Datenschutzerklärung

Zuletzt aktualisiert: 26. Juli 2026

1. Einleitung

YumYum („wir", „unser", „uns") betreibt yyum.app, einen Dienst zur Erstellung mehrsprachiger digitaler Speisekarten. Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, auf welcher Rechtsgrundlage, wer sie erhält und welche Rechte Sie haben. Sie gilt für Gastronomiebetriebe mit einem Konto bei uns und für Gäste, die eine von uns gehostete Speisekarte öffnen.

2. Unsere Rolle

Für die Kontodaten der Betreiber sind wir Verantwortlicher: Registrierungsdaten, Abrechnung, Supportkorrespondenz und die Nutzung der Website yyum.app selbst.

Für Daten über Speisekarten-Gäste (die Statistik, die erhoben wird, wenn jemand eine veröffentlichte Speisekarte öffnet) handeln wir als Auftragsverarbeiter für den Betrieb, dem die Speisekarte gehört. Dieser Betrieb ist der Verantwortliche und entscheidet über den Zweck; wir verarbeiten die Daten ausschließlich auf seine Weisung und stellen ihm die Auswertung bereit.

3. Welche Daten wir verarbeiten

3.1 Kontodaten

Diese geben Betreiber bei Registrierung und Nutzung des Dienstes direkt an:

Name und E-Mail-Adresse sowie die Google-Konto-Kennung, wenn Sie sich mit Google anmelden
Betriebsdaten: Name des Restaurants, Kontaktdaten, Öffnungszeiten, Anschrift
Inhalte der Speisekarte: Gerichtsnamen, Beschreibungen, Preise und hochgeladene Bilder
Abrechnungsdaten: Tarif, Zahlungsstatus und Transaktionskennungen. Kartendaten werden auf der Seite des Zahlungsanbieters eingegeben und erreichen unsere Server nie
Supportkorrespondenz, die Sie uns per E-Mail oder Telegram senden

3.2 Automatisch auf unserer Website erhobene Daten

Bei der Nutzung von yyum.app erfassen wir und unsere Anbieter:

Technische Anfragedaten: IP-Adresse, Browsertyp, Betriebssystem, Zeitstempel. Sie dienen der Auslieferung der Website, der Ratenbegrenzung und der Missbrauchserkennung; Profile werden daraus nicht gebildet
Ihre Sprach- und Designeinstellung, gespeichert auf Ihrem Gerät, damit die Oberfläche so bleibt, wie Sie sie eingestellt haben
Nur mit Ihrer Einwilligung: Statistiken darüber, welche Seiten Sie besucht haben und wie Sie zu uns gelangt sind

3.3 Daten über Speisekarten-Gäste

Öffnet ein Gast eine veröffentlichte Speisekarte und willigt in die Statistik ein, erfassen wir im Auftrag des Betriebs:

Eine zufällig erzeugte Besucher- und Sitzungskennung auf dem Gerät des Gastes: Sie enthält weder Namen noch E-Mail noch einen Kontobezug
Welche Speisekarten, Gerichte und Sprachen aufgerufen und welche Suchbegriffe eingegeben wurden
Gerätetyp, Browsersprache, Herkunftsquelle und ob die Speisekarte über einen QR-Code geöffnet wurde

4. Cookies und ähnliche Technologien

4.1 Worum es geht

Cookies und Browserspeicher sind kleine Datenmengen, die eine Website auf Ihrem Gerät ablegt. Wir nutzen beides und unterteilen es in zwei Kategorien: unbedingt erforderlich und Statistik.

4.2 Unbedingt erforderlich: keine Einwilligung nötig

Diese sind für einen von Ihnen angeforderten Dienst erforderlich und werden ohne Einwilligung gesetzt, wie es die ePrivacy-Richtlinie erlaubt:

Authentifizierungs- und Sitzungscookies, die Sie angemeldet halten und den Kontobereich schützen
Sicherheitscookies für Ratenbegrenzung und Missbrauchsprävention
Ihre Sprach- und Designwahl, damit die Oberfläche wie gewählt dargestellt wird
Die Speicherung Ihrer Cookie-Entscheidung selbst, damit wir nicht auf jeder Seite erneut fragen

4.3 Statistik: nur mit Ihrer Einwilligung

Nichts aus dieser Kategorie startet, bevor Sie im Cookie-Banner auf „Akzeptieren" klicken. Bei Ablehnung werden diese Dienste gar nicht erst initialisiert und es wird keine Kennung auf Ihrem Gerät gespeichert. Sie umfasst drei Dienste:

