Datenschutzerklärung

Verantwortlicher für die Verarbeitung personenbezogener Daten im Zusammenhang mit rep-eat ist:

rep-eat UG (haftungsbeschränkt)

c/o Burak Kadioglu

Hofgartenstraße 8 ½

86179 Augsburg

Deutschland

Vertreten durch den Geschäftsführer:

Burak Kadioglu

E-Mail: kontakt@rep-eat.de

Registergericht: Amtsgericht Augsburg

Handelsregister: HRB 43189

Diese Datenschutzerklärung gilt insbesondere für die Verarbeitung personenbezogener Daten bei Nutzung von:

• der rep-eat Website,
• der rep-eat Endkunden-App,
• dem Nutzerkonto,
• kostenpflichtigen rep-eat Mitgliedschaften,
• Member Drinks und Partner-Deals,
• dem Partnerportal,
• dem Affiliate-Bereich,
• Support- und Kontaktmöglichkeiten.

Sie erläutert insbesondere, welche personenbezogenen Daten wir verarbeiten, zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage die Verarbeitung beruht, welche Dienstleister eingesetzt werden und welche Rechte betroffene Personen haben.

Die Informationspflichten ergeben sich insbesondere aus Art. 13 DSGVO.

Wir verarbeiten personenbezogene Daten nur, wenn hierfür eine Rechtsgrundlage besteht.

Je nach Verarbeitung kommen insbesondere folgende Rechtsgrundlagen in Betracht:

Art. 6 Abs. 1 lit. b DSGVO – Vertrag und vorvertragliche Maßnahmen

Wenn die Verarbeitung erforderlich ist, um:

• ein Nutzerkonto bereitzustellen,
• eine Mitgliedschaft abzuschließen,
• Member Drinks oder Deals einzulösen,
• einen Partner- oder Affiliate-Vertrag abzuwickeln.

Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtungen

Beispielsweise für:

• steuerliche Aufbewahrungspflichten,
• handelsrechtliche Dokumentation,
• gesetzlich vorgeschriebene Nachweise.

Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen

Soweit erforderlich insbesondere für:

• IT-Sicherheit,
• Missbrauchs- und Betrugsprävention,
• Fehleranalyse,
• Schutz unserer Systeme,
• Durchsetzung und Verteidigung rechtlicher Ansprüche,
• sichere Administration der Plattform.

Dabei prüfen wir, ob entgegenstehende Interessen oder Rechte der betroffenen Person überwiegen.

Art. 6 Abs. 1 lit. a DSGVO – Einwilligung

Eine Einwilligung verwenden wir nur, wenn sie für den jeweiligen Zweck erforderlich ist, beispielsweise zukünftig für:

• bestimmte Marketing- oder Trackingtechnologien,
• optionale Standortfunktionen, soweit die Verarbeitung auf Einwilligung gestützt wird,
• Newsletter.

Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Die möglichen Rechtsgrundlagen der Verarbeitung sind in Art. 6 DSGVO geregelt.

Wenn Sie unsere Website aufrufen, werden technisch erforderliche Daten verarbeitet.

Dazu können insbesondere gehören:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite oder Datei,
• übertragene Datenmenge,
• Browsertyp und Browserversion,
• Betriebssystem,
• Referrer-Information,
• HTTP-Statuscode.

Die Verarbeitung dient insbesondere:

• der technischen Bereitstellung der Website,
• der Stabilität,
• der IT-Sicherheit,
• der Erkennung missbräuchlicher Zugriffe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse besteht im sicheren und zuverlässigen Betrieb unserer digitalen Dienste.

Die öffentliche rep-eat Website ist als über Lovable bereitgestellte Website vorgesehen. Bei der technischen Auslieferung der Website können insbesondere IP-Adressen, Zeitpunkt des Zugriffs, aufgerufene Seiten, Browserinformationen und Sicherheits-/Fehlerprotokolle verarbeitet werden, soweit dies für die Bereitstellung und den sicheren Betrieb erforderlich ist.

Unsere Domain und geschäftliche E-Mail-Infrastruktur werden über STRATO GmbH, Berlin, Deutschland, verwaltet beziehungsweise bereitgestellt. Bei Domain-, E-Mail- und gegebenenfalls SMTP-Leistungen können technische Kommunikations- und Verbindungsdaten verarbeitet werden.

