Datenschutzerklärung

Der Schutz personenbezogener Daten ist uns wichtig. Nachfolgend informieren wir Sie darüber, welche personenbezogenen Daten wir bei der Nutzung des SIPSAQ Reservierungs-Dashboards verarbeiten, zu welchen Zwecken dies geschieht und welche Rechte Ihnen zustehen.

Diese Datenschutzerklärung gilt für das unter dieser Adresse erreichbare Reservierungs-Dashboard, also für die zugangsbeschränkte Anwendung, mit der die Mitarbeiterinnen und Mitarbeiter der angebundenen Restaurants ihre Reservierungen verwalten, sowie für die zugehörigen Anmeldeseiten.

Für unsere Website unter www.sipsaq.de sowie für die dort beschriebenen Buchungsseiten für Gäste gilt eine gesonderte Datenschutzerklärung, die unter https://www.sipsaq.de/datenschutz abrufbar ist. Wenn Sie als Gast einen Tisch reserviert haben und Auskunft über Ihre Reservierungsdaten wünschen, ist hierfür das von Ihnen gewählte Restaurant zuständig (siehe Ziffer 7).

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Eigene Verantwortlichkeit. Für den technischen Betrieb des Dashboards, die Verwaltung der Nutzerkonten und die Sicherheit der Anwendung sind wir Verantwortlicher. Dies betrifft die in den Ziffern 4 bis 6 beschriebenen Verarbeitungen.

Verarbeitung im Auftrag. Für die im Dashboard gespeicherten Reservierungs-, Gäste- und Feedbackdaten ist das jeweilige Restaurant Verantwortlicher. Wir verarbeiten diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter auf Grundlage eines Vertrags gemäß Art. 28 DSGVO. Dies betrifft die in Ziffer 7 beschriebenen Verarbeitungen.

Einen Datenschutzbeauftragten haben wir nicht bestellt; die gesetzlichen Bestellpflichten des Art. 37 DSGVO und des § 38 BDSG sind derzeit nicht erfüllt. Anfragen zum Datenschutz richten Sie bitte an die oben genannten Kontaktdaten.

Der Zugang zum Dashboard setzt ein persönliches Nutzerkonto voraus. Konten werden auf Veranlassung des jeweiligen Restaurants oder durch uns im Rahmen der Einrichtung angelegt; eine Selbstregistrierung durch Dritte ist nicht möglich. Zu einem Konto verarbeiten wir:

• Name
• E-Mail-Adresse (dient gleichzeitig als Anmeldename)
• Passwort — ausschließlich als kryptografischer Hash gespeichert, das Passwort selbst ist uns nicht bekannt
• Zuordnung zu einem oder mehreren Restaurants sowie die dortige Rolle (Inhaber, Manager, Mitarbeiter)
• Kennzeichnung als Administrator, sofern zutreffend
• Zeitpunkt der Anlage und der letzten Änderung des Kontos

Zweck und Rechtsgrundlage. Die Daten werden verarbeitet, um Ihnen den vertraglich vereinbarten Zugang bereitzustellen, Ihre Berechtigungen zu prüfen und unbefugte Zugriffe zu verhindern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zu unserem Vertragspartner sowie Art. 6 Abs. 1 lit. f DSGVO hinsichtlich unseres berechtigten Interesses an einem sicheren und nachvollziehbaren Zugang. Soweit die Daten Beschäftigte eines angebundenen Restaurants betreffen, handeln wir insoweit auf Weisung des Restaurants.

Anmeldung. Bei der Anmeldung werden die eingegebene E-Mail-Adresse und das Passwort an unseren Server übermittelt und dort gegen den gespeicherten Passwort-Hash geprüft. Nach erfolgreicher Anmeldung erhalten Sie ein zeitlich befristetes Zugangs-Token (siehe Ziffer 6).

Passwort zurücksetzen. Wenn Sie über die Funktion „Passwort vergessen“ einen neuen Link anfordern, verarbeiten wir die angegebene E-Mail-Adresse, um Ihnen einen einmalig verwendbaren Link zuzusenden. Von dem Link speichern wir nur einen Hash-Wert; der Link selbst ist ausschließlich in der versendeten E-Mail enthalten. Der Link verfällt nach einer Stunde sowie unmittelbar nach seiner Verwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Beim Aufruf des Dashboards werden automatisch Informationen durch den Browser Ihres Endgeräts an die Server unseres Hosting-Anbieters (siehe Ziffer 8) übermittelt und dort temporär in sogenannten Logfiles gespeichert:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Schnittstelle
• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer-URL

Diese Verarbeitung dient der technischen Bereitstellung, Stabilität und Sicherheit der Anwendung sowie der Aufklärung missbräuchlicher Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sicheren und funktionsfähigen Bereitstellung eines zugangsbeschränkten Dienstes.

