DSGVO-Checkliste für Online-Bestellungen in der Gastronomie

Sobald du Online-Bestellungen annimmst, verarbeitest du personenbezogene Daten: Name, Liefer- und Rechnungsadresse, Telefonnummer, E-Mail, Bestellhistorie, Zahlungsdaten. Die DSGVO verlangt dafür klare Regeln — und bei Verstößen drohen Bußgelder bis zu 4 % des Jahresumsatzes. Diese Checkliste zeigt dir, was du wirklich brauchst.

Die 7 Pflichtbausteine

1. 1Datenschutzerklärung auf der Bestell-Seite
2. 2Rechtmäßigkeitsgrundlage für jede Verarbeitung (meistens Vertragserfüllung)
3. 3Auftragsverarbeitungsvertrag (AV-Vertrag) mit dem Bestellsystem-Anbieter
4. 4Einwilligung für Marketing-Mails (separat von der Bestellung)
5. 5Cookie-Banner nach TTDSG (für nicht-essenzielle Cookies)
6. 6Auskunfts-/Löschrecht: Prozess für Kundenanfragen
7. 7Dokumentation im Verarbeitungsverzeichnis (Art. 30 DSGVO)

1. Datenschutzerklärung — was rein muss

Die Datenschutzerklärung muss für Gäste ohne Klick-Aufwand erreichbar sein — typisch als Footer-Link „Datenschutz" auf jeder Seite. Inhaltlich sind diese Blöcke verpflichtend:

• Wer bist du (Verantwortlicher nach Art. 4 Abs. 7) — Name, Anschrift, E-Mail, Telefon des Betriebs
• Welche Daten erhebst du (Name, Adresse, Zahlung, Cookies …) und wozu
• Rechtsgrundlage je Datenverarbeitung (in der Regel Art. 6 Abs. 1 lit. b — Vertragserfüllung)
• Speicherdauer (z. B. 10 Jahre für steuerliche Buchungen, 3 Jahre für Bestelldaten)
• Rechte der Betroffenen (Auskunft, Löschung, Berichtigung, Widerspruch)
• Beschwerderecht bei der Aufsichtsbehörde
• Ggf. Drittlandübermittlung (z. B. wenn Stripe-Daten in die USA fließen)

2. AV-Vertrag mit dem Bestellsystem-Anbieter

Sobald du ein Bestellsystem (SaaS) nutzt, verarbeitet der Anbieter personenbezogene Daten deiner Gäste in deinem Auftrag. Das ist Auftragsverarbeitung nach Art. 28 DSGVO — und verlangt einen schriftlichen Auftragsverarbeitungsvertrag (AV-Vertrag).

Was der AV-Vertrag regeln muss

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung (Bestellabwicklung, Zahlungsverkehr, Kommunikation)
• Kategorien betroffener Personen (Gäste) und Datenarten
• Technisch-organisatorische Maßnahmen (TOMs) des Anbieters
• Umgang mit Unter-Auftragsverarbeitern (z. B. Hosting-Provider, Stripe)
• Pflichten bei Datenpannen und Meldefristen

Seriöse SaaS-Anbieter stellen einen AV-Vertrag als PDF zum Download bereit — idealerweise direkt im Admin-Bereich. Bei gastro25 ist der AV-Vertrag einseitig automatisch generiert und per Klick in deinem Dashboard herunterladbar.

3. Rechtsgrundlage pro Datenfluss

4. Cookie-Banner nach TTDSG

Seit Dezember 2021 gilt in Deutschland das TTDSG, das EU-Cookie-Richtlinie und DSGVO zusammenführt. Kurz gesagt: Nicht-essenzielle Cookies (Tracking, Analytics, Werbung) dürfen erst nach aktiver Einwilligung gesetzt werden. Essenzielle Cookies (z. B. Warenkorb-Session) sind einwilligungsfrei.

• "Alle akzeptieren" und "Alle ablehnen" müssen gleichberechtigt sichtbar sein (BGH-Entscheidung 2022)
• Kein Dark Pattern mit „Akzeptieren"-Button in Orange und „Ablehnen" in Grau auf Grau
• Granulare Auswahl pro Kategorie (z. B. Marketing, Analytics, Funktion) möglich
• Einwilligung widerruflich, Widerruf muss genauso einfach sein wie die Zustimmung
• Alter der Einwilligung dokumentieren für Audit-Nachweis

5. Betroffenenrechte umsetzen

Gäste können jederzeit Auskunft, Löschung, Berichtigung oder Datenübertragung verlangen. Du musst innerhalb von einem Monat antworten (Art. 12 Abs. 3 DSGVO).

1. 1Zentrale E-Mail für Datenschutz-Anfragen (z. B. [email protected])
2. 2Prozess definieren: Empfang, Identifikation, Beantwortung innerhalb 30 Tage
3. 3CSV-Export deiner Kundendaten auf Knopfdruck (gastro25 liefert das im Admin)
4. 4Lösch-Funktion: Kundenkonto auf Wunsch anonymisieren (personenbezogene Felder nullen, Bestell-IDs für Buchhaltung behalten)
5. 5Widerrufs-Link in jeder Marketing-Mail

6. Datenpannen — Was zu tun ist

Bei Datenpannen (z. B. gehacktes E-Mail-Konto mit Kunden-Bestelldaten) hast du eine gesetzliche Meldepflicht:

• 72 Stunden zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO)
• Information der betroffenen Gäste bei hohem Risiko (Art. 34 DSGVO)
• Dokumentation in deinem Verzeichnis aller Datenpannen mit Ursache und Abhilfe

7. Verarbeitungsverzeichnis (Art. 30 DSGVO)

Pflicht für Betriebe, die regelmäßig personenbezogene Daten verarbeiten. Format: Tabelle mit Zweck, Datenart, Rechtsgrundlage, Empfänger, Löschfristen pro Datenfluss. Muss bei einer Prüfung vorgelegt werden können, aber nicht öffentlich einsehbar sein.

Was gastro25 für dich erledigt

• EU-Hosting (Frankfurt) — keine Drittlandübermittlung für Kern-Datenfluss
• TLS 1.3 Verschlüsselung von Ende zu Ende
• Auto-generierte Datenschutzerklärung mit deinen Betriebsdaten
• AV-Vertrag als PDF im Admin-Bereich downloadbar
• Einwilligungs-Checkbox für Marketing (getrennt vom Bestell-Opt-in)
• Cookie-Banner-Widget konfigurierbar mit Deny-All-Button
• CSV-Export aller Kundendaten auf Knopfdruck für Auskunftsrechte
• Anonymisierungs-Funktion für Löschanfragen
• Stripe als PCI-DSS-Level-1-Auditor für Zahlungsdaten (du hostest keine Karteninfos)