Datenschutzerklärung „evoria Service"

1. Verantwortlicher

Robin Kodera, RTK-Events, Kämpchenstraße 11a, 46446 Emmerich am Rhein, Deutschland. E-Mail: datenschutz@evoria.cloud. Vollständige Angaben im Impressum. Für welche Daten Evoria Verantwortlicher ist und für welche der Veranstalter, steht in Abschnitt 2.

2. Wer die App nutzt und wer wofür verantwortlich ist

Die App richtet sich an das Bestell-Team eines Veranstalters, zum Beispiel eines Vereins bei einer Sitzung oder eines Lokals: Kellner, Küche, Theke und Leitung. Sie ist kein Angebot für Gäste. Gäste bestellen weiter im Browser über den QR-Code am Tisch. Ein eigenes Nutzerkonto gibt es nicht. Die App wird durch eine Kopplung freigeschaltet, die der Veranstalter in seinem Evoria-Dashboard erzeugt (QR-Code oder Code zum Abtippen). Dabei legt der Veranstalter Rolle, Anzeigenamen und bei Kellnern das Revier (die Tische) fest.

Verantwortlichkeit: Für Bestelldaten, Tischbezeichnungen und die Zuweisung von Servicekräften zu Geräten ist der jeweilige Veranstalter Verantwortlicher gem. Art. 4 Nr. 7 DSGVO. Evoria verarbeitet diese Daten in dessen Auftrag (Art. 28 DSGVO) auf Grundlage des Auftragsverarbeitungsvertrags. Das gilt auch für die Namen von Gästen, das Ereignisprotokoll und die Gerätedaten des Teams (Anzeigename, Rolle, Revier): Auch dafür ist allein der Veranstalter Verantwortlicher. Für die Sicherheits- und Verbindungslogs der Server ist Evoria Verantwortlicher; das betrifft flüchtige Verbindungsdaten sowie IP-Adressen zur Abwehr von Angriffen und zum Rate-Limiting.

3. Welche Daten die App verarbeitet

3.1 Kopplung und Geräte-Token

Beim Koppeln tauscht die App den Kopplungscode (10 Minuten gültig, nur einmal verwendbar) gegen ein langes Geräte-Token. Das Token liegt im geschützten Schlüsselspeicher des Betriebssystems (iOS Keychain bzw. Android Keystore). Der Server speichert davon nur einen Prüfwert (SHA-256), nicht das Token selbst, und vom Kopplungscode ebenfalls nur einen Prüfwert. Das Token wird nur an eventdesk.evoria.cloud gesendet.

3.2 Gerätedaten

Der Server führt für jedes gekoppelte Gerät einen Eintrag mit: dem vom Veranstalter vergebenen Anzeigenamen (zum Beispiel „Lisa" oder „Küche Tablet"), der Rolle (Kellner, Station, Leitung), den zugeordneten Stationen oder Tischen (Revier), der Plattform (iOS oder Android), der App-Version, der Push-Adresse (siehe 3.7), dem Zeitpunkt der letzten Nutzung, dem Ablauf der Kopplung und einem eventuellen Sperrzeitpunkt. Außerdem merkt sich der Server, welcher Evoria-Nutzer das Gerät gekoppelt hat. Der Veranstalter sieht diese Liste im Dashboard und kann Geräte einzeln sperren. Den Namen, den du deinem Gerät in den Systemeinstellungen gegeben hast, verwendet die App nicht.

3.3 Installations-Kennung

Die App erzeugt bei der ersten Nutzung eine zufällige Installations-Kennung und sendet sie mit der App-Version bei Anfragen mit. Der Server wertet die Kennung derzeit nicht aus. Sie wird beim Entkoppeln des Geräts gelöscht, spätestens verschwindet sie mit dem Deinstallieren der App. Der Zugriff auf diese Kennung ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und braucht keine gesonderte Einwilligung. Die IP-Adresse fällt in den Server-Protokollen an (allgemeine Datenschutzerklärung, Abschnitt 3).

