Datenschutzerklärung von Ospitera

1. Wer wir sind

Ospitera („Ospitera“, „wir“) entscheidet, wie und wozu die hier beschriebenen personenbezogenen Daten verwendet werden: Wir sind ihr Verantwortlicher. Version 2026-11-05.

Fragen und Anliegen zum Datenschutz: support@ospitera.com.

Wir haben keinen Datenschutzbeauftragten nach der DSGVO benannt, da sie für unsere Tätigkeit keinen verlangt; die obige Adresse erreicht die bei Ospitera für den Datenschutz verantwortliche Person. Verlangt das Recht eines Landes eine benannte Person (etwa einen Datenschutzbeauftragten auf den Philippinen, einen Privacy Officer in Neuseeland oder die verantwortliche Person in Quebec), übernimmt diese Person die Rolle. Verlangt ein Land einen lokalen Vertreter, sagt Teil 2, wie wir das erfüllen.

2. Wofür diese Erklärung gilt

Für Besucher von ospitera.com und seinen Länderseiten; für Personen, die sich für einen Betrieb bewerben oder uns eine Frage senden; für Inhaber von Betrieben, ihr Personal und ihre Kontaktpersonen als Nutzer des Admins und der Küchentafel und als unsere Kunden; für Personen, die wir kontaktieren, um unseren Dienst anzubieten (geschäftliche Ansprache); und für alle, die uns schreiben.

Nicht erfasst: Gäste, die im Shop eines Betriebs bestellen. Der Betrieb ist für diese Daten verantwortlich und erklärt sie in seinem eigenen Datenschutzhinweis, der in seinem Shop verlinkt ist; wir verarbeiten sie für den Betrieb nach unserer Vereinbarung zur Auftragsverarbeitung.

3.1 Besuch unserer Website

Daten: IP-Adresse, Browser- und Gerätetyp, aufgerufene Seiten und Uhrzeit; das Land, zu dem Ihre IP-Adresse gehört; die von Ihnen gewählte Sprache.

Wozu: um die Website anzuzeigen und sicher zu halten; um Ihnen die Seite Ihres eigenen Landes zu zeigen, ohne je eine andere zu sperren: Außerhalb der EU/des EWR öffnet ospitera.com sie bei Ihrem ersten Besuch, innerhalb schlägt eine Leiste sie vor (wir lesen Ihr Land bei jedem Besuch aus Ihrer IP-Adresse und speichern diese Abfrage nicht als Profil; die passende Seite wird in einem Cookie gespeichert, damit andere Seiten sie vorschlagen können); und um die gewählte Seite und Sprache zu speichern (Cookies, Abschnitt 11).

Rechtsgrundlage: unser berechtigtes Interesse an einer sicheren Website und daran, Besuchern die Seite ihres Landes zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Die Seiten-Cookies sind für Funktionen nötig, die Sie nutzen.

Speicherdauer: Serverprotokolle unseres Hosting-Anbieters bis zu 30 Tage; Einträge zur Begrenzung von Anfragen enthalten nur einen verschlüsselten Hash der IP-Adresse und laufen innerhalb von 24 Stunden ab; die Seiten-Cookies 1 Jahr. Wir verwenden keine Werbe-Cookies, keine Analyse oder Verfolgung durch Dritte und keine Pixel sozialer Netzwerke.

3.2 Bewerbung für einen Betrieb

Daten: Name, Anschrift und Land des Betriebs; Name, E-Mail und Telefon der Kontaktperson; öffentliche Telefonnummer und E-Mail des Betriebs; bevorzugte Sprache, Markenfarbe, Notizen und hochgeladene Fotos oder ein Logo; der gewählte Benutzername. Das gewählte Passwort und die Personal-PIN werden nie lesbar gespeichert, nur als Einweg-Hash.

Wozu: um Ihre Bewerbung zu prüfen, Ihre Bestellseite einzurichten und Sie dazu zu kontaktieren. Rechtsgrundlage: von Ihnen angefragte vorvertragliche Schritte, wenn Sie sich für sich selbst bewerben (Art. 6 Abs. 1 lit. b); bei einer Bewerbung für ein Unternehmen unser berechtigtes Interesse an der Aufnahme der Geschäftsbeziehung (Art. 6 Abs. 1 lit. f).

Speicherdauer: Ein nie abgesendeter Anmeldelink funktioniert nach 30 Tagen nicht mehr und wird 30 Tage später gelöscht; eine Bewerbung, aus der kein Betrieb wird, wird 12 Monate nach dem Absenden gelöscht; eröffnet Ihr Betrieb, werden die Daten zu Kontodaten (3.4).

