtsgrundlagen, insbesondere für gesetzlich aufzubewahrende Kassen- und Fiskaldaten, legt der Kunde fest. REMA verarbeitet daneben minimierte technische Status-, Sicherheits- und Fehlerdaten für eigene Sicherheits- und Betriebszwecke auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
14. Ausgaben & Kosten
„Ausgaben & Kosten“ ist ein optionales, organisationsgebundenes betriebswirtschaftliches Cockpit. Der Kunde bestimmt die Zwecke seiner Konto-, Transaktions-, Vertrags- und Kostendaten und ist hierfür grundsätzlich Verantwortlicher; REMA verarbeitet diese fachlichen Daten als Auftragsverarbeiter. REMA verarbeitet daneben nur getrennte, minimierte eigene Vertrags-, Sicherheits-, Missbrauchs- und Zugriffsnachweise. Das Modul greift derzeit nicht selbst auf Zahlungskonten zu und ist keine Bank-API.
Abhängig von der gewählten Funktion werden insbesondere folgende Daten verarbeitet:
- Kontoname und Kontotyp sowie eine optionale IBAN
- Buchungsdatum, Betrag und Einordnung als Ausgabe, Einnahme oder neutraler Vorgang
- Gegenpartei und optionale Gegenpartei-IBAN
- Verwendungszweck, Beschreibung, Kategorie und Such- oder Zuordnungsregeln
- Importdatei, Importlauf, normalisierte Rohzeilen, Feldzuordnungen, Duplikat- und Fehlerhinweise
- Fixkosten, Vertrags-, Kündigungs- und Fristdaten sowie Aufgaben
- Ersteller-, Änderer- und technische Auditkennungen
Die Daten stammen aus manuellen Eingaben berechtigter Organisationsnutzer oder aus vom Kunden hochgeladenen CSV-, TSV-, XLS- oder XLSX-Dateien. Sie können Angaben über Beschäftigte, natürliche Lieferanten, Vermieter, Einzelunternehmer, Gäste, Zahler oder Zahlungsempfänger enthalten. Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, prüft der Kunde als Verantwortlicher seine Informationspflichten, insbesondere nach Art. 14 DSGVO.
Zwecke sind Import, Normalisierung, Erkennung möglicher Duplikate, editierbare Kategorisierungsvorschläge, Kosten- und Budgetübersichten, Verwaltung von Konten, Kategorien, Fixkosten und Fristen sowie Fehlerkorrektur. Vom Kunden angelegte Regeln und wiederholte frühere manuelle Kategorien können Vorschläge erzeugen. Diese Vorschläge buchen nicht selbst verbindlich und treffen keine rechtliche oder ähnlich erhebliche Entscheidung über eine natürliche Person.
Für ein Konto werden Kontoname und Kontotyp benötigt; die IBAN ist freiwillig. Eine manuelle Buchung benötigt Konto, Richtung, Buchungsdatum, Gegenpartei und Betrag. Kategorie, Gegenpartei-IBAN, Verwendungszweck und Beschreibung sind optional. Vor einem Dateiimport sollte der Kunde nicht benötigte Zeilen, Spalten und Freitexte entfernen, weil IBAN, Gegenpartei und Verwendungszweck sensible Informationen offenbaren können.
Quelldateien, Importentwürfe und Roh- beziehungsweise Stagingzeilen werden nach sieben Tagen bereinigt. Übernommene Bewegungen und eine kompakte Importhistorie bleiben nach dem Import bestehen. Manuell angelegte Bewegungen können gelöscht werden; importierte Bewegungen können derzeit aus den Auswertungen ausgeschlossen und wiederhergestellt werden. Ein solcher Ausschluss ist keine physische Löschung. Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs- und Exportanfragen zu diesen Daten können an den Kunden als Verantwortlichen oder an den Kontakt in Abschnitt 1 gerichtet werden; REMA unterstützt den Kunden bei der Bearbeitung nach Maßgabe des Auftragsverarbeitungsvertrags.
Das Modul zeigt betriebswirtschaftliche Orientierungswerte und editierbare Hinweise. Es erbringt keine individuelle Steuer-, Rechts- oder Anlageberatung und keine Buchführungs-, Steuererklärungs-, UStVA-, Jahresabschluss- oder GoBD-Archivierungsleistung.
15. Support, Administration und Sicherheitsprotokolle
Zur Verwaltung, Sicherheit und Fehlerbehebung der REMA Cloud können administrative Protokolle verarbeitet werden.
Dazu gehören insbesondere:
- administrative Aktionen
- Zeitpunkt der Aktion
- betroffener Kunde oder betroffene Organisation
- technische Zielobjekte
- alte und neue Werte bei Änderungen
- Fehler- und Statusinformationen
- Supportnotizen
- temporäre Support- oder Mimic-Sitzungen, sofern verwendet
- Begründung administrativer Zugriffe
Diese Verarbeitung dient der Nachvollziehbarkeit, Sicherheit, Missbrauchsprävention, Qualitätssicherung und Unterstützung bei Supportfällen.
