Aether Process e.U.

Stand: 27. Oktober 2026

1. Geltungsbereich und Verantwortlicher

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten auf https://aetherprocess.com, bei Anfragen, Beratung, Software- und Automatisierungsprojekten von Aether Process e.U. sowie bei der Nutzung von GastroKit unter https://www.aether-gastrokit.app einschließlich der zugehörigen Konto-, Menü-, Website-Einbindungs- und Gastanmeldeseiten.

Verantwortlicher für unsere eigenen Datenverarbeitungen ist:

Aether Process e.U.
Inhaber: Thomas Obereder, BSc
Markt 27, Tür 2
4280 Königswiesen, Österreich
E-Mail: thomas.obereder@aetherprocess.com
Telefon: +43 664 4127008

Datenschutzanliegen können Sie an diese E-Mail-Adresse richten. Diese Kontaktangabe bezeichnet unsere Datenschutzkontaktstelle und nicht die Bestellung eines Datenschutzbeauftragten.

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen, etwa Name, E-Mail-Adresse, Benutzerkennung oder IP-Adresse. Auch wenn sich unsere entgeltlichen Angebote ausschließlich an Geschäftskunden richten, können Daten von Einzelunternehmern, Unternehmensansprechpartnern, Beschäftigten und Gästen personenbezogene Daten sein.

Bei weiteren Softwareprodukten gelten diese Informationen nur, soweit dort ausdrücklich darauf verwiesen wird und die beschriebenen Verarbeitungen tatsächlich zutreffen. Abweichende Funktionen, zusätzliche Empfänger oder neue Zwecke werden durch produktspezifische Informationen erläutert. Diese Erklärung erlaubt keine vorsorgliche oder unbegrenzte Nutzung von Daten für künftige Produkte.

2. Unterschied zwischen unseren Daten und den Daten eines Gastronomiebetriebs

Für Anfragen an Aether Process, unsere Vertragsbeziehungen, Kontoverwaltung, Abrechnung und eigene Sicherheitsmaßnahmen sind grundsätzlich wir verantwortlich.

Für Gästeverteiler, Mitarbeiterangaben und personenbezogene Inhalte, die ein Gastronomiebetrieb in GastroKit für seine Zwecke verwaltet, ist grundsätzlich der jeweilige Betrieb verantwortlich. Wir verarbeiten diese Daten in seinem Auftrag nach einer Auftragsverarbeitungsvereinbarung. Wir verkaufen Gästeverteiler nicht und nutzen sie nicht für eigene Werbung.

Wenn Sie sich für den Menüverteiler eines Betriebs anmelden, finden Sie dessen Identität und Datenschutzinformationen auf der betreffenden Anmeldeseite beziehungsweise in seinen Nachrichten. Für Auskunft, Löschung oder andere Anliegen zu diesem Verteiler wenden Sie sich vorrangig an den Betrieb. Erreicht ein entsprechendes Anliegen uns, unterstützen wir den Betrieb bei der Bearbeitung beziehungsweise leiten es an ihn weiter.

Diese Unterscheidung gilt entsprechend für personenbezogene Daten, die wir bei individuellen Automatisierungs- oder Integrationsprojekten ausschließlich im Auftrag unserer Kunden verarbeiten.

3. Rechtsgrundlagen

Je nach Verarbeitung stützen wir uns insbesondere auf:

• Art. 6 Abs. 1 lit. b DSGVO: Vorbereitung und Durchführung eines Vertrags mit der betroffenen Person, etwa bei Einzelunternehmern.

• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung gesetzlicher Pflichten, insbesondere steuerlicher und unternehmensrechtlicher Aufbewahrungspflichten.

• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen, insbesondere sichere Bereitstellung, Fehlerbehebung, Bearbeitung von Geschäftskontakten, Verwaltung von Ansprechpartnern eines Firmenkunden und erforderliche Rechtsverteidigung. Die Interessen und Rechte der betroffenen Personen werden dabei berücksichtigt.

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, wenn wir für einen bestimmten freiwilligen Zweck eine solche einholen.

Für Zugriffe auf oder Speicherung von Informationen auf Ihrem Endgerät gelten zusätzlich § 165 Abs. 3 TKG 2021 und die dort geregelten Einwilligungsanforderungen beziehungsweise Ausnahmen. Werbliche elektronische Nachrichten richten sich zusätzlich nach § 174 TKG 2021.

Eine Anfrage, Registrierung oder Zustimmung zu AGB ist keine pauschale Einwilligung in Werbung oder sämtliche Datenverarbeitungen.

4. Aufruf der Unternehmenswebsite und Framer-Statistik

4.1 Hosting und Inhaltsauslieferung

Unsere Unternehmenswebsite wird über Framer bereitgestellt. Beim Aufruf werden technische Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser- und Geräteinformationen, gegebenenfalls die zuvor besuchte Seite sowie technische Fehler- und Sicherheitsinformationen.

Dies ist erforderlich, um Inhalte auszuliefern, Verbindungen zu ermöglichen, Fehler zu untersuchen und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine sichere und funktionsfähige Website. Die Aufbewahrung technischer Daten richtet sich nach Abschnitt 17.

Anbieter ist Framer B.V., Niederlande. Framer setzt für Hosting und Inhaltsauslieferung weitere Dienstleister ein. Hinweise zu internationalen Übermittlungen finden Sie in Abschnitt 16.

4.2 Integrierte Website-Statistik

Auf der Unternehmenswebsite wird die integrierte Statistik von Framer verwendet. Sie dient dazu, Seitenaufrufe, Herkunftsseiten und die Nutzung unseres Angebots in zusammengefasster Form auszuwerten. Nach Angaben von Framer werden dafür keine Analyse-Cookies eingesetzt. Zur Unterscheidung von Aufrufen können jedoch technische Informationen wie IP-Adresse und Browserkennung verarbeitet und in eine täglich wechselnde Kennung umgewandelt werden.