3.3 Fragen an uns

Daten: Ihr Name, Ihre E-Mail (oder Telefonnummer bei WhatsApp), Ihre Nachricht und die Sprache der Seite.

Wozu: um Ihnen zu antworten. Fragen werden per E-Mail an unser Support-Team gesendet und können in unserem Support-Postfach gespeichert werden, wo ein KI-Dienst eine Antwort entwerfen kann, die einer von uns liest, bearbeitet und über deren Versand er entscheidet; nichts wird automatisch gesendet. Rechtsgrundlage: unser berechtigtes Interesse, Fragen zu unserem Dienst zu beantworten, oder vorvertragliche Schritte (Art. 6 Abs. 1 lit. f oder b).

Speicherdauer: 24 Monate nach der letzten Nachricht, sofern das Gespräch nicht Teil einer Kundenbeziehung wird. WhatsApp wird von Meta nach eigenen Bedingungen und eigener Datenschutzerklärung betrieben; nutzen Sie E-Mail, wenn Sie WhatsApp nicht verwenden möchten.

3.4 Konten von Betrieben: Inhaber und Personal

Daten: Benutzernamen; Hashes von Passwörtern und PINs; Anmeldesitzungen und Cookies für bekannte Geräte; kurzlebige Anmeldezähler, verschlüsselt mit einem Hash der IP-Adresse; der Verlauf der Statusänderungen von Bestellungen; und Ihre Annahme unserer Bedingungen (Version, Benutzername, Zeit, verschlüsselter Hash der IP-Adresse).

Wozu: um Ihnen und Ihrem Personal Zugang zu geben, Konten zu sichern (Anfragegrenzen, Prüfung neuer Geräte), zu zeigen, was mit jeder Bestellung geschah, und nachzuweisen, welche Bedingungen angenommen wurden. Rechtsgrundlage: Erfüllung unseres Vertrags, wenn Sie selbst mit uns einen Vertrag schließen (Art. 6 Abs. 1 lit. b); wenn Sie für ein Unternehmen handeln oder für den Betrieb arbeiten, unser berechtigtes Interesse an Führung und Sicherung der Geschäftsbeziehung (Art. 6 Abs. 1 lit. f); und unser berechtigtes Interesse an Sicherheit und am Nachweis des Vertrags (Art. 6 Abs. 1 lit. f).

Speicherdauer: solange der Betrieb Ospitera nutzt. Nach dem Ende werden Kontodaten und Bestellhistorie am Tag 30 gelöscht, wie die Bedingungen sagen (7.4); Annahmen der Bedingungen können bis zu 5 Jahre als Beweis für einen Streitfall aufbewahrt werden.

3.5 Abrechnung

Daten: Name, Anschrift, Land und USt-IdNr. oder Steuernummer des Unternehmens; Rechnungs-E-Mail und Kontaktperson; Tarif, Preis, Rechnungen und Zahlungsstatus. Karten- und Bankdaten hält Stripe; wir sehen nur Art, letzte Ziffern und Ablaufdatum.

Wozu: um unser Entgelt in Rechnung zu stellen und einzuziehen, die richtige Steuer anzuwenden und Buchhaltungsunterlagen zu führen. Rechtsgrundlage: unser Vertrag (Art. 6 Abs. 1 lit. b) oder, für eine für ein Unternehmen handelnde Kontaktperson, unser berechtigtes Interesse an der Verwaltung der Beziehung (Art. 6 Abs. 1 lit. f); und unsere rechtlichen Pflichten aus Buchhaltungs- und Steuerrecht (Art. 6 Abs. 1 lit. c).

Speicherdauer: Rechnungen, Gutschriften und die zugehörigen Unterlagen 10 Jahre ab dem 1. Januar nach dem Jahr, in dem das jeweilige Dokument ausgestellt wurde, wie das belgische Buchhaltungs- und Umsatzsteuerrecht es verlangt, oder länger, wenn eine rechtliche Sperre gilt; andere Abrechnungsdaten, solange der Betrieb Ospitera nutzt.

3.6 Betrieb des Dienstes

Daten: Nachrichten, die wir mit Ihnen austauschen, Support-Anfragen und Dienst-E-Mails (Anmeldelinks, Rechnungen, Mitteilungen über Änderungen). Wozu: um den Dienst bereitzustellen und zu unterstützen und Sie, wie die Bedingungen es verlangen, über Änderungen zu informieren. Rechtsgrundlage: unser Vertrag (Art. 6 Abs. 1 lit. b). Speicherdauer: solange der Betrieb Ospitera nutzt, Fragen wie in 3.3.