Soweit ein Dienstleister personenbezogene Daten in unserem Auftrag verarbeitet, wird die erforderliche datenschutzrechtliche Vereinbarung auf Grundlage von Art. 28 DSGVO zugrunde gelegt. Rechtsgrundlage für die von rep-eat veranlassten Datenverarbeitungen ist – abhängig vom jeweiligen Vorgang – Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Die tatsächlichen Lovable-Hostingbedingungen, eingebundenen Unterauftragnehmer und eingesetzten technischen Dienste müssen vor der Veröffentlichung mit dem Live-Setup abgeglichen werden.

Unsere Website kann technisch erforderliche Cookies oder vergleichbare Speichertechnologien verwenden.

Technisch unbedingt erforderliche Speicher- und Zugriffsvorgänge können insbesondere notwendig sein für:

• Sitzungsverwaltung,
• Sicherheitsfunktionen,
• Login,
• Speicherung technischer Einstellungen.

Soweit eine Speicherung oder ein Zugriff auf Informationen im Endgerät unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen, kann hierfür die gesetzliche Ausnahme nach § 25 Abs. 2 TDDDG einschlägig sein.

Derzeit setzen wir nach dem vorgesehenen Launch-Konzept kein externes Marketing- oder Conversion-Tracking über Meta Pixel, TikTok Pixel, Google Analytics oder vergleichbare Dienste ein.

Einwilligungspflichtige Marketing- oder Trackingtechnologien werden nicht ohne vorherige erforderliche Einwilligung aktiviert.

Vor Veröffentlichung der Website wird geprüft, welche Cookies, lokalen Speicherzugriffe, Fehler- und Nutzungsanalysen oder externen Dienste im tatsächlichen Lovable-Produktivbetrieb eingesetzt werden.

Bei der Registrierung eines rep-eat Nutzerkontos verarbeiten wir insbesondere:

• interne Nutzer-ID,
• Vorname,
• Nachname,
• Anzeigename,
• E-Mail-Adresse,
• Passwort in technisch gesicherter Form beziehungsweise Passwort-Hash,
• E-Mail-Verifizierungsstatus,
• Kundennummer,
• Erstellungs- und Änderungszeitpunkte,
• Kontostatus.

Das Passwort wird nicht im Klartext in unserer Anwendungsdatenbank gespeichert.

Die Verarbeitung erfolgt zur:

• Registrierung,
• Authentifizierung,
• Verwaltung des Nutzerkontos,
• Bereitstellung der rep-eat Dienste.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

rep-eat ist ausschließlich für Personen ab 18 Jahren vorgesehen.

Bei der Registrierung dokumentieren wir daher, dass der Nutzer bestätigt hat, mindestens 18 Jahre alt zu sein.

Hierzu speichern wir grundsätzlich:

• Nutzer-ID,
• Zeitpunkt der Bestätigung,
• verwendete Legal-Version.

Zum regulären Marktstart ist nicht vorgesehen, allein zu diesem Zweck das vollständige Geburtsdatum oder eine Kopie eines Ausweisdokuments zu speichern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an der Durchsetzung der 18+-Nutzungsregel gemäß Art. 6 Abs. 1 lit. f DSGVO.

Beim Abschluss und während der Verwaltung einer Mitgliedschaft verarbeiten wir insbesondere:

• gewählten Tarif,
• Preis,
• Mindestlaufzeit,
• Vertragsbeginn,
• Abrechnungsintervall,
• Vertragsstatus,
• Kündigungsstatus,
• Vertragsende,
• verwendete AGB-Version,
• Zeitpunkt der AGB-Annahme,
• bereitgestellte Datenschutzerklärungs-Version,
• bereitgestellte Widerrufsbelehrung,
• Erklärung zum sofortigen Leistungsbeginn,
• Checkout-Referenzen.

Diese Daten benötigen wir zur:

• Durchführung des Vertrags,
• Dokumentation rechtlich relevanter Erklärungen,
• Bearbeitung von Kündigungen und Widerrufen,
• Verteidigung und Durchsetzung rechtlicher Ansprüche.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und – soweit erforderlich – lit. f DSGVO.

Für kostenpflichtige Mitgliedschaften verarbeiten wir insbesondere:

• Tarif,
• Zahlungsstatus,
• Rechnungsbetrag,
• Währung,
• Abrechnungszeitraum,
• Stripe-Kunden-ID,
• Stripe-Checkout-Session-ID,
• Stripe-Subscription-ID,
• Rechnungs- und Zahlungsreferenzen,
• Erstattungen,
• fehlgeschlagene Zahlungen,
• gegebenenfalls Chargebacks.