Wir verwenden die Statistik zur Bewertung und Verbesserung der Website auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die cookiefreie Umsetzung bedeutet nicht, dass bereits die zugrunde liegenden technischen Daten anonym sind. Eine Zusammenführung mit GastroKit-Gästeverteilern oder eine Nutzung dieser Statistik für individuelle Werbeprofile ist nicht vorgesehen. Zusätzlich eingebundene Werbe- und Analysedienste sind von dieser Funktion zu unterscheiden.

Weitere Informationen:
https://www.framer.com/legal/privacy-statement/
https://www.framer.com/help/articles/gdpr-and-cookies/

5. Google-Einbindungen auf der Unternehmenswebsite

5.1 Google Tag Manager

Auf der Unternehmenswebsite ist Google Tag Manager eingebunden. Er ermöglicht die Verwaltung zusätzlicher Website-Skripte. Schon beim Abruf seines Skripts wird eine Verbindung zu Google hergestellt; dabei erhält Google technische Verbindungsdaten, insbesondere IP-Adresse, Browserinformationen und die angeforderte Ressource.

Bei der bisherigen technischen Prüfung waren im öffentlich ausgelieferten Container keine aktiven Analyse- oder Werbetags enthalten. Daraus folgt jedoch weder, dass die Einbindung selbst keine Daten verarbeitet, noch dass andere Einbindungen der Website ausgeschlossen sind. Eine Aktivierung zusätzlicher Tags darf nur auf der dafür erforderlichen Rechtsgrundlage erfolgen.

5.2 Extern geladene Schriftdateien

Die Unternehmenswebsite lädt Schriftdateien unter anderem von fonts.gstatic.com. Beim Abruf erhält Google die zur Auslieferung erforderlichen Verbindungsdaten, insbesondere IP-Adresse und technische Browserinformationen. Dies dient der Darstellung der gewählten Schriftarten. In GastroKit erzeugte Menükarten verwenden dagegen lokal bereitgestellte beziehungsweise in die Ausgabe eingebettete Schriften.

5.3 Datenschutz bei diesen Einbindungen

Für Google-Dienste im Europäischen Wirtschaftsraum ist insbesondere Google Ireland Limited, Irland, tätig; internationale Infrastruktur und weitere Google-Gesellschaften können beteiligt sein. Für Übermittlungen in Drittländer gelten zusätzlich die Voraussetzungen aus Abschnitt 16.

Externe Schriftdateien und die Verwaltung von Skripten sind nicht allein deshalb von Einwilligungsanforderungen ausgenommen, weil sie der Gestaltung oder technischen Organisation dienen. Einwilligungspflichtige Funktionen benötigen vor ihrer Ausführung eine wirksame Einwilligung. Dieser Datenschutzhinweis stellt selbst keine Einwilligung dar und ersetzt keine erforderliche technische Einwilligungssteuerung.

Weitere Informationen:
https://support.google.com/tagmanager/answer/9323295?hl=de
https://developers.google.com/fonts/faq/privacy
https://policies.google.com/privacy?hl=de

6. Kontakt, Angebote, Beratung und individuelle Projekte

6.1 Anfragen und geschäftliche Kommunikation

Wenn Sie uns über das Kontaktformular, per E-Mail, Telefon oder über einen anderen bereitgestellten Kontaktweg kontaktieren, verarbeiten wir die von Ihnen übermittelten Angaben. Dazu gehören insbesondere Name, geschäftliche Kontaktdaten, Unternehmen, Einsatzbereich, Inhalt und Zeitpunkt der Anfrage, Korrespondenz sowie gegebenenfalls Angebots- und Projektdaten. Als erforderlich gekennzeichnete Formularangaben werden für die Bearbeitung benötigt; weitere Angaben sind freiwillig.

Die Verarbeitung dient der Beantwortung, Angebotserstellung, Terminabstimmung und Durchführung der Zusammenarbeit. Bei einer Anfrage zu einem Vertrag mit Ihnen gilt Art. 6 Abs. 1 lit. b DSGVO. Bei sonstigen Anfragen und bei Ansprechpartnern eines Unternehmens gilt Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Bearbeitung der Anfrage und die Kommunikation mit dem betreffenden Unternehmen. Gesetzliche Dokumentationspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Für unsere geschäftliche E-Mail-Kommunikation verwenden wir Google Workspace. Dabei werden insbesondere Absender- und Empfängeradressen, Nachrichteninhalte, Anhänge, Zeitangaben sowie technische Übermittlungs- und Sicherheitsdaten verarbeitet. Im Europäischen Wirtschaftsraum ist regelmäßig Google Cloud EMEA Limited, Irland, Vertragspartner für Workspace; die eingesetzte Google-Infrastruktur kann weitere Gesellschaften und Unterauftragnehmer einbeziehen. Die Verarbeitung erfolgt zur Bereitstellung, Speicherung, Zustellung und Absicherung der geschäftlichen Korrespondenz. Die genannten Rechtsgrundlagen gelten entsprechend. Internationale Übermittlungen sind in Abschnitt 16 erläutert.

Eine Kontaktaufnahme führt nicht automatisch zur Anmeldung für einen Newsletter oder andere Werbenachrichten. Eigene elektronische Werbung erfolgt nur, soweit die hierfür erforderlichen Voraussetzungen erfüllt sind, insbesondere auf Grundlage einer gesonderten Einwilligung. Eine solche Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.

6.2 Individuelle Software-, KI- und Automatisierungsprojekte

Bei der Projektabwicklung verarbeiten wir insbesondere Ansprechpartner, vereinbarte Anforderungen, Freigaben, Vertrags- und Leistungsnachweise sowie die für die Umsetzung bereitgestellten Informationen. Welche personenbezogenen Inhalte einer individuellen Lösung zugeführt werden, hängt vom vereinbarten Projekt ab.