3.7 Geschäftliche Ansprache

Daten: Name, Anschrift, öffentliche Telefonnummer und Website eines Betriebs sowie eine geschäftliche E-Mail-Adresse, die der Betrieb veröffentlicht (etwa info@… oder die Adresse auf seiner Website oder in einem Eintrag), mit einem Namen nur, wo er Teil dieser veröffentlichten Adresse ist.

Quellen: öffentliche Quellen — die eigene Website des Betriebs, öffentliche Branchenverzeichnisse und Karten sowie öffentliche Handelsregister. Wir kaufen keine Personenlisten.

Wozu: um dem Betrieb eine kurze E-Mail mit unserem Angebot zu senden und ihn nicht erneut zu kontaktieren, wenn er ablehnt. Rechtsgrundlage: unser berechtigtes Interesse, einen für die Tätigkeit des Unternehmens relevanten Dienst anzubieten (Art. 6 Abs. 1 lit. f). Wir senden eine Werbe-E-Mail nur, wenn wir eine dokumentierte Einwilligung oder eine geprüfte Ausnahme nach den für diese Nachricht geltenden Regeln für E-Mail-Werbung haben; dass eine Adresse öffentlich ist, erlaubt für sich allein keine Werbung. Vor jeder Kampagne halten wir Quelle, Art des Empfängers und die Erlaubnis fest, auf die wir uns stützen (Teil 2).

Jede Ansprache-E-Mail sagt, wer wir sind, wo wir die Adresse gefunden haben und wie man weitere E-Mails mit einem Schritt beendet; Sie können jederzeit widersprechen, und wir hören auf. Speicherdauer: 12 Monate nach unserer letzten E-Mail, wenn Sie nicht antworten. Bitten Sie uns aufzuhören, behalten wir nur die E-Mail-Adresse oder einen Hash davon auf einer Sperrliste, damit wir Ihnen nie wieder schreiben.

3.8 Sicherheit, Fehler und Rechtsansprüche

Technische Fehlerberichte (Sentry) sind so eingestellt, dass sie keine Kontaktdaten, Cookies oder Formularinhalte erfassen, und werden 90 Tage aufbewahrt. Anfragegrenzen und Protokolle enthalten verschlüsselte Hashes von IP-Adressen. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren, funktionierenden Dienst (Art. 6 Abs. 1 lit. f).

Wo nötig, verwenden wir die obigen Daten, um Rechtsansprüche geltend zu machen, auszuüben oder abzuwehren und rechtmäßige Anfragen von Behörden zu beantworten (Art. 6 Abs. 1 lit. c oder f), so lange die Sache es verlangt.

4. Was wir nicht tun

Wir verkaufen keine personenbezogenen Daten, geben sie nicht für die Werbung anderer Unternehmen weiter und erstellen keine Profile von Ihnen.

Wir treffen keine ausschließlich automatisierten Entscheidungen über Sie mit rechtlicher oder ähnlich erheblicher Wirkung (Anfragegrenzen können wiederholte Anmeldeversuche kurz blockieren; melden Sie sich, wenn Sie betroffen sind).

Unsere Werkzeuge zum Lesen und Übersetzen von Speisekarten senden die von Ihnen eingereichten Texte und Bilder zu diesem Zweck an einen KI-Anbieter. Eine Speisekarte oder ein Foto kann selbst geschäftliche Kontaktdaten oder andere personenbezogene Daten enthalten; reichen Sie daher keine Gästedaten oder unnötigen personenbezogenen Daten ein. Der Anbieter ist unter /legal/subprocessors aufgeführt.

5. An wen wir Daten weitergeben

An Dienstleister, die sie für uns verarbeiten, nach Verträgen, die sie an unsere Weisungen und an Vertraulichkeit binden (Stripe handelt für eigene gesetzliche Pflichten wie Betrugsprävention und Geldwäscheprüfungen auch als eigener Verantwortlicher, ebenso Meta für WhatsApp): Netlify (Hosting, USA), Neon (Datenbank, EU-Region), Stripe (Abrechnung, Irland und USA), Resend (E-Mail-Versand, USA), Anthropic (Entwürfe von Antworten auf E-Mails an uns sowie Lesen und Übersetzen von Speisekarten; USA), Sentry (Fehlerüberwachung, EU-Region), die OpenStreetMap Foundation (Kartenkacheln im Admin, die Ihre IP-Adresse erhält; Vereinigtes Königreich) und Meta nur, wenn Sie uns über WhatsApp kontaktieren. Die Liste für Daten der Betriebe steht unter /legal/subprocessors.