Wir speichern grundsätzlich keine vollständigen Zahlungskartendaten in unserer eigenen Datenbank.

Zur Zahlungsabwicklung nutzen wir:

Stripe

Für Unternehmen außerhalb Nord- und Südamerikas sieht Stripes aktuelles DPA grundsätzlich Stripe Payments Europe, Limited als Vertragspartner für entsprechende DPA-Verarbeitungen vor. Stripe kann je nach konkreter Verarbeitung sowohl als Auftragsverarbeiter als auch für bestimmte eigene Zwecke als eigenständiger Verantwortlicher handeln.

Im Rahmen des Checkout können insbesondere an Stripe übermittelt beziehungsweise dort erhoben werden:

• Name,
• E-Mail-Adresse,
• interne Nutzerreferenz,
• Tarif,
• Preis,
• Währung,
• Rechnungsanschrift,
• Telefonnummer, soweit im Checkout abgefragt,
• Zahlungsinformationen,
• Zahlungsstatus,
• Promotion-Code,
• Vertrags- und Checkout-Metadaten.

Stripe verarbeitet außerdem eigene technische und sicherheitsbezogene Informationen, unter anderem zur Zahlungs- und Betrugsprävention.

Rechtsgrundlage für die von uns veranlasste Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO.

Soweit gesetzliche Abrechnungs- und Aufbewahrungspflichten bestehen, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Wenn Sie einen Member Drink oder Partner-Deal einlösen, verarbeiten wir insbesondere:

• Nutzer-ID,
• Partner-ID,
• Deal-ID,
• Einlösungs-ID,
• Redemption-Token-Referenz,
• Zeitpunkt der Einlösung,
• Kalendertag beziehungsweise relevante Nutzungsperiode,
• Einlösungsstatus,
• gegebenenfalls Stornierung,
• verwendete Limits,
• technische Quelle der Einlösung.

Diese Daten werden benötigt, um:

• die Einlösung zu ermöglichen,
• das tägliche Member-Drink-Limit zu prüfen,
• Deal-Limits zu prüfen,
• Doppel- und Mehrfacheinlösungen zu verhindern,
• Partnerabrechnungen zu ermöglichen,
• Missbrauch zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für Sicherheits-, Betrugs- und Missbrauchsprävention kann ergänzend Art. 6 Abs. 1 lit. f DSGVO gelten.

Ein Partner erhält nur diejenigen Informationen, die für die Durchführung und Dokumentation einer konkreten Einlösung erforderlich sind.

Dazu können insbesondere gehören:

• gültig/ungültig Status,
• betroffener Deal beziehungsweise Member Drink,
• Zeitpunkt,
• Einlösungsstatus,
• für den Partner relevante Nutzungsinformationen.

Der Partner erhält grundsätzlich keinen allgemeinen Zugriff auf:

• Ihre vollständige E-Mail-Adresse,
• Ihre Telefonnummer,
• Ihre Zahlungsmitteldaten,
• Ihre vollständige Zahlungshistorie.

Eine konkrete gastronomische Leistung wird vom jeweiligen Partner in eigener Verantwortlichkeit erbracht.

Soweit ein Partner personenbezogene Daten für eigene Zwecke verarbeitet, beispielsweise bei einer eigenen Zusatzbestellung oder einer gesetzlichen Alterskontrolle, ist er hierfür grundsätzlich selbst datenschutzrechtlich verantwortlich.

Zur sicheren Einlösung werden kurzfristig gültige Redemption-Tokens erzeugt.

Diese Tokens dienen ausschließlich der:

• Authentifizierung der konkreten Einlösung,
• Verhinderung von Kopien und Mehrfacheinlösungen,
• technischen Validierung.

Ein Token ist nur kurzzeitig gültig, derzeit grundsätzlich etwa 60 Sekunden.

Abgelaufene Tokenwerte werden nicht dauerhaft als aktiv nutzbare Berechtigung gespeichert.

Technische Informationen zu abgelaufenen Tokens können für kurze Zeit zur:

• Fehleranalyse,
• Betrugsprävention,
• IT-Sicherheit

verarbeitet werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

rep-eat kann optionale Standortfunktionen anbieten, beispielsweise:

• Partner in der Nähe anzeigen,
• Karte auf den aktuellen Standort zentrieren,
• Partner nach Entfernung sortieren.

Hierfür kann die App auf den vom Endgerät bereitgestellten Standort zugreifen.

Die Standortfunktion ist grundsätzlich optional.