Bei vereinbarten Automatisierungen können Dienste wie Make, n8n oder andere Fachanwendungen eingebunden werden. Ihre konkrete Nutzung und die jeweiligen Datenzugriffe werden projektspezifisch festgelegt. Ihre beispielhafte Nennung bedeutet nicht, dass Daten sämtlicher Websitebesucher oder GastroKit-Nutzer an diese Dienste übermittelt werden.

Verarbeiten wir Daten ausschließlich für die Zwecke eines Kunden, richtet sich dies nach dessen Weisungen und der vereinbarten Auftragsverarbeitung. Der Kunde bleibt für seine Verarbeitungszwecke, die erforderlichen Rechtsgrundlagen und die Information betroffener Personen verantwortlich. Für unsere eigene Vertragsverwaltung und Kommunikation gelten die Rechtsgrundlagen aus Abschnitt 6.1.

Bitte übermitteln Sie nur die für Ihr Anliegen erforderlichen Informationen. Besonders sensible Daten und Zugangsdaten sollten nicht unaufgefordert über allgemeine Kontaktwege versandt werden.

Weitere Informationen zu Google Workspace:
https://workspace.google.com/terms/dpa_terms.html
https://cloud.google.com/terms/subprocessors

7. GastroKit: Hosting, Konto und Mitarbeiterzugänge

Für die Bereitstellung von GastroKit verwenden wir Vercel als Hosting-Anbieter und Supabase für Datenbank, Authentifizierung und Dateispeicherung.

Bei der Registrierung und Nutzung verarbeiten wir insbesondere Name, geschäftliche E-Mail-Adresse, Betriebsname, optional Telefonnummer, Benutzer- und Betriebskennungen, Berechtigungen, Anmelde- und Bestätigungsstatus sowie die für den Vertragsschluss erforderlichen Nachweise. Zugangsdaten werden durch den Authentifizierungsdienst in der dafür vorgesehenen geschützten Form verarbeitet.

Bei einer Mitarbeitereinladung erhalten wir die E-Mail-Adresse und Betriebszuordnung vom einladenden Betrieb. Die Verarbeitung dient der Einladung, Verwaltung der Berechtigungen und Nutzung des Zugangs für diesen Betrieb. Beschäftigte können nähere Informationen über die sie betreffende betriebliche Verarbeitung bei ihrem Betrieb erhalten.

Die Kontodaten sind erforderlich, um den Zugang bereitzustellen, Bestätigungs- und Sicherheitsnachrichten zu versenden und die Vertragsbeziehung zu verwalten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO bei einem eigenen Vertrag mit der betroffenen Person sowie Art. 6 Abs. 1 lit. f DSGVO für Ansprechpartner und Beschäftigte eines Unternehmens. Für gesetzlich erforderliche Nachweise gilt Art. 6 Abs. 1 lit. c DSGVO.

Ohne die als erforderlich bezeichneten Angaben können wir kein nutzbares Konto bereitstellen. Die Angabe einer Telefonnummer ist bei der Registrierung freiwillig. Eine Registrierung führt nicht automatisch zu einer Anmeldung für eigene Werbenachrichten von Aether Process.

Technische Protokolle enthalten insbesondere Verbindungs-, Anmelde-, Fehler- und Sicherheitsinformationen. Wir verwenden sie zur Betriebsüberwachung, Fehlerbehebung und Abwehr von Missbrauch auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Sie werden nur so lange vorgehalten, wie dies für diese Zwecke erforderlich ist; bei einem konkreten Vorfall kann die betroffene Dokumentation länger zur Aufklärung oder Rechtsverteidigung benötigt werden.

8. GastroKit: Menüs, Medien, öffentliche Seiten und QR-Codes

GastroKit verarbeitet die vom Betrieb bereitgestellten Inhalte und Einstellungen, etwa Betriebsangaben, Logos, Gerichte, Preise, Texte, Fotos, Menükonfigurationen und erzeugte Exportdateien. Soweit darin personenbezogene Daten enthalten sind, erfolgt ihre Verarbeitung für die Zwecke des Betriebs grundsätzlich im Auftrag.

Vom Betrieb veröffentlichte Menüs, öffentliche Anmeldeseiten und Website-Einbindungen sind entsprechend ihrer vorgesehenen Funktion öffentlich abrufbar. Veröffentlichen Sie nur Angaben und Inhalte, die für die Öffentlichkeit bestimmt sind. Besucher solcher Seiten erzeugen die für deren Auslieferung und Sicherheit erforderlichen technischen Verbindungsdaten.

Ein QR-Code enthält einen Link zum jeweiligen Ziel. Erst beim Öffnen dieses Links findet die Verbindung zur Zielseite statt. Bei Google-Bewertungslinks führt der Aufruf zu Google; dort gelten die Datenschutzinformationen von Google. GastroKit erhält dadurch nicht automatisch die anschließend bei Google abgegebene Bewertung.

Die Website, auf der ein Betrieb sein Menü einbettet, kann weitere Dienste verwenden. Für diese ist der jeweilige Websitebetreiber verantwortlich.

9. E-Mails, Menüverteiler und Abmeldung

Für Konto- und Systemnachrichten sowie den Menüversand im Auftrag der Betriebe setzen wir Resend ein. Auch Authentifizierungs-E-Mails von Supabase können über den dafür eingerichteten Resend-SMTP-Dienst versandt werden.

Dabei werden insbesondere Absender- und Empfängeradresse, Antwortadresse, Nachrichteninhalt, gegebenenfalls Anhänge, Versandzeit, Nachrichtenkennung und technische Zustellinformationen verarbeitet. Zustellinformationen umfassen beispielsweise die erfolgreiche Zustellung, Rückläufer oder eine Spam-Beschwerde. Diese Informationen dienen dem Versand, der Fehlerbehebung und dem Schutz vor wiederholtem Versand an nicht erreichbare oder widersprechende Empfänger.