An berufliche Berater (Steuerberater, Anwälte) unter Verschwiegenheit; an Behörden und Gerichte, wo das Recht es verlangt oder um unsere Rechte zu schützen; und an einen Käufer oder Nachfolger unseres Unternehmens, der nach dieser Erklärung weitermacht, nachdem wir Sie informiert haben.

6. Übermittlungen außerhalb Ihres Landes

Wir sitzen in Belgien (EU). Manche Anbieter verarbeiten Daten in anderen Ländern, vor allem in den USA. Für Daten aus der EU/dem EWR stützen sich diese Übermittlungen auf einen Angemessenheitsbeschluss (einschließlich des EU-US-Datenschutzrahmens für zertifizierte Anbieter) oder auf die Standardvertragsklauseln der Europäischen Kommission mit zusätzlichen Garantien, wo nötig; für das Vereinigte Königreich und die Schweiz auf deren Entsprechungen. Sie können eine Kopie der Garantien bei uns anfordern. Hat das Recht Ihres Landes eigene Regeln für die Übermittlung ins Ausland, sagt Teil 2, wie wir sie erfüllen.

7. Wie lange wir Daten aufbewahren

Ihr Land aus Ihrer IP-Adresse: bei jedem Besuch abgefragt und nicht gespeichert; die Seite Ihres Landes wird in einem Cookie gespeichert (1 Jahr). Seiten- und Sprach-Cookie: 1 Jahr. Serverprotokolle: bis zu 30 Tage. Nicht abgesendeter Anmeldelink: schließt nach 30 Tagen, gelöscht 30 Tage später. Bewerbung ohne Betrieb: 12 Monate. Fragen: 24 Monate nach der letzten Nachricht. Kontodaten und Bestellhistorie: solange der Betrieb Ospitera nutzt, gelöscht am Tag 30 nach dem Ende. Annahmen der Bedingungen: bis zu 5 Jahre nach dem Ende. Rechnungen und Buchhaltungsunterlagen: bis zu 10 Jahre. Ansprache ohne Antwort: 12 Monate nach der letzten E-Mail. Sperrliste: solange wir Ansprache betreiben (nur Adresse oder Hash). Fehlerberichte: 90 Tage. Läuft eine Frist ab, löschen oder anonymisieren wir die Daten.

8. Ihre Rechte

Je nach dem Recht Ihres Landes (siehe Teil 2) können Sie Auskunft über Ihre Daten und eine Kopie davon verlangen; Berichtigung; Löschung; Einschränkung; der Verwendung auf Grundlage eines berechtigten Interesses widersprechen (der Ansprache können Sie immer widersprechen, und wir hören auf); die von Ihnen bereitgestellten Daten in einem übertragbaren Format erhalten; und eine Einwilligung widerrufen, wo wir uns auf sie stützen, ohne dass das zuvor Geschehene berührt wird.

Schreiben Sie an support@ospitera.com. Wir können Sie bitten, Ihre Identität zu bestätigen. Wir antworten innerhalb eines Monats (oder der kürzeren Frist, die Ihr Recht setzt) und können diese bei komplexen Anfragen verlängern, wo das Recht es erlaubt, mit Begründung. Anfragen sind kostenlos, außer sie sind offensichtlich unbegründet oder exzessiv.

Sie können sich bei der Datenschutzbehörde Ihres Landes beschweren. Unsere federführende Behörde in der EU ist die belgische Autorité de protection des données / Gegevensbeschermingsautoriteit (dataprotectionauthority.be); Teil 2 nennt weitere. Wir würden Ihr Anliegen gern zuerst selbst klären.

9. Sicherheit

Wir schützen Daten durch Verschlüsselung bei der Übertragung, Verschlüsselung sensibler Daten im Ruhezustand, Einweg-Hashes für Passwörter, PINs und IP-Adressen, strikte Trennung zwischen Betrieben, Anfragegrenzen, Protokollierung sensibler Vorgänge, automatische Löschung und Sicherungen. Gefährdet eine Verletzung Ihre Rechte, informieren wir Sie und die Behörde, wie das Recht es verlangt.

10. Alter

Unser Dienst ist für Unternehmen bestimmt und nicht für Personen unter 16 Jahren oder unter dem Volljährigkeitsalter, wo Ihr Recht es höher festlegt. Wir erheben wissentlich keine Daten von Kindern.