Das Dashboard verwendet ausschließlich technisch notwendige Cookies. Cookies zu Analyse-, Werbe- oder Trackingzwecken setzen wir nicht ein; ein Cookie-Banner ist deshalb nicht erforderlich. Rechtsgrundlage für die nachfolgend genannten Cookies ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und lit. f DSGVO — ohne sie kann die Anwendung Ihre Anmeldung nicht aufrechterhalten.

• sipsaq-token — Ihr Zugangs-Token (JSON Web Token) nach erfolgreicher Anmeldung. Laufzeit maximal sieben Tage, danach ist eine erneute Anmeldung erforderlich.
• sipsaq-user — Ihre Kontodaten für die Anzeige in der Oberfläche und die Zugriffsprüfung: Name, E-Mail-Adresse, Administrator-Kennzeichnung und die Ihnen zugeordneten Restaurants.
• sipsaq-active-restaurant — das aktuell ausgewählte Restaurant, damit Ihre Auswahl beim Seitenwechsel erhalten bleibt.
• sipsaq-locale — die von Ihnen gewählte Anzeigesprache (Deutsch oder Englisch).

Alle genannten Cookies werden von unserer eigenen Domain gesetzt (First-Party-Cookies), mit SameSite=Lax und in der Produktivumgebung ausschließlich über eine verschlüsselte Verbindung übertragen. Eine Weitergabe an Dritte findet nicht statt. Sie können die Cookies jederzeit über die Einstellungen Ihres Browsers löschen — Sie werden dadurch abgemeldet. Mit der Abmeldung über die Anwendung werden die Anmelde-Cookies gelöscht.

Im lokalen Speicher (localStorage) oder im Sitzungsspeicher Ihres Browsers legen wir keine Daten ab.

Im Dashboard verwalten die angebundenen Restaurants ihre Reservierungen. Verarbeitet werden dabei insbesondere:

• Vor- und Nachname des Gastes
• Telefonnummer und E-Mail-Adresse, sofern angegeben
• Datum, Uhrzeit, Personenzahl, Tischzuordnung und Status der Reservierung
• Hinweise des Gastes sowie interne Notizen des Restaurants
• Angaben zu Allergien und Ernährungsvorlieben, sofern mitgeteilt
• Rückmeldungen des Gastes nach dem Besuch, sofern abgegeben
• Einordnung als Stammgast, soweit vom Restaurant vorgenommen

Verantwortlichkeit. Für diese Daten ist das jeweilige Restaurant Verantwortlicher. Wir stellen lediglich die technische Plattform bereit und verarbeiten die Daten weisungsgebunden auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Zugriff haben ausschließlich die Nutzerkonten des jeweiligen Restaurants sowie, im erforderlichen Umfang für Wartung und Fehlerbehebung, ausgewählte Administratoren auf unserer Seite.

Angaben zu Allergien. Angaben zu Unverträglichkeiten oder Allergien können Gesundheitsdaten im Sinne des Art. 9 DSGVO darstellen. Sie werden ausschließlich verarbeitet, soweit ein Gast sie freiwillig mitgeteilt hat, und allein zu dem Zweck, den Besuch vorzubereiten. Die Rechtsgrundlage hierfür bestimmt das jeweilige Restaurant als Verantwortlicher; regelmäßig ist dies die Einwilligung des Gastes gemäß Art. 9 Abs. 2 lit. a DSGVO.

Betroffenenrechte von Gästen. Möchten Sie als Gast Auskunft, Berichtigung oder Löschung Ihrer Reservierungsdaten verlangen, wenden Sie sich bitte an das Restaurant, bei dem Sie reserviert haben. Erreicht uns eine solche Anfrage direkt, leiten wir sie an das Restaurant weiter und unterstützen es bei der Beantwortung; eigenständig dürfen wir weisungsgebundene Daten nicht herausgeben oder löschen.