Konto- und Vertragsnachrichten beruhen auf der für die jeweilige Vertrags- oder Sicherheitsverarbeitung geltenden Rechtsgrundlage. Beim Gästeverteiler bestimmt der jeweilige Betrieb die Rechtsgrundlage für seinen Versand, insbesondere eine erforderliche Einwilligung in elektronische Werbung.

Bei der Anmeldung über eine GastroKit-Gastanmeldeseite wird die E-Mail-Adresse zunächst durch eine Bestätigungsnachricht überprüft. Für die Zuordnung und den Nachweis werden die erforderlichen Anmelde-, Bestätigungs-, Einwilligungs- und Abmeldeinformationen verarbeitet. Erst nach Bestätigung wird die Anmeldung für den regulären Verteiler aktiv, sofern die betreffenden Versandfunktionen eingerichtet sind.

Sie können sich über den Abmeldelink einer Nachricht vom jeweiligen Verteiler abmelden. Ein Widerruf oder Widerspruch gilt für die Zukunft. Ein begrenzter Nachweis der Einwilligung, Abmeldung oder Sperre kann verbleiben, soweit dies zur Beachtung des Widerspruchs oder zur begründeten Rechtsverteidigung erforderlich ist. Solche Nachweise sind keine aktiven Werbekontakte.

Bei manuell angelegten oder importierten Kontakten muss der Betrieb die erforderliche Versandberechtigung selbst sicherstellen und nachweisen. Daten können in diesem Fall vom Betrieb statt unmittelbar vom Gast stammen. Die Anmeldung betrifft den ausgewählten Betrieb und den gewählten Kommunikationskanal.

Personenbezogene Öffnungs- oder Klickmessungen sind von technischen Zustellinformationen zu unterscheiden. Sie sind für die bloße Zustellung nicht erforderlich. Soweit ein Betrieb solche zusätzlichen Messungen einsetzen möchte, müssen deren tatsächlicher Umfang, Rechtsgrundlage und gegebenenfalls erforderliche Einwilligung gesondert berücksichtigt werden. Eine Anmeldung zum Verteiler ist keine pauschale Einwilligung in jede Art von Tracking.

10. Zahlungen, Abonnements und Rechnungen

Für den Erwerb und die Verwaltung kostenpflichtiger GastroKit-Pakete verwenden wir Stripe. Im Checkout werden die erforderlichen Rechnungs- und Zahlungsangaben verarbeitet, etwa Name beziehungsweise Unternehmen, E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls UID, Zahlungsmethode sowie Transaktionsdaten.

Zahlungsdaten wie vollständige Kartendaten werden über die von Stripe bereitgestellten Zahlungsformulare erfasst. GastroKit verwendet insbesondere Kunden-, Zahlungs- und Abonnementkennungen, Paket, Status, Abrechnungs- und Kündigungstermine sowie benötigte Rechnungsinformationen. Aus dem Abo-Status werden die verfügbaren Funktionen und Kontingente bestimmt. Hierfür übermittelt Stripe technische Ereignismeldungen, etwa zu Beginn, Änderungen, Zahlungsproblemen und Beendigung eines Abonnements. Im Kundenportal können die vorgesehenen Rechnungs-, Zahlungs- und Vertragsdaten eingesehen beziehungsweise geändert werden. Stripe kann entsprechend der eingerichteten Funktionen Zahlungsbelege, Rechnungsinformationen und Hinweise zu fehlgeschlagenen Zahlungen oder ablaufenden Karten versenden. Die Steuerberechnung berücksichtigt insbesondere die angegebenen Rechnungs- und Standortdaten sowie gegebenenfalls Steuerkennungen.

Zwecke sind Zahlungsabwicklung, Rechnungserstellung, Steuerberechnung, Freischaltung, Vertragsverwaltung und Bearbeitung offener Forderungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO sowie, für Unternehmensansprechpartner, erforderliche Betrugsabwehr und Rechtsverfolgung, Art. 6 Abs. 1 lit. f DSGVO.

Stripe und eingebundene Zahlungsanbieter verarbeiten Daten abhängig von der jeweiligen Funktion auch in eigener Verantwortung, insbesondere zur Zahlungsabwicklung, Betrugsabwehr und Erfüllung eigener gesetzlicher Pflichten. Die von Ihnen gewählte Zahlungsmethode kann zusätzliche Anbieter einbeziehen.

Weitere Informationen: https://stripe.com/at/privacy

11. KI-Funktionen in GastroKit

11.1 Eingaben, Ergebnisse und Zwecke

Für die angebotene Bildbearbeitung, Textgenerierung und Vorlagenanalyse verwenden wir die Google Gemini API. Wenn Sie eine solche Funktion ausführen, werden Ihr Auftrag, ausgewählte Texte, Fotos, Bilder oder Dokumente, etwa eine Menüvorlage als PDF, und der für diese Aufgabe erforderliche Kontext an Google übermittelt. Dazu können Gerichte, Betriebsangaben, Gestaltungsvorgaben und in den Dateien enthaltene personenbezogene Informationen gehören. Die Ergebnisse werden dem Betrieb zur Verfügung gestellt und entsprechend der genutzten Funktion in GastroKit gespeichert.

Die Verarbeitung dient der vom Nutzer angeforderten Erstellung, Bearbeitung oder Auswertung von Inhalten. Die KI-Funktion benötigt keinen vollständigen Gästeverteiler. Gästeverzeichnisse, Zugangsdaten, besonders sensible personenbezogene Daten und sonstige für die Aufgabe nicht erforderliche vertrauliche Informationen dürfen nicht als Eingabe verwendet werden. Für personenbezogene Inhalte muss der Betrieb über eine geeignete Rechtsgrundlage verfügen.

Soweit wir personenbezogene Inhalte für den Betrieb verarbeiten, handeln wir im Rahmen seiner Weisungen und der Auftragsverarbeitung. Für unsere eigene Kontingentverwaltung, Abrechnung und erforderliche technische Sicherheit verarbeiten wir Nutzungs- und technische Daten auf Grundlage von Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO.

