Datenschutzerklärung

1. Wer für Ihre Daten verantwortlich ist

KuKA wird betrieben von [LEGAL ENTITY NAME], Steuernummer (NIPC) [NIPC], mit eingetragenem Sitz in [REGISTERED ADDRESS], Portugal („KuKA“, „wir“, „uns“).

Kontakt für alle Datenschutzangelegenheiten: support@getkuka.com. Datenschutzbeauftragter: [DPO CONTACT - IF APPOINTED].

Unsere Rolle hängt von der jeweiligen Situation ab:

• Verantwortlicher für Daten über Besucher unserer Websites, Personen, die die Demo anfordern, Geschäftskunden und deren Administratoren, Abrechnungs- und Rechnungsdaten, Sicherheits- und Betriebsprotokolle sowie Statistiken der Landingpage.
• Auftragsverarbeiter für Daten, die ein Restaurant oder Franchise (unser Geschäftskunde) über seine Gäste, Bestellungen und sein Personal in KuKA eingibt oder über KuKA erzeugt. In diesem Fall ist das Restaurant der Verantwortliche, und wir handeln nach dessen dokumentierten Weisungen, wie in den Bestimmungen zur Auftragsverarbeitung in Abschnitt 10 der Nutzungsbedingungen für Partner festgelegt.

Wenn Sie Gast sind und eine Frage zu Ihrer Bestellung oder Ihrer Rechnung haben, wenden Sie sich bitte zuerst an das Restaurant.

2. Geltungsbereich dieser Erklärung

Diese Erklärung gilt für die KuKA-Websites (getkuka.com, www.getkuka.com) und die KuKA-Anwendung (app.getkuka.com), einschließlich der Registrierungs- und Demoseiten, des Backoffice, der Personalansichten und der Gästeseiten, die über einen QR-Code am Tisch geöffnet werden. KuKA ist auf Englisch, europäischem Portugiesisch, brasilianischem Portugiesisch, Französisch, Spanisch, Niederländisch, Deutsch, Italienisch, vereinfachtem Chinesisch und Japanisch verfügbar. Die Fassungen sollen dieselbe Bedeutung haben.

Sie gilt nicht für Websites oder Dienste Dritter, auf die wir verlinken oder die Sie über KuKA erreichen, wie etwa Stripe Checkout. Dort gelten deren eigene Richtlinien.

3. Welche Daten wir erheben

Besucher unserer Websites

• Technische Daten, die Ihr Browser beim Laden einer Seite übermittelt: IP-Adresse, Browser- und Gerätetyp (User-Agent), aufgerufene Adresse, Datum und Uhrzeit. Unsere Server und Netzwerkkomponenten erfassen diese in Betriebsprotokollen.
• Statistiken der Landingpage: eine zufällige Besucherkennung (in einem Cookie gespeichert), die Ihnen angezeigte Testvariante (A oder B), der Seitenpfad, die verweisende Website, Kampagnen-Tags (utm_source, utm_medium, utm_campaign), Klicks auf unsere wichtigsten Call-to-Action-Buttons sowie die Angabe, ob eine Demo-Anfrage gesendet oder eine Demo erstellt wurde. Anfragen, die sich als Bots oder Link-Vorschauen zu erkennen geben, werden nicht als Besuche erfasst.
• Ihre Spracheinstellung und eine ungefähre Länderangabe, die von unserem Netzwerk-Edge bereitgestellt wird (Header CF-IPCountry) und ausschließlich zur Auswahl einer Standardsprache dient.

Personen, die eine Demo anfordern

• Vollständiger Name, E-Mail-Adresse, Name des Lokals und ein Passwort (ausschließlich als Hash gespeichert).
• Datum und Version der von Ihnen akzeptierten Partnerbedingungen sowie Ihr optionales Häkchen „Ich möchte über die Entwicklung von KuKA auf dem Laufenden bleiben“.
• Daten zur Demo selbst: wann sie erstellt wurde und abläuft, ihr Status, Ereignisse der Beispieldaten und Ihr Fortschritt in der geführten Produkttour.

