Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

QUADRESS GmbH

Sophie-Opel-Str. 17, 44803 Bochum, Deutschland
Vertreten durch den Geschäftsführer Daniel Simon

Kontakt

Telefon: +49 2327 3038-0
E-Mail: info@quadress.de

Bei Fragen zum Datenschutz, für Auskünfte oder zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@quadress.de oder ein Anruf.

Diese Erklärung deckt zwei verschiedene Dinge ab, und es ist wichtig, sie auseinanderzuhalten:

• –Diese Website (tamam.digital) betreiben wir selbst. Dafür sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO – es gelten die Abschnitte 3 bis 5.
• –Das Produkt Tamam betreiben wir im Auftrag des jeweiligen Imbissbetriebs. Bestellt jemand bei einem Laden per Telefon, WhatsApp oder über dessen Bestellseite, ist der Laden Verantwortlicher und wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Was dort mit Daten geschieht, steht in den Abschnitten 6 bis 9 – die vollständige Information für Gäste erteilt aber der Laden selbst.

Mit jedem Laden schließen wir vor der Inbetriebnahme einen Vertrag zur Auftragsverarbeitung. Die dort vereinbarten Schutzmaßnahmen und die Liste der Unterauftragsverarbeiter sind öffentlich einsehbar. Wir verarbeiten die Daten der Gäste ausschließlich nach Weisung des Ladens und nutzen sie nicht für eigene Zwecke – insbesondere nicht für Werbung und nicht zum Training eigener KI-Modelle.

Diese Website ist bewusst sparsam gebaut. Sie setzt keine Cookies, bindet keine Analyse- oder Tracking-Dienste ein und lädt keine Inhalte von fremden Servern nach. Auch die verwendeten Schriftarten liegen auf unserem eigenen Server: sie werden beim Erstellen der Seite eingebunden, sodass beim Aufruf keine Verbindung zu Google Fonts oder einem anderen Anbieter entsteht. Ein Einwilligungsbanner ist deshalb nicht nötig – es gibt nichts einzuwilligen.

Beim Aufruf einer Seite werden die technisch notwendigen Verbindungsdaten übertragen, ohne die keine Verbindung zustande kommt: Ihre IP-Adresse, der Zeitpunkt, die angeforderte Adresse sowie die von Ihrem Browser gesendeten Angaben. Unser Webserver führt darüber keine dauerhaften Zugriffsprotokolle. Im Fehlerfall können technische Protokolle anfallen, die kurzfristig zur Fehlersuche aufbewahrt und anschließend gelöscht werden.

Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und störungsfreien Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Betrieben wird die Website auf Servern der Hetzner Online GmbH in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Wenn Sie uns per E-Mail oder Telefon erreichen, verarbeiten wir die von Ihnen mitgeteilten Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

Wir löschen diese Angaben, sobald sie nicht mehr erforderlich sind, spätestens wenn die Angelegenheit abschließend geklärt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Für Betreiberinnen und Betreiber eines Ladens führen wir ein Konto mit Name, E-Mail-Adresse, Telefonnummer, Anschrift des Betriebs und – für die Abrechnung – den steuerlichen Angaben. Hinzu kommen die Nutzungsdaten, die beim Betrieb anfallen, etwa die Zahl der Gesprächsminuten.

Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Rechnungslegung zusätzlich die gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 UStG und den handels- und steuerrechtlichen Aufbewahrungspflichten).

Die Anmeldung in unseren Anwendungen nutzt ein Sitzungsmerkmal, das im Speicher Ihres Browsers abgelegt wird, damit Sie beim Neuladen angemeldet bleiben. Das ist technisch erforderlich und dient keiner Auswertung Ihres Verhaltens.

Nimmt ein Laden mit Tamam Bestellungen an, verarbeiten wir in seinem Auftrag die Daten, die für die Bestellung nötig sind. Beim Aufbau haben wir uns an ein paar Leitplanken gehalten, die über das gesetzlich Geforderte hinausgehen:

• –Telefonnummern speichern wir nicht im Klartext. In der Kundendatei liegt ein mit einem betriebseigenen Schlüssel gebildeter SHA-256-Hash; sichtbar sind nur die letzten vier Ziffern, damit der Laden einen Stammgast wiedererkennt. Dasselbe gilt für E-Mail-Adressen, von denen nur die Domain lesbar bleibt.
• –Audio wird nie gespeichert. Weder Telefonate noch WhatsApp-Sprachnachrichten werden als Aufnahme abgelegt. Gespeichert werden ausschließlich die Textabschriften der Unterhaltung und die dabei ausgelösten Vorgänge – so viel, wie nötig ist, um eine Bestellung nachvollziehen zu können.
• –Trennung nach Betrieb. Jeder Laden sieht ausschließlich seine eigenen Daten. Das ist nicht nur eine Regel in der Anwendung, sondern in der Datenbank selbst verankert und wird automatisiert geprüft.

Verarbeitet werden dabei je nach Bestellweg:

Bestelldaten

Bestellte Artikel mit Sonderwünschen, Preis, Zeitpunkt, Abholung oder Lieferung, Zahlungsart und Zahlungsstatus.

Kontaktdaten

Name oder Rufname, Telefonnummer (als Hash, siehe oben) und bei Lieferung die Lieferanschrift.

Unterhaltung

Textabschrift des Telefonats oder des Chats sowie die dabei ausgelösten Vorgänge, verknüpft mit der Bestellung.

Wiedererkennung

Zahl der Bestellungen, Zeitpunkt der letzten Bestellung, Stempel einer Treuekarte, sofern der Laden sie nutzt.

Werbung

Nur mit gesonderter Einwilligung. Ohne sie versenden wir keine Werbenachrichten; die Einwilligung wird getrennt gespeichert und ist jederzeit widerrufbar.