3.4 Bestellungen

Wenn du als Kellner eine Bestellung aufnimmst, überträgt die App sie an den Server: Tisch, Artikel mit Menge, Optionen (zum Beispiel „groß"), Gang, Platz, Notizen und die Quelle „Kellner". Dabei werden dein Anzeigename und dein Gerät der Bestellung zugeordnet. Bestellungen, die Gäste im Browser aufgeben, erscheinen ebenfalls in der App. Dort kann ein Gast freiwillig einen Namen angegeben haben (3.5).

Notizen sind Freitext und dienen ausschließlich der Zubereitung (zum Beispiel „ohne Zwiebeln"). Bitte schreibe dort keine Namen. Gäste, die im Browser bestellen, können in der Notiz Angaben zu Allergien oder Unverträglichkeiten machen. Sobald der Gast etwas in die Notiz schreibt, erscheint am Notizfeld ein Kästchen, das nicht vorausgewählt ist. Mit Häkchen gilt die ausdrückliche Einwilligung des Gastes (Art. 9 Abs. 2 lit. a DSGVO): Zeitpunkt und Fassung werden an der Bestellung gespeichert, und die Notiz trägt in der App, im Board und auf dem Bon einen Einwilligungs-Vermerk. Ohne Häkchen wird die Notiz trotzdem übermittelt, aber nur für die Zubereitung dieser Bestellung an Küche und Bon weitergegeben, ohne Vermerk; Board und App weisen das Personal dann darauf hin, Gesundheitsangaben direkt beim Gast zu klären (der Bon trägt den Hinweis „ohne Einwilligung“), und der Gast wird gebeten, Gesundheitsangaben in diesem Fall lieber direkt beim Personal zu machen. Der Gast kann die Einwilligung jederzeit gegenüber dem Personal widerrufen (mit Wirkung für die Zukunft); einen eigenen Widerrufsknopf auf der Bestellseite gibt es nicht, der Vermerk verschwindet spätestens mit der Notiz nach 7 Tagen. Soweit das Personal selbst Hinweise auf Unverträglichkeiten erfasst, die ein Gast mündlich nennt, geschieht dies zum Schutz der Gesundheit; weitere Gesundheitsangaben gehören nicht in die Notizen. Notizen werden nicht in das unveränderbare Ereignisprotokoll (3.6) übernommen und serverseitig nach 7 Tagen automatisiert und unwiderruflich gelöscht, mit oder ohne Häkchen und zusammen mit dem Vermerk der Einwilligung.

Ablehnen von Gast-Bestellungen: Wartet eine Gast-Bestellung auf Freigabe, kann das Personal sie ablehnen. Dabei wählt es einen Grund (zum Beispiel „Artikel ausverkauft“, „Küche geschlossen“) und kann einen kurzen Hinweis an den Gast schreiben. Der Gast sieht auf seiner Bestellseite einen festen Text zum Grund und gegebenenfalls diesen Hinweis. Der Hinweis ist Freitext und wird wie die Notizen nach 7 Tagen gelöscht; er steht nicht im Ereignisprotokoll (3.6), dort steht nur, dass es einen Hinweis gab. Bitte schreibe darin keine Namen und keine Gesundheitsangaben.

Ohne Netz merkt sich die App Aktionen in einer Warteschlange und überträgt sie später. Die Warteschlange wird nicht automatisch gelöscht, solange Einträge offen sind.

3.5 Gastnamen

Gäste können bei einer Bestellung im Browser einen Namen angeben. Er wird auf dem Server nach 7 Tagen geleert und steht nie im Ereignisprotokoll (3.6). Auf dem Gerät hält die App Bestellungen nur für den laufenden Geschäftstag vor.