Geschäftskunden und deren Administratoren

• Kontodaten: Name, E-Mail-Adresse, Passwort-Hash, Zeitzone, Rolle und Zugriff auf Franchises und Restaurants, Kontostatus, Datum der Annahme der Partnerbedingungen und Status der E-Mail-Bestätigung.
• Geschäftsdaten: Namen von Franchises und Restaurants, Speisekarten, Preise, Bilder, Tische, Schichten und Einstellungen, die Sie eingeben. Bei der Registrierung kann optional eine portugiesische Steuernummer (NIF) angegeben werden.
• Abrechnungsdaten: Stripe-Kunden- und Abonnementreferenzen, Abonnementstatus und -daten, Rechnungsname, Adresse, Steueridentifikationsnummer und E-Mail-Adresse, wie in Stripe Checkout eingegeben, Rechnungsnummer, Beträge, Mehrwertsteuerpositionen sowie der Status der Ausstellung und Zustellung von Steuerrechnungen.
• Kommunikation: transaktionale E-Mails (siehe Abschnitt 6) und Nachrichten, die Sie an den Support senden.

Restaurantpersonal

• Kontodaten, die von Ihrem Arbeitgeber oder Franchise-Administrator angelegt werden: Name, E-Mail-Adresse, Passwort-Hash, Rolle und die Restaurants, auf die Sie zugreifen können.
• Betriebsaufzeichnungen: Aktionen, die Sie in der App durchführen und die Ihrem Benutzer zugeordnet werden, zum Beispiel wer die Rechnung eines Tisches geschlossen hat.
• Sicherheitsaufzeichnungen: ein Zugriffs-Audit-Log administrativer Ereignisse (etwa gewährter oder entzogener Zugriff, Erstellung eines SuperAdmins, Wiederherstellungstoken und das Öffnen der Observability-Konsole), einschließlich der IDs und E-Mail-Adressen des handelnden und des betroffenen Benutzers, des betreffenden Franchise oder Restaurants und des Zeitpunkts.

Gäste am Tisch

• KuKA fragt weder Namen, E-Mail-Adresse, Telefonnummer noch Zahlungskartendaten ab.
• Eine zufällige Gästekennung (Cookie), der Tisch, an dem Sie eingecheckt haben, und der Zeitpunkt, die Artikel in Ihrem Warenkorb, Ihre Bestellungen (Artikel, Mengen, Status, Zeitpunkt, bezahlt oder unbezahlt) und die daraus resultierende Rechnung sowie die geltende Speisekarte bzw. Festpreisoption.
• Browser- und Netzwerkdaten wie unter „Besucher“ beschrieben.

4. Wofür wir Daten verwenden und auf welcher Rechtsgrundlage

Soweit wir uns auf berechtigte Interessen stützen, haben wir diese gegen Ihre Rechte abgewogen. Sie können widersprechen (siehe Abschnitt 11).

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen über Sie, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Der A/B-Test ändert lediglich, welche Version unserer Landingpage Sie sehen.

5. Woher die Daten stammen

• Von Ihnen, wenn Sie ein Formular ausfüllen, die App nutzen oder uns kontaktieren.
• Von Ihrem Arbeitgeber oder Franchise-Administrator, der Personalkonten anlegt oder dazu einlädt.
• Automatisch von Ihrem Gerät und Browser, über Cookies und Serveranfragen.
• Von Stripe, das uns über den Status eines Abonnements, über Zahlungen und über die beim Bezahlvorgang eingegebenen Rechnungsdaten informiert.
• Vom Restaurant, für Betriebsdaten wie Speisekarten, Preise und Tischeinrichtung, die sich auf Gäste beziehen.