Ein administrativer Supportzugriff auf eine Kundenorganisation setzt eine aktivierte Remote-Support-Freigabe voraus. Eine Mimic-Sitzung wird bei Ablauf oder Widerruf der Freigabe beendet und ist technisch auf höchstens eine Stunde begrenzt. Supportzugriffe, Zweck, handelnde Person und Zielorganisation werden protokolliert. Fachliche Kundeninhalte verarbeitet REMA dabei nach Weisung; eigene minimierte Sicherheits- und Zugriffsnachweise verarbeitet REMA auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und nachvollziehbaren Betrieb der Plattform.
16. Empfänger personenbezogener Daten
Personenbezogene Daten können insbesondere an folgende Kategorien von Empfängern übermittelt werden:
- das jeweils ausgewählte Restaurant bei Online-Reservierungen
- berechtigte Nutzer innerhalb einer Organisation
- technische Hosting- und Infrastrukturdienstleister
- Datenbank- und Backenddienstleister
- Authentifizierungsdienstleister
- E-Mail-Versanddienstleister
- Datei- und Medienbereitstellungsdienste
- Adress- und Wetterdatendienste, wenn die jeweilige Funktion genutzt wird
- vom Kunden aktivierte Bestellplattformen
- Zahlungsdienstleister und beteiligte Zahlungsparteien beim REMA-Checkout
- Support- und Wartungsdienstleister
- Steuerberater, Behörden oder sonstige Stellen, soweit gesetzlich erforderlich
Eine Weitergabe erfolgt nur für den jeweils bezeichneten Zweck und auf einer hierfür einschlägigen Rechtsgrundlage oder Weisung. Innerhalb einer Kundenorganisation erhalten nur entsprechend berechtigte Personen Zugriff. Vom Kunden bestimmte Empfänger werden von Empfängern eigener REMA-Verarbeitungen getrennt; die technischen Dienste und ihre Funktionszuordnung sind in Abschnitt 5 beschrieben.
17. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie sie für die jeweiligen Zwecke erforderlich sind oder gesetzliche Aufbewahrungspflichten bestehen.
Grundsätzlich gelten folgende Kriterien:
- Technische Logdaten werden nur so lange gespeichert, wie sie für den jeweiligen Betriebs-, Sicherheits- oder Fehleranalysezweck erforderlich sind.
- Konto- und Organisationsdaten werden während ihrer aktiven Nutzung gespeichert. Die Schließung eines persönlichen Kontos, das Ende einer Organisationsmitgliedschaft und das Ende eines Organisationsvertrags sind unterschiedliche Vorgänge und bewirken nicht automatisch die Löschung aller Vertrags-, Abrechnungs-, fachlichen oder Sicherheitsbestände.
- Abrechnungs- und steuerrelevante Daten werden entsprechend gesetzlicher Aufbewahrungspflichten gespeichert.
- Reservierungsdaten werden so lange gespeichert, wie sie für Reservierungsverwaltung, Nachweis, Support und berechtigte Interessen des Restaurants erforderlich sind.
- Angaben zu Allergien oder Unverträglichkeiten werden zweckbezogen für die konkrete Reservierung oder eine gesondert gewünschte Gastprofilfunktion verarbeitet. Widerruf und Löschanfragen werden nach den Rollen in Abschnitt 2 an das verantwortliche Restaurant geroutet und von REMA als Auftragsverarbeiter unterstützt.
- Für Quelldateien, Importentwürfe und Rohzeilen aus „Ausgaben & Kosten“ gilt die in Abschnitt 14 genannte Bereinigung nach sieben Tagen. Die dort ebenfalls beschriebenen übernommenen Bewegungen und Importhistorien unterliegen davon getrennten Speicher- und Löschvorgängen.
- E-Mail-Delivery-Logs werden so lange gespeichert, wie sie für Zustellnachweis, Fehleranalyse und Missbrauchsprävention erforderlich sind.
- Admin- und Sicherheitsprotokolle werden so lange gespeichert, wie sie für Sicherheit, Nachvollziehbarkeit und Missbrauchsprävention erforderlich sind.
Soweit Daten nicht mehr erforderlich sind, werden sie gelöscht, anonymisiert oder gesperrt, sofern gesetzliche Pflichten einer Löschung entgegenstehen.
18. Pflicht zur Bereitstellung von Daten
Die Bereitstellung bestimmter Daten ist erforderlich, um REMA Cloud, ein Benutzerkonto, eine Reservierung oder vertragliche Leistungen nutzen zu können.
Bei Reservierungen zeigt die Eingabemaske die für den konkreten Vorgang erforderlichen Angaben an. Anlass, Notizen, Allergien oder Unverträglichkeiten sind freiwillig; die Nichtangabe von Gesundheitsdaten verhindert die Reservierung nicht. Im Modul „Ausgaben & Kosten“ sind nur die in Abschnitt 14 für die jeweils gewählte Teilfunktion bezeichneten Kernfelder erforderlich.
Ohne erforderliche Angaben können bestimmte Funktionen nicht genutzt werden.
