DSGVO und QR-Bestellung: welche Daten anfallen und was der Betrieb regeln muss
Bei einer QR-Bestellung fallen deutlich weniger personenbezogene Daten an als oft vermutet: Der Gast bestellt ohne Konto, ohne App und ohne hinterlegte Zahlungsdaten — verarbeitet werden im Kern Bestellinhalt und Tischnummer. Der Betrieb bleibt datenschutzrechtlich Verantwortlicher und schließt mit dem Systemanbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine eigene Datenschutzerklärung, die die QR-Bestellung erwähnt, gehört dazu.
Welche Daten bei der QR-Bestellung entstehen
| Datum | Wann es anfällt | Personenbezug |
|---|---|---|
| Bestellinhalt und Tischnummer | bei jeder Bestellung | für sich genommen keiner — der Tisch identifiziert keine Person |
| Name oder Zimmernummer | nur wenn der Betrieb es abfragt, etwa im Hotel | ja — sparsam einsetzen |
| Technische Zugriffsdaten (IP-Adresse) | beim Aufruf der Seite, wie bei jeder Webseite | ja — kurzlebig, für Betrieb und Sicherheit |
| Konto, Bewegungsprofil, Zahlungsdaten des Gastes | entstehen nicht — es gibt kein Gästekonto | — |
Der wichtigste Punkt steht in der letzten Zeile: Ein Bestellsystem ohne Gäste-Registrierung ist von Haus aus datensparsam. Es gibt kein Profil, das angelegt, gepflegt oder gelöscht werden müsste — die Bestellung gehört zum Tisch, nicht zur Person.
Die Rollenverteilung: Betrieb und Anbieter
- Der Betrieb ist Verantwortlicher im Sinne der DSGVO: Er entscheidet, welche Daten er von Gästen erhebt — etwa ob im Hotel die Zimmernummer abgefragt wird.
- Der Systemanbieter ist Auftragsverarbeiter: Er verarbeitet die Daten nur nach Weisung. Grundlage ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — bei MenuMonkeys steht er zum Abschluss bereit.
- Die Datenschutzerklärung des Betriebs muss die QR-Bestellung erwähnen: was verarbeitet wird, auf welcher Grundlage (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO) und wer der Dienstleister ist.
- Auskunft und Löschung bleiben Pflichten des Betriebs — bei einem System ohne Gästekonto sind sie erfreulich kurz zu beantworten.
Woran Betriebe bei der Auswahl denken sollten
- Gibt es einen AVV, und lässt er sich ohne Verhandlungsrunden abschließen?
- Werden sensible Daten verschlüsselt gespeichert?
- Kommt das System ohne Gäste-Registrierung und ohne Tracking-Konto aus?
- Sind Speicherfristen definiert — werden alte Bestelldaten also nicht ewig aufbewahrt?
Müssen Gäste für die QR-Bestellung ein Konto anlegen?
Nein. Der Gast scannt, bestellt und fertig — ohne Registrierung, ohne App, ohne hinterlegte Zahlungsdaten. Genau deshalb ist die QR-Bestellung datenschutzrechtlich unkomplizierter als fast jede Bestell-App.
Braucht mein Betrieb einen Auftragsverarbeitungsvertrag?
Ja. Sobald ein Dienstleister Daten verarbeitet, die im Verantwortungsbereich des Betriebs anfallen, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Seriöse Anbieter stellen ihn fertig bereit; bei MenuMonkeys ist er Teil des Vertragsabschlusses.
Muss ich meine Datenschutzerklärung anpassen?
Ja, in einem überschaubaren Umfang: Die QR-Bestellung wird als Verarbeitung genannt, mit Zweck, Rechtsgrundlage und dem Anbieter als Auftragsverarbeiter. Die Vorlage des Anbieters oder der eigene Datenschutzbeauftragte hilft beim Formulieren.