11.2 Verarbeitung beim KI-Anbieter

Die Verarbeitung bei Google richtet sich nach den einschlägigen Gemini-API-Bedingungen und der tatsächlich verwendeten Abrechnungskonfiguration. Für API-Angebote an Nutzer im Europäischen Wirtschaftsraum sehen diese Bedingungen die Nutzung kostenpflichtiger Dienste vor. Nach den Bedingungen für diese Paid Services werden Eingaben und Antworten nicht zur Verbesserung der Google-Produkte verwendet. Diese Zusage setzt die entsprechende Dienstkonfiguration voraus und ist keine Aussage über eine sofortige Löschung oder ausschließlich europäische Verarbeitung.

Die eingesetzte Interactions-Schnittstelle kann Eingaben und Antworten zusätzlich beim Anbieter speichern. Für gespeicherte Interaktionen kostenpflichtiger Dienste beträgt die Standardaufbewahrung nach der Anbieterbeschreibung 55 Tage; kürzere Einstellungen können möglich sein. Unabhängig davon gelten die Regelungen zu Sicherheits-, Missbrauchsschutz- und Betriebsdaten. Google kann solche technischen und abrechnungsbezogenen Daten auch für eigene, vertraglich beschriebene Zwecke verarbeiten. Die Speicherdauer der in GastroKit übernommenen Ergebnisse richtet sich gesondert nach Abschnitt 17.

11.3 Keine automatisierten Entscheidungen über Personen

Die KI-Funktionen unterstützen die Gestaltung von Menüs, Bildern und Texten. Sie dienen nicht dazu, ausschließlich automatisierte Entscheidungen über Personen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO zu treffen. Eine Veröffentlichung erfolgt im Rahmen der vom Betrieb veranlassten Arbeitsabläufe. Die Ergebnisse sind vor ihrer Verwendung auf Richtigkeit, geeignete Inhalte und Rechte Dritter zu prüfen.

Weitere Informationen:
https://ai.google.dev/gemini-api/terms
https://ai.google.dev/gemini-api/docs/interactions-overview

12. Schutz vor Bots und Missbrauch: Cloudflare Turnstile

Auf geschützten GastroKit-Formularen, insbesondere bei Anmeldung und Registrierung, setzen wir Cloudflare Turnstile ein. Dabei werden technische Browser-, Geräte- und Verbindungsinformationen verarbeitet, um automatisierte Angriffe und missbräuchliche Anfragen zu erkennen. Dazu können IP-Adresse, Browsermerkmale und technische Signale zur Ausführung der Prüfung gehören.

Das Prüfergebnis wird als zeitlich begrenzter Nachweis an die Authentifizierungsprüfung weitergegeben. Eine erfolgreiche Prüfung bedeutet nicht, dass die übrigen Kontodaten oder Eingaben bereits bestätigt wurden.

Zweck ist der Schutz der Konten und der Plattform. Soweit personenbezogene Daten für diesen Schutz erforderlich sind, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Für Endgerätezugriffe ist zusätzlich zu prüfen, ob die Ausnahme für technisch notwendige Vorgänge nach § 165 Abs. 3 TKG 2021 greift; weitergehende einwilligungspflichtige Funktionen dürfen hierauf nicht gestützt werden.

Anbieter ist Cloudflare, Inc., USA. Cloudflare verarbeitet Daten zur Bereitstellung von Turnstile als Dienstleister und nach seinen speziellen Turnstile-Datenschutzinformationen auch in eigener Verantwortung zur Verbesserung der Bot-Erkennung; hierfür nennt Cloudflare berechtigte Interessen als Grundlage. Die technische Prüfung kann internationale Datenverarbeitung einschließen. Weitere Angaben zu diesen eigenen Zwecken, den verarbeiteten Signalen und den Rechten gegenüber Cloudflare finden Sie in den folgenden Anbieterinformationen.

Weitere Informationen:
https://www.cloudflare.com/turnstile-privacy-policy/
https://www.cloudflare.com/privacypolicy/

13. Cookies und Browser-Speicher

Für den angemeldeten GastroKit-Bereich werden technisch erforderliche Cookies beziehungsweise vergleichbare Speichermechanismen verwendet. Sie dienen insbesondere der Authentifizierung, Aufrechterhaltung einer Sitzung und sicheren Zuordnung von Anfragen. Die Authentifizierungsdaten werden bei Anmeldung erzeugt und entsprechend dem Sitzungsverlauf erneuert beziehungsweise bei Abmeldung entfernt oder ungültig gemacht. Davon zu unterscheiden sind mögliche Anzeige- und Bedienungseinstellungen, die eine wiederholte Auswahl vermeiden.

Technisch notwendige Zugriffe dienen der ausdrücklich angeforderten Funktion. Sie fallen nur dann unter die Ausnahme von der Einwilligungspflicht, wenn die gesetzlichen Voraussetzungen tatsächlich erfüllt sind. Die Verarbeitung personenbezogener Daten beruht je nach Zweck auf Art. 6 Abs. 1 lit. b oder f DSGVO.

Nicht notwendige Analyse-, Werbe- oder vergleichbare Tracking-Technologien setzen eine vorherige wirksame Einwilligung voraus, soweit dies gesetzlich erforderlich ist. Eine solche Einwilligung muss über eine entsprechende Auswahl erteilt werden und für die Zukunft ebenso einfach widerrufbar sein. Ein Hinweis in dieser Erklärung allein ersetzt keine Einwilligung.

Sie können gespeicherte Website-Daten in Ihrem Browser einsehen und löschen. Wenn notwendige Speichermechanismen blockiert oder gelöscht werden, können Anmeldung und andere Funktionen beeinträchtigt sein. Eine Browser-Einstellung ersetzt nicht die Pflichten des Anbieters zur Einholung erforderlicher Einwilligungen.