3.6 Ereignisprotokoll

Jede Änderung an einer Bestellung (angelegt, Status geändert, Position abgehakt, storniert, ausverkauft) wird zusätzlich als Eintrag in einem Protokoll festgehalten. Ein Eintrag enthält die Art des Vorgangs, deinen Anzeigenamen, dein Gerät, den Tisch, die Uhrzeit und die betroffenen Positionen, aber keine Notizen und keine Gastnamen. Das Protokoll ist so gebaut, dass Einträge nicht nachträglich geändert oder einzeln gelöscht werden können. Es dient der operativen Nachvollziehbarkeit von Bestellungen und Stornos und der Fehlersuche. Evoria betreibt keine Leistungsanalysen: Wir werten weder die Leistung noch das Verhalten einzelner Teammitglieder aus und vergleichen nicht, wer wie schnell arbeitet.

3.7 Mitteilungen (Push)

Erlaubst du Mitteilungen, erzeugt die App bei Expo eine Push-Adresse („Expo Push Token") und meldet sie an den Evoria-Server. Bei bestimmten Ereignissen (neue Gast-Bestellung, Gast-Bestellung wartet auf Freigabe, „abholbereit", Storno, an die Leitung „Drucker braucht Hilfe") schickt der Server eine Nachricht an Expo, die sie an Apple (APNs) bzw. Google (FCM) weiterreicht. Die Nachricht nennt den Tisch, die Artikel mit Menge, die Bestellnummer und die Station, zum Beispiel Titel „Abholbereit: B3-4" und Text „2× Pils, 1× Cola (Theke) · #042". Sie nennt nie einen Gastnamen und nie eine Notiz. Der Tischname wird vom Veranstalter vergeben, der dafür keine Personennamen verwenden sollte; er erscheint auch auf dem Sperrbildschirm, wenn dein Gerät das zulässt. Die Push-Adresse ist für die Zustellung der Mitteilungen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und braucht keine gesonderte Einwilligung. Auf Android-Geräten meldet sich die App dafür über Firebase Cloud Messaging bei Google an; dabei entsteht auf dem Gerät eine Firebase-Installationskennung. Du kannst Mitteilungen in den Einstellungen deines Geräts abschalten. Die App funktioniert auch ohne sie.

3.8 Kamera

Die Kamera wird ausschließlich zum Scannen von QR-Codes genutzt: des Kopplungs-QR-Codes und, als Kellner, des Tisch-QR-Codes auf dem Aufsteller am Tisch (damit die App den Tisch auswählt). Die Bilder werden nur auf dem Gerät ausgewertet, weder gespeichert noch übertragen; verwendet wird allein der Inhalt des QR-Codes (Tisch).

3.9 Bondrucker und lokales Netz

Ist das Gerät als Druckstation eingerichtet, verbindet sich die App mit dem Bondrucker, dessen Adresse der Veranstalter im Dashboard eingetragen hat, im selben WLAN oder Netzwerk. Sie sucht keine anderen Geräte im Netz und liest keine aus. iOS fragt dafür nach der Berechtigung „Lokales Netzwerk". Der Bon enthält Tisch, Bestellnummer, Artikel, Notizen (bei Notizen von Gästen mit dem Vermerk, ob eine Einwilligung für Allergie-Angaben vorliegt) und den Namen des Kellners, keine Preise und keine Gastnamen. Gedruckte Bons liegen danach auf Papier beim Veranstalter.

3.10 Demo-Modus

Mit dem Code „DEMO" zeigt die App Beispieldaten ohne Verbindung zum Server. Dabei wird nichts übertragen.

3.11 Gerätezustand

Netzstatus und das Wachhalten des Bildschirms (Station) nutzt die App nur lokal. Diese Werte werden nicht übertragen.

3.12 Küchenwellen (nur mit Intelligence-Paket)

Hat das Lokal das Intelligence-Paket gebucht, EventDesk genutzt und die Anzeige im Küchen-Board eingeschaltet, zeigt die Station in der App eine ruhige Leiste mit den erwarteten Küchenwellen: ein Zeitfenster (zum Beispiel 19:00 bis 19:15) mit der Zahl der Gruppen und der Personen aus den Reservierungen, ohne Namen. Die Daten fließen von EventHub (Reservierungen) an EventDesk, das sie kurz zwischenspeichert, und von dort an die App. Ohne Intelligence-Paket oder EventDesk erscheint nichts. Die App speichert die Wellen nicht dauerhaft.