Google Analytics (Google Ireland Limited / Google LLC) erfasst die aggregierte Websitenutzung: Besucherzahlen, aufgerufene Seiten, Verweildauer, Traffic-Quellen
PostHog (PostHog Inc., EU-Region, gehostet in der Europäischen Union) liefert Produktanalytik zur Nutzung des Kontobereichs, um fehlerhafte und verwirrende Abläufe zu finden. Dazu gehört Session Replay: eine Nachbildung Ihrer Interaktion mit der Oberfläche (Klicks, Navigation und die Inhalte der von Ihnen aufgerufenen Seiten) zur Fehlerdiagnose
Unsere eigene Speisekarten-Statistik: die oben beschriebenen Gästedaten, die dem Betrieb angezeigt werden, dem die Speisekarte gehört. Sie ist First-Party und wird nicht an Werbenetzwerke weitergegeben

Google Analytics kann Daten an Server von Google LLC in den Vereinigten Staaten übermitteln. PostHog-Daten verbleiben in der Europäischen Union. Die geltenden Garantien finden Sie unten im Abschnitt zu internationalen Übermittlungen.

Wir verwenden keine Werbe-, Retargeting- oder seitenübergreifenden Tracking-Cookies und verkaufen keine Daten an Werbenetzwerke.

4.4 Entscheidung ändern oder widerrufen

Der Widerruf ist genauso einfach wie die Erteilung und hat keine Nachteile für die Nutzung des Dienstes:

Wählen Sie „Cookie-Einstellungen" im Fußbereich jeder Seite. Der Banner öffnet sich erneut und Sie können ablehnen
Eine Ablehnung stoppt die Statistik sofort und löscht die bereits auf Ihrem Gerät gespeicherten Statistik-Kennungen
Wir fragen nach 12 Monaten erneut und immer dann, wenn diese Erklärung den Umfang der Statistik ändert. Eine Einwilligung wird also nie auf neue Verarbeitungen übertragen

4.5 Einstellungen im Browser

Unabhängig von unserem Banner können Sie im Browser:

Gespeicherte Cookies ansehen und einzeln löschen
Drittanbieter-Cookies oder alle Cookies blockieren
Alle Cookies beim Schließen des Browsers löschen
Das Google Analytics Opt-out Browser-Add-on installieren

Werden unbedingt erforderliche Cookies blockiert, ist eine Anmeldung nicht mehr möglich.

5. Wozu wir Daten verwenden

Wir verarbeiten personenbezogene Daten ausschließlich für diese Zwecke:

Erbringung des Dienstes: Speisekarten erstellen und hosten, übersetzen, QR-Codes erzeugen und Ihr Konto betreiben
Abrechnung: Abonnements verwalten, Zahlungen abwickeln und steuerliche Aufzeichnungen führen
Support: Ihre Fragen beantworten und gemeldete Fehler untersuchen
Sicherheit: Ratenbegrenzung, Erkennung von Betrug und Missbrauch, Schutz der Konten
Verbesserung des Dienstes: verstehen, welche Funktionen genutzt werden und wo Nutzende hängen bleiben
Rechtskonformität: Erfüllung buchhalterischer, steuerlicher und datenschutzrechtlicher Pflichten

6. Rechtsgrundlagen

Nach Art. 6 Abs. 1 DSGVO stützen wir jeden Zweck auf eine eigene Grundlage:

Erbringung des Dienstes und Abrechnung: Vertragserfüllung, Art. 6 Abs. 1 lit. b
Supportkorrespondenz: Vertragserfüllung, Art. 6 Abs. 1 lit. b
Sicherheit, Missbrauchsprävention und Ratenbegrenzung: unser berechtigtes Interesse an der Verfügbarkeit des Dienstes und am Schutz der Konten vor Übernahme und Betrug, Art. 6 Abs. 1 lit. f
Statistik und die Speicherung von Statistik-Kennungen auf Ihrem Gerät: Ihre Einwilligung, Art. 6 Abs. 1 lit. a und Art. 5 Abs. 3 ePrivacy-Richtlinie. Sie können sie jederzeit widerrufen
KI-gestützter Import und Übersetzung von Speisekarten: Vertragserfüllung, Art. 6 Abs. 1 lit. b, da Sie die Funktion selbst anfordern
Aufbewahrung von Rechnungen und Transaktionsbelegen: Erfüllung einer rechtlichen Verpflichtung, Art. 6 Abs. 1 lit. c

7. Wer Daten erhält

Wir geben personenbezogene Daten nur an die Auftragsverarbeiter und Partner weiter, die für den Betrieb nötig sind:

Supabase: Datenbank, Authentifizierung und Bildspeicherung
Vercel Inc.: Hosting der Anwendung und Auslieferung der Inhalte
Google (Google Ireland Limited / Google LLC): Gemini API für KI-gestützten Import und Übersetzung, Google Analytics mit Ihrer Einwilligung sowie Google-Anmeldung, sofern Sie sie nutzen. Texte und Bilder, die Sie zum Import oder zur Übersetzung einreichen, werden zur Verarbeitung an diese API übermittelt
PostHog Inc. (EU-Region): Produktanalytik, mit Ihrer Einwilligung
Stripe Payments Europe, Ltd.: Zahlungsabwicklung. Kartendaten werden direkt dort erhoben, nicht bei uns
Behörden und Rechtsberater: nur soweit gesetzlich vorgeschrieben oder zur Geltendmachung und Verteidigung von Rechtsansprüchen
Ein Erwerber: bei Fusion oder Verkauf des Unternehmens, unter fortgeltender Anwendung dieser Erklärung

Wir verkaufen keine personenbezogenen Daten und geben sie nicht an Werbenetzwerke oder Datenhändler weiter.

8. Internationale Übermittlungen

Einige Anbieter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, überwiegend in den Vereinigten Staaten. In diesen Fällen stützen wir uns auf:

Das EU-US Data Privacy Framework, sofern der Empfänger danach zertifiziert ist; das trifft derzeit auf Google LLC zu
Von der Europäischen Kommission genehmigte Standardvertragsklauseln nebst ergänzenden technischen Maßnahmen wie Verschlüsselung bei Übertragung und Speicherung, wenn das Framework nicht greift
PostHog wird in der EU-Region genutzt, sodass Produktanalytik-Daten die Europäische Union nicht verlassen

9. Sicherheit

Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt. Der Zugriff auf Produktivdaten ist auf die Personen beschränkt, die ihn benötigen, der Datenbankzugriff wird über Row-Level-Security-Richtlinien gesteuert, und die Statistik- und Administrationspfade sind durch serverseitige Berechtigungsprüfungen geschützt. Kein System ist vollkommen sicher, absolute Sicherheit können wir daher nicht garantieren; wir benachrichtigen Sie und die Aufsichtsbehörde jedoch über Verletzungen des Schutzes personenbezogener Daten, soweit die DSGVO dies verlangt.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den Erhebungszweck erforderlich ist:

Konto- und Speisekartendaten: solange das Konto besteht; Löschung innerhalb von 30 Tagen nach einem Löschverlangen
Rechnungen und Transaktionsbelege: 7 Jahre, wie steuerrechtlich vorgeschrieben
Statistikereignisse von Gästen: bis zu 26 Monate, danach Löschung oder unwiderrufliche Aggregation
Supportkorrespondenz: 24 Monate nach Abschluss der Anfrage
Serverprotokolle: 30 Tage
Ihre Cookie-Entscheidung: 12 Monate, danach fragen wir erneut

11. Ihre Rechte

Soweit die DSGVO für Sie gilt, haben Sie das Recht:

Über die Verwendung Ihrer Daten informiert zu werden (Art. 13 und 14)
Auskunft über die zu Ihnen gespeicherten Daten zu erhalten (Art. 15)
Unrichtige oder unvollständige Daten berichtigen zu lassen (Art. 16)
Ihre Daten löschen zu lassen (Art. 17)
Die Verarbeitung einschränken zu lassen (Art. 18)
Ihre Daten in einem übertragbaren, maschinenlesbaren Format zu erhalten (Art. 20)
Der Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21)
Eine Einwilligung jederzeit zu widerrufen, ohne dass die bis dahin erfolgte Verarbeitung berührt wird (Art. 7 Abs. 3)

Zur Ausübung dieser Rechte schreiben Sie uns an die unten genannte Adresse. Wir können Angaben zur Bestätigung Ihrer Identität verlangen, ausschließlich zu diesem Zweck.

Wir antworten innerhalb eines Monats nach Eingang des Antrags. Bei komplexen Anträgen können wir um zwei weitere Monate verlängern und teilen Ihnen den Grund innerhalb des ersten Monats mit. Die Ausübung Ihrer Rechte ist unentgeltlich.

Sind Sie Gast einer Speisekarte, betrifft Ihr Anliegen Daten, die wir für den Betrieb verarbeiten, dessen Speisekarte Sie geöffnet haben; wenden Sie sich an diesen oder an uns, wir leiten das Anliegen weiter. Sie können außerdem Beschwerde bei der Datenschutzbehörde Ihres Wohn- oder Arbeitslandes einlegen.

12. Kinder

Der Dienst richtet sich an Unternehmen und nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns, und wir löschen sie.

13. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren. Wesentliche Änderungen kündigen wir auf dieser Seite an und aktualisieren das Datum der letzten Änderung. Ändert eine Anpassung den Umfang der Statistik oder den Empfängerkreis, holen wir Ihre Cookie-Einwilligung erneut ein, statt uns auf die vorherige zu stützen.

14. Kontakt

Bei Datenschutzfragen oder zur Ausübung Ihrer Rechte:

E-Mail: [email protected]
Telegram: @yyumapp