Der Telefon- und WhatsApp-Assistent arbeitet mit Sprachmodellen. Damit er eine Bestellung aufnehmen kann, wird die laufende Unterhaltung an den jeweiligen Anbieter übermittelt. Dabei gilt:

• –Der Assistent erhält das Ladenprofil, die Speisekarte, die Regeln des Betriebs und die laufende Unterhaltung. Er erhält keine Daten anderer Gäste und keine Verwaltungsfunktionen.
• –Preise berechnet der Assistent nicht selbst. Er fragt sie bei unserem System ab, damit kein Sprachmodell über Geld entscheidet.
• –Die eingesetzten Anbieter verarbeiten die Inhalte als Auftragsverarbeiter für uns. Nach deren Zusagen werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training ihrer Modelle verwendet.

Um Scherzbestellungen zu verhindern, prüft Tamam eingehende Bestellungen anhand fester, nachvollziehbarer Regeln – etwa der Bestellsumme, der Uhrzeit oder früherer nicht abgeholter Bestellungen desselben Anschlusses. Fällt die Prüfung auffällig aus, wird die Bestellung nicht abgelehnt, sondern es wird ein zusätzlicher Schritt verlangt: eine Bestätigung über einen zugesendeten Link oder eine Vorauszahlung.

Diese Prüfung ist regelbasiert und für den Laden im Klartext einsehbar. Sie verwendet ausdrücklich weder Name noch Sprache, Akzent oder Herkunft als Merkmal, und es kommt kein selbstlernendes Verfahren zum Einsatz. Der Laden kann jede Entscheidung von Hand aufheben. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO mit rechtlicher Wirkung findet damit nicht statt.

Wir arbeiten mit sorgfältig ausgewählten Dienstleistern zusammen, die für uns als Auftragsverarbeiter tätig werden. Mit allen bestehen Verträge nach Art. 28 DSGVO. Welche davon tatsächlich Daten sehen, hängt davon ab, welche Kanäle ein Laden aktiviert hat.

Hetzner Online

Betrieb der Server und der Datenbank. Standort Deutschland. Immer im Einsatz.

Anthropic

Sprachmodell für den Bestelldialog auf allen Textkanälen. Standort USA.

OpenAI

Sprachmodell für den Telefon-Assistenten und das Auslesen fotografierter Speisekarten. Standort USA.

Deepgram

Umwandlung von Sprachnachrichten in Text, sofern WhatsApp-Sprachnachrichten genutzt werden. Standort USA.

Meta Platforms

Zustellung der Nachrichten über die WhatsApp Business Platform, sofern der Laden WhatsApp nutzt. Standort USA und Irland.

Telegram

Zustellung der Nachrichten über Telegram, sofern der Laden diesen Kanal nutzt.

Stripe, Mollie

Abwicklung von Online-Zahlungen, sofern der Laden sie anbietet. Zahlungsdaten werden direkt beim Anbieter erhoben; vollständige Kartendaten erreichen unsere Server nicht.

HubRise

Anbindung der Lieferplattformen (Lieferando, Wolt, Uber Eats), sofern angebunden. Standort Frankreich.

Resend

Versand von E-Mails an Ladenbetreiber, etwa Rechnungen und Zugangsinformationen. Standort USA.

Sentry

Meldung technischer Fehler, sofern aktiviert. Personenbezogene Inhalte werden vor der Übermittlung entfernt.

Zyte

Abruf öffentlich zugänglicher Websites bei der Ersteinrichtung eines Ladens, um Stammdaten und Speisekarte zu übernehmen.

Ein Teil der genannten Dienstleister hat seinen Sitz in den Vereinigten Staaten. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um technische und organisatorische Maßnahmen, beziehungsweise – soweit der jeweilige Anbieter danach zertifiziert ist – auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework nach Art. 45 DSGVO.

Trotz dieser Maßnahmen lässt sich nicht vollständig ausschließen, dass Behörden in Drittländern auf Daten zugreifen. Die Speicherung der Bestell- und Kundendaten selbst findet ausschließlich auf Servern in Deutschland statt.

Wir bewahren personenbezogene Daten nur so lange auf, wie es für den jeweiligen Zweck erforderlich ist oder wie es gesetzliche Aufbewahrungsfristen verlangen.

Anfragen

Bis die Angelegenheit geklärt ist.

Bestell- und Kundendaten

Nach Weisung des jeweiligen Ladens. Endet dessen Vertrag mit uns, löschen oder übergeben wir die Daten nach seiner Wahl.

Unterhaltungen

Zur Nachvollziehbarkeit einer Bestellung und zur Klärung von Beanstandungen; danach werden sie gelöscht.

Rechnungen und Buchungsbelege

Zehn Jahre, weil § 147 Abgabenordnung und § 257 Handelsgesetzbuch es verlangen.

Ihnen stehen gegenüber dem jeweils Verantwortlichen diese Rechte zu:

• –Auskunft darüber, ob und welche Daten wir zu Ihnen verarbeiten (Art. 15 DSGVO).
• –Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• –Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO).
• –Einschränkung der Verarbeitung (Art. 18 DSGVO).
• –Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO).
• –Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).
• –Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), etwa für Werbenachrichten.

Für Daten, die wir im Auftrag eines Ladens verarbeiten, richten Sie Ihr Anliegen bitte an diesen Laden. Erreichen uns solche Anfragen direkt, leiten wir sie unverzüglich weiter und unterstützen den Laden bei der Beantwortung.

Unabhängig davon können Sie sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
www.ldi.nrw.de

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert – etwa weil ein neuer Kanal oder ein neuer Dienstleister hinzukommt. Es gilt jeweils die hier veröffentlichte Fassung; das Datum steht oben.