4. Keine Werbung, kein Tracking

Die App enthält keine Werbung, keine Analyse- oder Tracking-Dienste und keine Social-Media-Anbindung. Sie erstellt keine Nutzungsprofile. Evoria betreibt keine Leistungsanalysen und wertet nicht aus, wer wie schnell arbeitet. Mitteilungen dienen nur dem Betrieb, nie der Werbung. Es werden keine Absturz-Analysedienste von Drittanbietern eingesetzt.

5. Empfänger und Drittanbieter

Drittlandübermittlung: Die Push-Zustellung über Expo (650 Industries, Inc., USA) basiert auf dem EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln. Bei Android-Geräten erfolgt die Zustellung über Google Firebase Cloud Messaging (Google LLC/Ireland, DPF-zertifiziert). Expo und Google setzt Evoria als Unterauftragsverarbeiter ein (AVV, Abschnitt 7).

• Evoria-Server (Deutschland): Alle Daten der App gehen an eventdesk.evoria.cloud. Hosting, Verschlüsselung und Sicherungskopien sind in der allgemeinen Datenschutzerklärung beschrieben.
• 650 Industries, Inc. (Expo, USA), Push-Zustellung: Expo erhält die Push-Adresse, Titel und Text der Mitteilung und die technischen Zusatzangaben und reicht sie an Apple und Google weiter. Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln (Modul 3). Näheres unter expo.dev/privacy.
• Apple Inc. (USA), Apple Push Notification Service: liefert Mitteilungen an iPhone und iPad aus. Apple wird dabei als Übermittlungsdienstleister, also als technischer Zustellweg, tätig. Es gelten die Datenschutzhinweise von Apple.
• Google Ireland Limited (Irland; Google LLC, USA), Firebase Cloud Messaging: liefert Mitteilungen an Android-Geräte aus; die App nutzt dafür ein Firebase-Projekt von Evoria, ausschließlich für die Zustellung. Google Analytics und andere Firebase-Dienste sind deaktiviert bzw. nicht eingebunden. Die Übermittlung stützt sich auf das EU-U.S. Data Privacy Framework und die Firebase-Datenverarbeitungsbedingungen (Firebase Data Processing Terms). Es gelten zusätzlich die Datenschutzhinweise von Google.
• 650 Industries, Inc. (Expo, USA), App-Updates (ab Version 1.1.1): Beim Start und bei der Rückkehr in den Vordergrund fragt die App bei u.expo.dev nach, ob eine aktualisierte Programmversion vorliegt, und lädt sie gegebenenfalls herunter. Dabei werden IP-Adresse, App- und Laufzeitversion, Plattform, Update-Kanal und eine zufällige, von Expo vergebene Installations-Kennung übertragen. Es werden keine Bestell-, Gäste- oder Personaldaten an Expo gesendet. Ein heruntergeladenes Update wird beim nächsten Start der App eingespielt oder in einer ruhigen Minute: auf der Startansicht, ohne offenen Tisch oder Warenkorb, ohne wartende Aktion und ohne Bon im Druck, wenn das Gerät einige Minuten nicht bedient wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Interesse an sicherer, aktueller Software). Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln (Art. 46 DSGVO); Näheres unter expo.dev/privacy.
• Apple App Store / Google Play: Installation und Aktualisierung der App laufen über die Stores. Ob und welche Nutzungs- oder Absturzdaten Apple bzw. Google dabei an uns weitergeben, bestimmst du in den Einstellungen deines Geräts; dafür gelten die Datenschutzhinweise von Apple bzw. Google.