14. Externe Links und optionale Facebook-, Instagram- und WhatsApp-Verbindungen

14.1 Aktivierung und Kontoverbindung

Beim Öffnen externer Links verarbeitet der Zielanbieter die für den Aufruf erforderlichen Daten nach seinen Datenschutzinformationen. Eine lediglich angezeigte, deaktivierte Verbindung oder eine „Coming soon“-Option löst für sich allein keine Übermittlung von Betriebs- oder Gästedaten an den betreffenden Anbieter aus. Die folgenden Angaben betreffen die jeweils tatsächlich freigeschalteten und vom Betrieb verwendeten Funktionen.

Wenn ein berechtigter Nutzer ein Facebook-, Instagram- oder WhatsApp-Unternehmenskonto verbindet, erfolgt die Freigabe über die vom jeweiligen Anbieter bereitgestellte Autorisierung. Je nach Funktion werden Konto-, Unternehmens-, Seiten- und Profilkennungen, Namen, zugeordnete Telefonnummern, Berechtigungen und Zugriffstoken verarbeitet. Die Freigabe dient dazu, die ausgewählten Konten dem richtigen Betrieb zuzuordnen und die ausdrücklich gewählten Funktionen bereitzustellen. Das Passwort des externen Kontos wird hierfür beim externen Anbieter eingegeben; es ist nicht als GastroKit-Eingabe erforderlich.

Für unsere eigene Bereitstellung und Verwaltung der Verbindung gelten Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO. Personenbezogene Inhalte und Gästeangaben verarbeiten wir für die Zwecke des Betriebs im Auftrag. Die technische Berechtigungsfreigabe eines Betriebs ist keine Einwilligung seiner Gäste in Werbung.

14.2 Veröffentlichungen auf Facebook und Instagram

Bei einer vom Betrieb beauftragten Veröffentlichung werden ausgewählte Texte, Bilder, Menüs und erforderliche technische Angaben an die verbundene Seite beziehungsweise das verbundene professionelle Konto übermittelt. Veröffentlichungskennungen, Zeitpunkte und Status- oder Fehlermeldungen dienen der Zuordnung, Anzeige und Fehlerbehebung. Öffentlich veröffentlichte Inhalte können von Dritten gesehen, geteilt oder gespeichert werden. Für die Veröffentlichung muss der Betrieb die erforderlichen Rechte und Rechtsgrundlagen besitzen.

14.3 Menüversand über WhatsApp

Bei Nutzung des WhatsApp-Menüverteilers werden insbesondere Telefonnummer, gegebenenfalls Name, Betriebszuordnung, Anmelde- und Einwilligungsnachweise, Versandstatus, Nachrichtenkennungen sowie die zu versendenden Menüinhalte verarbeitet. Für die Einrichtung können Angaben zum WhatsApp-Unternehmenskonto, zur verbundenen Telefonnummer und zu Nachrichtenvorlagen erforderlich sein. Die Daten werden über die WhatsApp Business Platform verarbeitet, um die vom Betrieb veranlassten Nachrichten an die angemeldeten Empfänger zuzustellen.

Der Betrieb muss vor werblichem Versand über die erforderliche Einwilligung beziehungsweise eine sonstige tatsächlich einschlägige gesetzliche Berechtigung verfügen. Eine E-Mail-Newsletter-Anmeldung schließt WhatsApp-Werbung nicht automatisch ein. Auch bei manuell eingetragenen Kontakten muss die Berechtigung vorliegen und nachweisbar sein. Soweit eine Bestätigung der Telefonnummer vorgesehen ist, wird sie für die Verifizierung der Anmeldung verwendet.

Eingehende Abmeldungen und die für den vorgesehenen Ablauf erforderlichen Antworten können verarbeitet werden. Zustell- und gegebenenfalls vom Dienst bereitgestellte Lesestatus dienen der technischen Bearbeitung und Nachvollziehbarkeit. Daraus folgt keine pauschale Erlaubnis für zusätzliche personenbezogene Werbeanalysen. Die Funktion ist kein allgemeiner Zugang zu privaten WhatsApp-Unterhaltungen eines Gastes.

Empfänger können ihre Einwilligung für zukünftige Nachrichten widerrufen, insbesondere über die angebotene Abmeldung, eine entsprechende Nachricht an den Betrieb oder dessen Datenschutzkontakt. Ein angebotener STOP-Ablauf muss vom Betrieb und seinem eingerichteten Versandprozess berücksichtigt werden. Erforderliche Sperr- und Nachweisdaten können nach Maßgabe von Abschnitt 17 verbleiben.

14.4 Anbieterrollen und Trennung einer Verbindung

Für Nutzer im Europäischen Wirtschaftsraum sind bei den jeweiligen Angeboten insbesondere Meta Platforms Ireland Limited und WhatsApp Ireland Limited beteiligt. Je nach Dienstleistung verarbeiten diese Anbieter Daten in eigener Verantwortung oder im Rahmen ihrer jeweiligen Auftragsverarbeitungsbedingungen. Internationale Verarbeitung und Zugriffe weiterer Konzerngesellschaften können hinzukommen. Informationen zu deren eigener Verarbeitung finden Sie unter:

https://www.facebook.com/privacy/policy/
https://privacycenter.instagram.com/policy/
https://www.whatsapp.com/legal/privacy-policy-eea
https://www.whatsapp.com/legal/business-data-processing-terms

Eine Verbindung kann über die dafür angebotene Verwaltung oder durch Widerruf der Berechtigung beim jeweiligen Anbieter getrennt werden. Dies verhindert weitere Zugriffe im Rahmen der aufgehobenen Berechtigung, löscht aber nicht automatisch bereits veröffentlichte Beiträge, zugestellte Nachrichten oder Daten, die der externe Anbieter in eigener Verantwortung aufbewahrt. Löschanliegen für GastroKit richten Sie an den verantwortlichen Betrieb beziehungsweise an unseren Datenschutzkontakt; für die eigene Verarbeitung der Plattformen stehen deren Kontakt- und Rechteverfahren zur Verfügung.