19. Regelbasierte Automationen und automatisierte Entscheidungen
Nach dem aktuellen Funktionsstand trifft REMA in den hier beschriebenen Funktionen keine ausschließlich automatisierte Entscheidung, die gegenüber einer natürlichen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.
Reservierungsbestätigungen oder Verfügbarkeitsprüfungen können anhand der vom Restaurant festgelegten Betriebsart, Öffnungszeiten, Tischkapazität, Gästeanzahl und vorhandenen Reservierungen regelbasiert erfolgen. „Ausgaben & Kosten“ verwendet kundenseitig angelegte Regeln und frühere manuelle Zuordnungen für editierbare Vorschläge und Erinnerungen. Mehrdeutige Vorgänge bleiben zur Prüfung offen. Diese Automationen verwenden in den beschriebenen Funktionen keine generative KI und entscheiden nicht verbindlich über eine natürliche Person.
20. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der DSGVO insbesondere folgende Rechte:
- Recht auf Auskunft über verarbeitete personenbezogene Daten
- Recht auf Berichtigung unrichtiger oder unvollständiger Daten
- Recht auf Löschung personenbezogener Daten
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Recht auf Widerspruch gegen bestimmte Verarbeitungen
- Recht auf Widerruf einer Einwilligung mit Wirkung für die Zukunft
- Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde
Zur Ausübung der Rechte genügt eine Nachricht an:
- lucas@remakassen.com
Bei Reservierungs-, Bestell-, Gastprofil-, Beschäftigten-, Kassen-, Journal- oder Ausgabendaten ist grundsätzlich der jeweilige Kunde oder das jeweils angezeigte Restaurant Verantwortlicher und kann unmittelbar kontaktiert werden. Wird eine Anfrage an REMA gerichtet, ordnen wir sie nach der in Abschnitt 2 beschriebenen Rolle zu und unterstützen den Verantwortlichen. Für REMAs eigene Konto-, Vertrags-, Abrechnungs- und Sicherheitsverarbeitungen ist REMA selbst zuständig.
21. Beschwerderecht bei der Aufsichtsbehörde
Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.
Für Sachsen-Anhalt ist zuständig:
Landesbeauftragte für den Datenschutz Sachsen-Anhalt
Otto-von-Guericke-Straße 34a
39104 Magdeburg
Deutschland
- Telefon
- 0391 81803-0
22. Zahlungsabwicklung über Stripe
Für die Bestellung und Abrechnung eigener REMA-Produkte nutzen wir Stripe. Dies umfasst je nach Bestellung Checkout, einmalige Zahlungen, wiederkehrende Abonnements, Hinterlegung und Verwaltung von Zahlungsmethoden, Rechnungen, Erstattungen sowie Zahlungs- und Vertragsstatus. Dieser Abschnitt betrifft weder REMA PAY noch das Modul „Ausgaben & Kosten“. Welche Stripe-Gesellschaften für einen Vorgang als Auftragsverarbeiter, eigener oder gemeinsam Verantwortlicher beteiligt sind, richtet sich nach dem produktiven REMA-Stripe-Konto, dem gewählten Stripe-Produkt und der Zahlungsmethode.
Dabei werden insbesondere Name, E-Mail-Adresse, Rechnungsanschrift, Organisations- und Bestellbezug, Währung, Betrag, Steuerinformationen, Zahlungsstatus sowie die für das gewählte Zahlungsmittel erforderlichen Daten verarbeitet. Vollständige Karten- oder Bankdaten werden im eingebetteten Stripe Payment Element unmittelbar von Stripe erhoben und nicht in REMA Cloud gespeichert.
Wenn die betroffene Person selbst Vertragspartner ist, erfolgt die objektiv erforderliche Verarbeitung zur Vertragsanbahnung und -erfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Geschäftliche Ansprechpartner eines Unternehmenskunden verarbeitet REMA nach Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Durchführung und Dokumentation des Organisationsvertrags. Konkret aufbewahrungspflichtige Rechnungs- und Steuerdaten werden nach Art. 6 Abs. 1 lit. c DSGVO verarbeitet. REMA und Stripe verarbeiten erforderliche Sicherheits- und Betrugspräventionsdaten je nach eigener Rolle und Zuständigkeit.
Stripe und beteiligte Zahlungsparteien können Daten außerhalb von EU und EWR verarbeiten. Für die konkret einschlägige Stripe-Gesellschaft gelten die in ihren aktuellen Datenschutz- und Datenübertragungsunterlagen bezeichneten Transfermechanismen. Weitere Informationen:
23. Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung anpassen, wenn sich REMA Cloud, eingesetzte Dienstleister, gesetzliche Anforderungen oder Verarbeitungsprozesse ändern. Die Veröffentlichung oder Kenntnisnahme einer neuen Datenschutzinformation ist weder eine Einwilligung noch eine Vertragsänderung. Soweit eine Verarbeitung eine Einwilligung erfordert, wird diese gesondert eingeholt.
Die jeweils aktuelle Fassung ist auf remakassen.com abrufbar.