Datenschutzerklärung

[Name bzw. Firma inkl. Rechtsform]
[Straße und Hausnummer]
[PLZ Ort]

Vertreten durch: [Vertretungsberechtigte Person, z. B. Geschäftsführer*in – bei Einzelunternehmen leer lassen]

Telefon: [Telefonnummer]
E-Mail: [E-Mail-Adresse]

Diese Erklärung gilt für die Nutzung der Plattform Maestoso durch Gastronomiebetriebe und ihr Personal (Anmeldung, Dashboard, Verwaltung). Alles, was ein Betrieb über seine Gäste oder Mitarbeitenden in Maestoso erfasst, verarbeiten wir als Auftragsverarbeiter für diesen Betrieb (Art. 28 DSGVO). Verantwortlich ist dafür der jeweilige Betrieb; seine Datenschutzerklärung ist auf seinen Gästeseiten verlinkt.

Für den Betrieb der Plattform setzen wir folgende Dienstleister als Auftragsverarbeiter ein:

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA (vor Livegang mit dem Vercel-DPA abgleichen) – Hosting und Auslieferung der Webseiten. USA – Übermittlung auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) bzw. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Supabase Inc., [Anschrift laut Supabase-DPA eintragen] – Datenbank und Dateispeicher (Serverstandort: [Region eintragen, z. B. EU – Frankfurt]). Zugriff aus Drittländern im Rahmen von Wartung und Support möglich – abgesichert durch Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Resend (Plus Five Five, Inc.), [Anschrift laut Resend-DPA eintragen] – Versand von E-Mails (Bestätigungen, Benachrichtigungen, Bewertungsanfragen). USA – Übermittlung auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Für persönliche Konten verarbeiten wir E-Mail-Adresse, Name und Passwort; das Passwort speichern wir nur als kryptografischen Hash, nie im Klartext. Für die Zwei-Faktor-Anmeldung speichern wir ein verschlüsseltes Geheimnis für deine Authenticator-App und Wiederherstellungscodes als Hash. Für Einladungen und „Passwort vergessen“ schicken wir dir E-Mails mit einmal gültigen Links. Mitarbeitende melden sich an den Geräten des Betriebs mit einer PIN an, die ebenfalls nur als Hash gespeichert wird.

Zum Schutz vor dem Durchprobieren von Passwörtern, Codes und PINs zählen wir Fehlversuche und sperren nach zu vielen Versuchen vorübergehend. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Wir setzen ausschließlich Cookies, die für die von dir gewünschten Funktionen nötig sind:

• Sitzungs-Cookies, die dich nach der Anmeldung angemeldet halten (Verwaltungskonto bzw. Mitarbeiter*in),
• ein kurzlebiges Cookie (10 Minuten) für den Schritt zwischen Passwort und Zwei-Faktor-Code,
• ein Geräte-Cookie, wenn ein Betrieb ein Tresen-Gerät freigibt oder ein Handy koppelt – es enthält nur eine zufällige Geräte-Kennung und gilt bis zu 400 Tage oder bis das Gerät entzogen wird,
• ein Cookie, der sich deine Wahl zwischen hellem und dunklem Design merkt.

Diese Cookies sind unbedingt erforderlich und brauchen deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse- oder Werbe-Cookies gibt es nicht. Schriftarten werden von unserem eigenen Server geladen, nicht von Google.

Sitzungs-Cookies laufen nach Ablauf der Sitzung bzw. beim Abmelden ab, der Design-Cookie nach einem Jahr, das Geräte-Cookie nach spätestens 400 Tagen. Konto- und Vertragsdaten löschen wir nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten (bis zu zehn Jahre, § 147 AO, § 257 HGB) entgegenstehen.

Du hast gegenüber dem Verantwortlichen jederzeit das Recht auf

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit eine Verarbeitung auf berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) beruht, kannst du ihr aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Der Verwendung deiner Daten für Werbung – dazu zählen auch Bewertungsanfragen – kannst du jederzeit ohne Angabe von Gründen widersprechen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Bundesland deines Wohnorts oder des Sitzes des Verantwortlichen (Art. 77 DSGVO).