15. Empfänger und eingesetzte Dienstleister

Zugriff erhalten nur berechtigte Personen und Anbieter, soweit dies für den jeweiligen Zweck erforderlich ist. Zu den für Website und GastroKit eingesetzten Diensten gehören insbesondere:

• Framer B.V., Niederlande: Unternehmenswebsite, Hosting und technische Website-Funktionen.

• Vercel, Inc., USA: Hosting und technische Bereitstellung von GastroKit.

• Supabase: Datenbank, Authentifizierung und Dateispeicherung für GastroKit; Anbietergruppe mit Supabase Pte. Ltd., Singapur.

• Resend, betrieben von Plus Five Five, Inc., USA: Versand von System- und Menü-E-Mails sowie technische Versandereignisse.

• Google: Google Workspace für geschäftliche Kommunikation, Tag Manager und externe Schriftdateien auf der Unternehmenswebsite sowie Gemini API für ausdrücklich genutzte KI-Funktionen; die zuständige Vertragseinheit richtet sich nach dem jeweiligen Dienst und den geltenden Vertragsbedingungen.

• Cloudflare, Inc., USA: Turnstile zur Missbrauchsabwehr.

• Stripe und die jeweils gewählten Zahlungsanbieter: Zahlung, Abonnement- und Rechnungsabwicklung.

• Bei aktivierten Verbindungen: Meta- beziehungsweise WhatsApp-Anbieter für die in Abschnitt 14 beschriebenen Kontoverbindungen, Veröffentlichungen und Nachrichten.

Dienstleister können für einzelne Funktionen Auftragsverarbeiter und für andere Funktionen eigenständig Verantwortliche sein. Eine pauschale Einordnung sämtlicher Tätigkeiten eines Anbieters als Auftragsverarbeitung wäre daher nicht zutreffend.

Weitere Empfänger können Steuerberatung, Rechtsberatung, Banken, gesetzlich zuständige Behörden oder Gerichte sein, soweit die Offenlegung zur Vertragserfüllung, Erfüllung gesetzlicher Pflichten oder Wahrung berechtigter Interessen erforderlich ist.

Für die Verarbeitung im Auftrag eines GastroKit-Betriebs gelten zusätzlich die vereinbarte AVV und das zugehörige Verzeichnis der Dienstleister und Unterauftragsverarbeiter. Die ergänzenden Unterlagen und Informationen zu den für Ihren Auftrag eingesetzten Unterauftragsverarbeitern können Sie unter thomas.obereder@aetherprocess.com anfordern. Projektspezifische Empfänger bei individuellen Dienstleistungen werden im jeweiligen Projekt festgelegt.

16. Internationale Datenverarbeitung

Die genannten Anbieter können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten oder von dort aus darauf zugreifen, insbesondere durch verbundene Unternehmen oder technische Unterauftragnehmer. Ein gewählter EU-Serverstandort schließt solche Zugriffe nicht automatisch aus.

Soweit personenbezogene Daten in ein Drittland übermittelt werden, ist eine Grundlage nach Kapitel V DSGVO erforderlich. Je nach Empfänger und Verarbeitung kommen insbesondere ein einschlägiger Angemessenheitsbeschluss oder EU-Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen zur Anwendung. Eine Berufung auf das EU-US Data Privacy Framework ist nur für einen tatsächlich zertifizierten Empfänger und die davon erfasste Verarbeitung möglich.

Die einschlägigen Anbieterinformationen zu Verträgen, Unterauftragnehmern und Übermittlungen sind unter anderem hier abrufbar:

Framer: https://www.framer.com/legal/data-processing-addendum
Vercel: https://vercel.com/legal/dpa
Supabase: https://supabase.com/legal/customer-resources/data-processing-addendum
Resend: https://resend.com/legal/dpa
Google Workspace: https://workspace.google.com/terms/dpa_terms.html
Google Gemini: https://ai.google.dev/gemini-api/terms
Cloudflare: https://www.cloudflare.com/cloudflare-customer-dpa/
Stripe: https://stripe.com/legal

Nähere Informationen und eine Kopie der für Ihre Daten einschlägigen Garantien können Sie unter thomas.obereder@aetherprocess.com anfordern. Erforderliche Schwärzungen zum Schutz fremder Rechte oder vertraulicher Angaben bleiben vorbehalten.

17. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nicht länger, als es für den jeweiligen Zweck und geltende Pflichten erforderlich ist. Maßgeblich sind insbesondere die Dauer der Vertragsbeziehung, die Bearbeitung eines Anliegens, gesetzliche Aufbewahrungsfristen und die Erforderlichkeit konkreter Nachweise.

Kontodaten und gespeicherte Betriebsinhalte werden grundsätzlich für die Dauer des GastroKit-Kontos vorgehalten. Die Kündigung eines Bezahlpakets lässt das kostenlose Konto bestehen und ist keine vollständige Löschanweisung.

Bei einer bestätigten vollständigen Kontolöschung entfernen wir Betriebs- und Gästedaten grundsätzlich innerhalb von 30 Tagen aus den aktiven Systemen. Einen zuvor gewünschten Export stimmen wir innerhalb dieses Ablaufs mit dem berechtigten Betrieb ab. Gesetzliche Fristen für Betroffenenanträge bleiben davon unberührt. Daten, die wegen gesetzlicher Pflichten oder konkret erforderlicher Nachweise weiter benötigt werden, bleiben auf diesen Zweck beschränkt erhalten.

Sicherungen werden nach den für das jeweilige System geltenden Aufbewahrungszyklen überschrieben beziehungsweise gelöscht. Sie dienen der Wiederherstellung und stehen nicht für die laufende Nutzung gelöschter Konten zur Verfügung. Bei einer Wiederherstellung sind bereits erteilte Löschanweisungen erneut zu berücksichtigen.

Rechnungs- und Buchhaltungsunterlagen werden grundsätzlich sieben Jahre ab dem Ende des maßgeblichen Kalenderjahres aufbewahrt. Besondere gesetzliche Vorgaben oder anhängige Verfahren können eine längere Aufbewahrung erfordern.