Speicherdauer. Über die Speicherdauer entscheidet das jeweilige Restaurant. Nach Beendigung des Vertragsverhältnisses mit uns werden die Daten des Restaurants nach dessen Weisung gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Das Dashboard und die zugehörige Schnittstelle werden bei folgendem Anbieter gehostet:

Der Anbieter verarbeitet in unserem Auftrag personenbezogene Daten, die beim Betrieb der Anwendung anfallen — insbesondere die unter Ziffer 5 genannten Server-Logfiles sowie die in der Datenbank gespeicherten Inhalte. Mit dem Anbieter wurde ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Der Anbieter hat seinen Sitz in Deutschland und die eingesetzten Server stehen in der Europäischen Union; eine Übermittlung personenbezogener Daten in ein Drittland findet hierdurch nicht statt.

Bilddateien — etwa das Logo eines Restaurants — werden über einen von uns selbst betriebenen Mediendienst ausgeliefert. Ein externer Bild- oder Content-Delivery-Dienstleister wird hierfür nicht eingesetzt. Sämtliche Schriftarten und Skripte der Anwendung werden von unserem eigenen Auslieferungsserver bereitgestellt; ein Aufruf von Google Fonts oder vergleichbaren Diensten Dritter findet nicht statt.

Analyse-, Tracking- oder Marketingdienste setzen wir im Dashboard nicht ein. Eine Verarbeitung Ihrer Daten zu Werbezwecken findet nicht statt.

Wir geben personenbezogene Daten nur weiter, soweit dies zur Erbringung unserer Leistungen erforderlich ist oder eine gesetzliche Verpflichtung besteht. Empfänger bzw. Kategorien von Empfängern sind:

• unser Hosting-Anbieter für den Betrieb der Anwendung und der Datenbank (Ziffer 8)
• das jeweilige Restaurant, dem die im Dashboard verwalteten Daten zugeordnet sind (Ziffer 7)
• soweit für den Versand von E-Mails — etwa eines Links zum Zurücksetzen des Passworts — ein Zustelldienstleister eingesetzt wird, ist dieser als Auftragsverarbeiter gemäß Art. 28 DSGVO an unsere Weisungen gebunden

Alle für uns tätigen Dienstleister sind an unsere Weisungen gebunden. Ein Verkauf Ihrer Daten findet nicht statt. Eine Übermittlung in ein Drittland außerhalb der EU bzw. des EWR erfolgt nicht.

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

• Server-Logfiles nach Ziffer 5: Löschung oder Anonymisierung nach spätestens 30 Tagen
• Nutzerkonten nach Ziffer 4: Löschung, sobald der Zugang nicht mehr benötigt wird — spätestens nach Beendigung des Vertragsverhältnisses mit dem jeweiligen Restaurant
• Links zum Zurücksetzen des Passworts: Verfall nach einer Stunde oder nach Verwendung
• Anmelde-Cookies: Ablauf nach spätestens sieben Tagen oder mit der Abmeldung
• Reservierungs- und Gästedaten nach Ziffer 7: nach Weisung des jeweiligen Restaurants

Die Übertragung zwischen Ihrem Browser, dem Dashboard und unserer Schnittstelle erfolgt in der Produktivumgebung ausschließlich verschlüsselt (TLS). Passwörter werden nur als kryptografischer Hash gespeichert. Der Zugriff auf Daten ist an das angemeldete Nutzerkonto und die dort hinterlegte Rolle gebunden, sodass ein Konto nur die Daten der ihm zugeordneten Restaurants einsehen kann. Zugangs-Token sind zeitlich befristet.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Anwendung unterbreitet dem Personal lediglich Vorschläge — etwa zur Tischbelegung —; die Entscheidung trifft stets das Restaurant.

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an die unter Ziffer 3 genannten Kontaktdaten. Betreffen Ihre Rechte Daten, die wir im Auftrag eines Restaurants verarbeiten, wenden Sie sich bitte an dieses Restaurant (siehe Ziffer 7).

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO).

Legen Sie Widerspruch ein, werden wir Ihre personenbezogenen Daten nicht mehr verarbeiten, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Einen Widerspruch können Sie formlos an die unter Ziffer 3 genannten Kontaktdaten richten.

Sie haben das Recht, sich gemäß Art. 77 DSGVO bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen das Datenschutzrecht verstößt. Zuständig ist unter anderem die Aufsichtsbehörde des Bundeslandes unseres Sitzes, Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Diese Datenschutzerklärung hat den Stand September 2026.