6. Wer Daten erhält

Wir verkaufen keine personenbezogenen Daten. Wir geben sie nur soweit erforderlich an die folgenden Empfänger weiter.

Unsere eigenen Plattformadministratoren (SuperAdmins) können zur Bereitstellung von Support und Sicherheit auf die Plattform zugreifen. Dieser Zugriff ist rollenbasiert beschränkt, und administrative Aktionen werden protokolliert.

7. Internationale Datenübermittlungen

Einige der oben genannten Empfänger, namentlich Stripe, Resend, Google und Cloudflare, haben ihren Sitz in den Vereinigten Staaten oder können dort ansässig sein oder von dort auf Daten zugreifen. Wenn personenbezogene Daten den Europäischen Wirtschaftsraum verlassen, stützen wir uns auf einen Angemessenheitsbeschluss der Europäischen Kommission (zum Beispiel das EU-US Data Privacy Framework für zertifizierte Empfänger) oder auf die von der Kommission erlassenen Standardvertragsklauseln, bei Bedarf zusammen mit ergänzenden Maßnahmen. Unser Hosting-Standort ist in Abschnitt 6 angegeben.

Sie können eine Kopie der geltenden Garantien anfordern, indem Sie uns schreiben (Abschnitt 14).

8. Wie lange wir Daten speichern

Wir speichern personenbezogene Daten nur so lange, wie es für den Zweck, zu dem sie erhoben wurden, erforderlich ist. Die Fristen, die wir genau angeben können, stehen unten. Für die übrigen nennen wir die Kriterien, die wir anwenden.

Nach Ablauf der Speicherdauer werden die Daten gelöscht oder unumkehrbar anonymisiert. Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, können bis zur Erledigung des Anspruchs aufbewahrt werden.

9. Wie wir Daten schützen

Wir treffen technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Zu den heute im Produkt vorhandenen Maßnahmen gehören:

• Verschlüsselte Übertragung: Die Produktivumgebung wird über HTTPS ausgeliefert und sendet einen HTTP-Strict-Transport-Security-Header.
• Passwörter werden mit dem Passwort-Hasher von ASP.NET Core Identity gehasht und niemals im Klartext gespeichert oder zurückgesendet. Demo-Anmeldetoken werden ausschließlich als Hashes gespeichert. Links zum Zurücksetzen des Passworts laufen nach 1 Stunde ab.
• Das Anmelde-Cookie ist HttpOnly und SameSite=Lax. Formulare sind mit Anti-Forgery-Token gegen Cross-Site-Request-Forgery geschützt.
• Die Schlüssel zum Schutz von Cookies und Token (ASP.NET Core Data Protection) werden getrennt von der Datenbank auf dem Server gespeichert.
• Der Zugriff ist rollenbasiert und auf die Franchises und Restaurants beschränkt, für die ein Benutzer freigeschaltet wurde. Änderungen administrativer Zugriffe werden in ein Audit-Log geschrieben.
• Unsere Tracing-Konfiguration entfernt Datenbankanweisungen aus den Trace-Daten. Die Monitoring-Konsole steht nur authentifizierten Plattformadministratoren zur Verfügung.
• Kartendaten werden auf den von Stripe gehosteten Seiten eingegeben, nicht bei KuKA.

Kein System ist vollkommen sicher. Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für Ihre Rechte darstellt, melden wir dies der CNPD innerhalb von 72 Stunden, nachdem uns die Verletzung bekannt wurde, und benachrichtigen betroffene Personen, soweit das Gesetz dies vorschreibt (Art. 33 und 34 DSGVO).

10. Cookies und ähnliche Technologien

Cookies sind kleine Dateien, die in Ihrem Browser gespeichert werden. Wir verwenden Cookies und Browserspeicher nur wie unten aufgeführt. Wir verwenden keine Werbe-Cookies und keine Tracking-Cookies von Drittanbietern.