Kontakt- und Supportdaten werden für die Bearbeitung und gegebenenfalls für eine daraus entstehende Vertragsbeziehung benötigt. Darüber hinaus bleiben nur Daten erhalten, die zur Erfüllung von Pflichten oder für die Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche erforderlich sind.

Bei Gästeverteilern bestimmt der verantwortliche Betrieb die erforderlichen Fristen. Eine Abmeldung beendet den regulären Versand, ist jedoch nicht automatisch eine Löschung aller Nachweise. Ein Löschvorgang muss neben dem aktiven Kontakt auch personenbezogene Kopien in Versandaufträgen, Versandprotokollen und Dateien berücksichtigen, soweit für diese keine gesonderte zulässige Aufbewahrung erforderlich ist. Unbestätigte Anmeldungen dürfen nicht unbegrenzt als Vorrat für Werbung gespeichert werden. Einwilligungs- und Abmeldenachweise werden nur im erforderlichen Umfang zur Nachweisführung und Beachtung von Widersprüchen aufbewahrt. Die Sonderregeln für externe KI-Verarbeitung sind in Abschnitt 11 erläutert.

18. Ihre Rechte und Datenschutzanfragen

Unter den gesetzlichen Voraussetzungen stehen Ihnen insbesondere folgende Rechte zu:

• Auskunft darüber, ob und welche personenbezogenen Daten wir über Sie verarbeiten, sowie eine Kopie dieser Daten nach Art. 15 DSGVO.

• Berichtigung unrichtiger und Ergänzung unvollständiger Daten nach Art. 16 DSGVO.

• Löschung nach Art. 17 DSGVO, soweit keine gesetzliche Ausnahme, etwa eine Aufbewahrungspflicht, entgegensteht.

• Einschränkung der Verarbeitung nach Art. 18 DSGVO.

• Datenübertragbarkeit nach Art. 20 DSGVO für die von Ihnen bereitgestellten Daten, soweit die Verarbeitung automatisiert auf Einwilligung oder Vertrag beruht.

• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Widerspruchsrecht: Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Wir verarbeiten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Direktwerbung einschließlich eines damit verbundenen Profilings können Sie jederzeit ohne Angabe solcher Gründe widersprechen; die Daten werden anschließend nicht mehr für diese Werbung verarbeitet.

Richten Sie Ihr Anliegen an thomas.obereder@aetherprocess.com. Für eine Kontolöschung nennen Sie bitte das betroffene Konto und den Betrieb sowie, ob Sie Ihren persönlichen Zugang oder als berechtigter Betriebsverantwortlicher das vollständige Betriebskonto löschen lassen möchten. Senden Sie keine Passwörter oder API-Schlüssel. Zusätzliche Angaben zur Identitäts- und Berechtigungsprüfung verlangen wir nur, soweit erforderlich.

Wir beantworten Anträge grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang. Bei komplexen oder zahlreichen Anträgen kann die gesetzlich zulässige Verlängerung um bis zu zwei weitere Monate erforderlich sein; darüber und über die Gründe informieren wir innerhalb des ersten Monats. Gesetzliche Einschränkungen und die Rechte anderer Personen bleiben zu berücksichtigen.

Für Gästedaten und betriebliche Mitarbeiterdaten, die wir im Auftrag verarbeiten, ist grundsätzlich der jeweilige Betrieb zuständig. Wir unterstützen ihn bei der Bearbeitung. Bei einer Anfrage zu eigenen Verarbeitungen eines externen Zahlungs-, Kommunikations- oder Plattformanbieters können Sie Ihre Rechte auch unmittelbar gegenüber diesem Anbieter geltend machen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes. In Österreich ist dies:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien, Österreich
E-Mail: dsb@dsb.gv.at
Website: https://dsb.gv.at

19. Sicherheit der Verarbeitung

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor unberechtigtem Zugriff, Verlust und unzulässiger Veränderung zu schützen. Dazu gehören insbesondere verschlüsselte Transportverbindungen, rollenbezogene Zugriffsbeschränkungen, getrennte Betriebszuordnungen, geschützte Zugangsdaten und technische Sicherheitsüberwachung. Die Auswahl und Weiterentwicklung der Maßnahmen berücksichtigt Art, Umfang und Zweck der Verarbeitung sowie mögliche Risiken für betroffene Personen. Ein vollständig risikofreier Betrieb kann technisch nicht garantiert werden.

Bei Support- und Wartungsarbeiten werden Zugriffe auf personenbezogene Inhalte auf den für die jeweilige Aufgabe erforderlichen Umfang beschränkt. Gesetzlich erforderliche Meldungen und Benachrichtigungen bei Datenschutzverletzungen bleiben unberührt.

20. Aktualisierung dieser Informationen

Wir passen diese Erklärung an, wenn sich Verarbeitungen oder die rechtlichen Rahmenbedingungen ändern. Maßgeblich ist die jeweils veröffentlichte Fassung für die darin beschriebenen Verarbeitungen. Eine Textänderung ersetzt weder eine erforderliche Einwilligung noch eine andere notwendige Rechtsgrundlage.
Angaben zum Unternehmen und Datenschutzkontakt

Aether Process e.U.
Inhaber: Thomas Obereder, BSc
Markt 27, Tür 2
4280 Königswiesen, Österreich
Telefon: +43 664 4127008
E-Mail: thomas.obereder@aetherprocess.com
Website: https://aetherprocess.com
GastroKit: https://www.aether-gastrokit.app
Firmenbuchnummer: FN 658602h
Firmenbuchgericht: Landesgericht Linz
Umsatzsteuer-Identifikationsnummer: ATU82880349
GISA-Zahl: 38624636
Gewerbebehörde: Bezirkshauptmannschaft Freistadt
Gewerbewortlaut: Dienstleistungen in der automatischen Datenverarbeitung und Informationstechnik