6. Speicherdauer und Löschung

• Gerät, Bestellungen des Geschäftstags, Warteschlange und Geräte-Token: beim Entkoppeln in der App; wenn der Veranstalter das Gerät sperrt (die App löscht beim nächsten Kontakt, sofort über die Live-Verbindung; ohne Netz bleiben die Daten bis dahin auf dem Gerät); wenn die Kopplung abläuft; beim Deinstallieren.
• Gerät, Installations-Kennung: beim Entkoppeln, spätestens beim Deinstallieren.
• Server, Kopplungscodes: 10 Minuten gültig, einen Tag nach Ablauf gelöscht.
• Server, Gerätedaten und Revier: bis zur Sperre; gesperrte oder abgelaufene Geräte werden 90 Tage danach gelöscht; die Push-Adresse sofort beim Sperren; spätestens mit dem Löschen der Veranstaltung.
• Server, Bestellungen, Positionen und Ereignisprotokoll: bei Veranstaltungen 90 Tage nach Ende der Veranstaltung. Bei dauerhaft laufenden Orten rollierend spätestens 30 Tage nach dem jeweiligen Tag.
• Server, Notizen zu Bestellungen und Gastnamen: 7 Tage.
• Server, Quittungen gegen doppelte Aktionen: 7 Tage.
• Server, Sicherungskopien: gelöschte Daten sind spätestens 100 Tage danach auch aus den Sicherungen entfernt.
• Expo, Apple, Google, Mitteilungen: nach deren Regeln, siehe die Datenschutzhinweise der Anbieter (Abschnitt 5).

7. Rechtsgrundlagen

Bestelldaten und die Zuordnung zu Anzeigenamen und Geräten: im Auftrag des Veranstalters (Art. 28 DSGVO). Der Veranstalter stützt sich dafür auf Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Bestellung) und lit. f (Organisation des Betriebs, Nachvollziehbarkeit von Bestellungen und Stornos). Für angestellte Teammitglieder kommt § 26 Abs. 1 BDSG in Betracht, für ehrenamtliche Helfer Art. 6 Abs. 1 lit. b bzw. f DSGVO. Server-Verbindungslogs, IP-Adressen zur Abwehr von Angriffen und Rate-Limiting verarbeitet Evoria selbst auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, nachvollziehbaren Betrieb). Der Zugriff auf Geräte-Token, Installations-Kennung und Push-Adresse ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Berechtigung für Mitteilungen erteilst du auf deinem Gerät selbst. Abfrage nach App-Updates bei Expo (ab Version 1.1.1, Abschnitt 5): Art. 6 Abs. 1 lit. f DSGVO (Interesse an sicherer, aktueller Software).

8. Sicherheit

Die Verbindung zum Server ist verschlüsselt (TLS). Das Geräte-Token liegt im Schlüsselspeicher des Betriebssystems, lokale Daten in der App-eigenen Datenbank, die das System gegen den Zugriff anderer Apps abschottet. Der Server speichert Token und Kopplungscodes nur als Prüfwert. Jede Anfrage prüft, ob das Gerät noch gekoppelt ist und der Veranstalter die Funktion nutzen darf. Der Veranstalter kann jedes Gerät jederzeit sperren; bei Verlust eines Geräts sperrt er es sofort im Dashboard. Die Anzahl der Anfragen je Gerät ist begrenzt. Wir empfehlen, Tablets und Handys mit einem Bildschirmcode zu sichern.

9. Deine Rechte

Als Gast eines Events wende dich für Auskunft, Berichtigung oder Löschung deiner Daten bitte an den Veranstalter; er ist für die Bestelldaten verantwortlich. Als Mitglied des Bestell-Teams wende dich zuerst an deinen Veranstalter, der dein Gerät eingerichtet hat. In allen Fragen zu dieser App erreichst du uns unter datenschutz@evoria.cloud. Dir stehen die Rechte aus Art. 15 bis 21 DSGVO zu sowie das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Beachte: Einträge im Ereignisprotokoll können nicht einzeln geändert werden. Sie werden mit Ablauf der Aufbewahrungsfrist (Abschnitt 6) gelöscht.

10. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen der App, Empfänger oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.