Cookies

Browserspeicher

Ressourcen von Drittanbietern

Unsere Seiten laden Schriftarten und Icon-Stile von Google Fonts und jsDelivr sowie das SignalR-Skript von cdnjs. Diese Anbieter erhalten Ihre IP-Adresse und Ihren User-Agent, wenn Ihr Browser die Dateien anfordert. Wir nutzen sie nicht für Werbung oder Tracking.

Ihre Wahlmöglichkeiten

Unbedingt erforderliche Cookies können nicht deaktiviert werden, ohne den Dienst zu beeinträchtigen. Sie können Cookies in Ihren Browsereinstellungen blockieren oder löschen; in diesem Fall werden die beiden nicht notwendigen Cookies nicht für Statistiken verwendet, und die App fordert Sie möglicherweise erneut zur Anmeldung auf oder Ihr Warenkorb geht verloren. Die oben aufgeführten nicht notwendigen Cookies beschränken sich auf anonyme First-Party-Statistiken und A/B-Tests.

11. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

• Auskunft über die personenbezogenen Daten, die wir über Sie speichern, und Erhalt einer Kopie.
• Berichtigung unrichtiger oder unvollständiger Daten.
• Löschung („Recht auf Vergessenwerden“), wenn kein Grund mehr für die Aufbewahrung der Daten besteht.
• Einschränkung der Verarbeitung in bestimmten Fällen.
• Datenübertragbarkeit: Erhalt der Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format, sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und mithilfe automatisierter Verfahren erfolgt.
• Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben.
• Widerruf Ihrer Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird (zum Beispiel beim optionalen Kästchen für Neuigkeiten).
• Nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Wir treffen keine solchen Entscheidungen.

Um ein Recht auszuüben, schreiben Sie an support@getkuka.com. Wir können Sie bitten, Ihre Identität zu bestätigen. Wir antworten innerhalb eines Monats; in komplexen Fällen kann sich die Frist um bis zu zwei weitere Monate verlängern, und wir teilen Ihnen die Gründe mit. Die Ausübung Ihrer Rechte ist kostenlos, es sei denn, ein Antrag ist offenkundig unbegründet oder exzessiv.

Wenn Sie Gast oder Mitarbeiter sind, kann Ihr Antrag zu Daten, die wir für ein Restaurant verarbeiten, an dieses Restaurant weitergeleitet werden, das der Verantwortliche ist.

Beschwerden. Sie haben das Recht, Beschwerde bei der Aufsichtsbehörde einzulegen: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal, www.cnpd.pt. Sie können sich auch an die Behörde des EU-Landes wenden, in dem Sie wohnen oder arbeiten. Wenn Sie sich in Brasilien befinden, können zudem Rechte nach dem Gesetz Nr. 13.709/2018 (LGPD) gelten, die Sie über denselben Kontakt ausüben können.

12. Kinder

KuKA ist ein Werkzeug für Unternehmen und richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Gäste werden nicht nach ihrem Alter oder ihrer Identität gefragt; sitzt eine minderjährige Person am Tisch, ist das Restaurant dafür verantwortlich, wer die Bestellung aufgibt. Wenn Sie glauben, dass uns ein Kind Daten übermittelt hat, kontaktieren Sie uns, und wir löschen sie.

13. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, um Änderungen am Produkt, bei unseren Dienstleistern oder der Rechtslage Rechnung zu tragen. Versionsnummer und Datum stehen oben auf dieser Seite. Bei wesentlichen Änderungen weisen wir vor deren Inkrafttreten deutlich im Produkt oder auf unserer Website darauf hin. Frühere Versionen sind auf Anfrage erhältlich.

14. Kontakt

[LEGAL ENTITY NAME], [REGISTERED ADDRESS], Portugal. NIPC [NIPC].

E-Mail: support@getkuka.com. Datenschutzbeauftragter: [DPO CONTACT - IF APPOINTED].

Zugehörige Dokumente: Nutzungsbedingungen für Partner, Nutzungsbedingungen für Gäste.