11. Cookies und ähnliche Technik

Wir verwenden nur, was für den Betrieb unserer Website und unseres Admins nötig ist, und fragen daher nicht nach einer Einwilligung; sollten wir je Analyse- oder andere optionale Cookies hinzufügen, fragen wir vorher.

os_site: merkt sich die Länderseite und Sprache, die Sie im Umschalter oder in der Hinweisleiste gewählt haben (1 Jahr). os_home: die Länderseite, die zu Ihrem Standort passt, damit andere Seiten sie vorschlagen können (1 Jahr). os_suggest_off: Sie haben diesen Hinweis geschlossen (1 Jahr). Sitzungs-Cookies für Inhaber und Personal (je Betrieb): halten Sie angemeldet, bis Sie sich abmelden oder die Sitzung abläuft. Cookie für bekannte Geräte: erkennt ein Gerät, auf dem Sie sich schon angemeldet haben, aus Sicherheitsgründen (90 Tage). Sitzungs-Cookies für Plattform und Franchise: Anmeldung für unser Team und für Franchise-Konsolen. Browser-Speicher (etwa die Einrichtungsanleitung im Admin, Ton- und Druckeinstellungen der Küchentafel, die gewählte Sprache): Einstellungen, die auf Ihrem Gerät bleiben und nie an uns gesendet werden, bis Sie sie löschen.

Die vollständige Liste steht auch unter /legal/cookies.

12. Änderungen

Wir können diese Erklärung aktualisieren, wenn sich unsere Dienste oder das Recht ändern; das Versionsdatum steht oben. Betrifft eine Änderung Sie wesentlich, sagen wir es Ihnen vorher in Ihrem Admin oder per E-Mail.

Teil 2. Was bestimmte Länder ergänzen

In jedem Abschnitt meint „das Recht“ das dort genannte Datenschutzrecht. Gibt es Ihnen mehr Rechte als Teil 1, haben Sie diese Rechte.

Europäische Union und EWR

Die DSGVO gilt wie in Teil 1 beschrieben. Sie können sich bei der Behörde beschweren, wo Sie wohnen oder arbeiten oder wo das Problem entstand; der Europäische Datenschutzausschuss führt sie alle auf (edpb.europa.eu).

Schweiz

Bundesgesetz über den Datenschutz (DSG). Behörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (edoeb.admin.ch). Wir übermitteln Daten nur in Länder auf der Angemessenheitsliste des Bundesrats oder mit den für die Schweiz anerkannten Standardvertragsklauseln. Wir senden Schweizer Betrieben ohne Einwilligung keine Ansprache-E-Mails.

Geschäftliche Ansprache nach Ländern

Wir schreiben einem Unternehmen nur mit dokumentierter Einwilligung oder einer geprüften Ausnahme nach den für die Nachricht geltenden Regeln, Land für Land vor jeder Kampagne geprüft. Wo wir uns auf eine Ausnahme stützen: Belgien (unpersönliche Adressen von Unternehmen, nicht die Adresse eines namentlich genannten Mitarbeiters), Frankreich (eine für die Funktion des Empfängers relevante Adresse, mit Information und Widerspruchsmöglichkeit), Irland und das Vereinigte Königreich (nur Unternehmensteilnehmer, keine Einzelunternehmer oder Personengesellschaften), die USA (CAN-SPAM) und Kanada (CASL, vom Unternehmen selbst veröffentlichte Adressen). Jede E-Mail nennt uns, sagt, wo wir die Adresse gefunden haben, und hat eine Abmeldung mit einem Schritt.

Nicht ohne vorherige Einwilligung gesendet: Deutschland, Österreich, Polen, Schweiz, Italien, Niederlande, Spanien, Dänemark und Südafrika sowie jedes andere Land, für das wir keine Ausnahme geprüft haben.

Australien (Spam Act 2003) und Neuseeland (Unsolicited Electronic Messages Act 2007): Wir stützen uns auf eine abgeleitete Einwilligung nur, wenn das Unternehmen die Adresse selbst veröffentlicht hat, nicht angegeben hat, dass es keine Werbenachrichten wünscht, und die E-Mail sein Geschäft betrifft.

Singapur (Spam Control Act 2007): Der Betreff beginnt mit <ADV>, und eine Abmeldung setzen wir innerhalb von 10 Arbeitstagen um. Brasilien (LGPD) und die Philippinen (Data Privacy Act 2012): Wir stützen uns nach einer dokumentierten Prüfung auf unser berechtigtes Interesse, nur für Adressen, die das Unternehmen selbst veröffentlicht hat. Mexiko (LFPDPPP): Unser Datenschutzhinweis ist in der ersten E-Mail verlinkt, und wir hören auf, sobald Sie widersprechen. Argentinien (Ley 25.326): nur Adressen aus öffentlichen Quellen; jede E-Mail ist als Werbung gekennzeichnet und erklärt, wie Sie die Löschung oder Sperrung Ihrer Daten verlangen.