Ohne Standortfreigabe soll die Suche nach Partnern weiterhin über:

• Partnerliste,
• Adresse,
• Stadt,
• sonstige Suchfunktionen

möglich sein.

Wir planen keine permanente Speicherung eines Bewegungsprofils des Nutzers und keine dauerhafte Hintergrundverfolgung des Standorts.

Die aktuelle Position soll grundsätzlich nur für die jeweilige Standortfunktion verarbeitet werden.

Soweit wir die präzise Geräteposition auf Grundlage einer Einwilligung verarbeiten, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO.

Die Berechtigung kann über die Systemeinstellungen des Geräts widerrufen werden.

Zur Darstellung von Partnerstandorten verwenden wir Funktionen der Google Maps Platform.

Dabei können technisch insbesondere verarbeitet werden:

• IP-Adresse,
• Geräte- beziehungsweise Browserinformationen,
• API-/Projektkennungen,
• Kartenanfragen,
• gegebenenfalls Standortdaten, wenn die entsprechende Standortfunktion genutzt wird.

Google weist für die Google Maps Platform unter anderem auf die Protokollierung von IP-Adressen und technischen Anfrageinformationen hin.

Google Maps wird insbesondere verwendet für:

• Kartendarstellung,
• Anzeige von Gastronomiepartnern,
• Orientierung innerhalb der App.

Die Karte ist nicht die einzige Möglichkeit, Partner zu finden.

Soweit eine Website-Version von Google Maps eine einwilligungspflichtige Verbindung zum Anbieter auslöst, wird diese erst nach der erforderlichen Einwilligung geladen.

Google verlangt für Maps-Implementierungen zudem eine öffentlich zugängliche Datenschutzerklärung, die den Einsatz der Maps APIs transparent beschreibt.

Für zentrale technische Funktionen verwenden wir die Supabase-Plattform.

Supabase stellt für rep-eat insbesondere bereit:

• PostgreSQL-Datenbank,
• Nutzer-Authentifizierung,
• API,
• Storage,
• Edge Functions.

Diese Bestandteile gehören zum offiziellen Supabase-Plattformangebot.

Unser primäres Supabase-Projekt ist derzeit in der Region:

West EU – Irland (eu-west-1)

bereitgestellt. Supabase führt eu-west-1 als Region „West EU (Ireland)“.

In Supabase werden je nach Nutzung insbesondere gespeichert:

• Nutzerkontodaten,
• Profilinformationen,
• Vertragsstatus,
• Partnerdaten,
• Deals,
• Einlösungen,
• technische Tokeninformationen,
• Vertrags-/Legal-Nachweise,
• Partner- und Affiliate-Daten.

Supabase bietet unter anderem Sicherheitsfunktionen wie Row Level Security und weitere Zugriffskontrollen für seine Data API.

Bestimmte serverseitige Prozesse werden über Supabase Edge Functions durchgeführt.

Dazu können insbesondere gehören:

• Erzeugung von Einlösungstokens,
• Prüfung von Einlösungstokens,
• Erstellung von Stripe Checkout Sessions,
• Verarbeitung von Stripe Webhooks,
• Subscription-Verwaltung,
• Affiliate-Code-Verarbeitung,
• Verwaltungsfunktionen im Partnerportal.

Supabase Edge Functions können abhängig von der Konfiguration regional ausgeführt werden. Supabase dokumentiert, dass Edge Functions standardmäßig in einer dem aufrufenden Nutzer nahen Region ausgeführt werden können.

Vor dem produktiven Launch wird deshalb die regionale Konfiguration für Funktionen mit personenbezogenen Daten abschließend geprüft.

Für sicherheits- und kontobezogene E-Mails verwenden wir insbesondere Supabase Auth in Verbindung mit einem eigenen SMTP-Versand über STRATO.

Hierzu gehören beispielsweise:

• E-Mail-Verifizierung,
• Passwort-zurücksetzen,
• sicherheitsbezogene Nachrichten,
• kontobezogene Systeminformationen.

Dabei werden insbesondere verarbeitet:

• E-Mail-Adresse,
• Nachrichtentyp,
• technische Versandinformationen,
• gegebenenfalls Authentifizierungslink beziehungsweise Token.

Der Versand erfolgt über die für rep-eat eingerichtete Absenderadresse, derzeit insbesondere:

kontakt@rep-eat.de

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise bei sicherheitsbezogenen Maßnahmen Art. 6 Abs. 1 lit. f DSGVO.

Stripe kann im Rahmen der Zahlungsabwicklung insbesondere:

• Rechnungen,
• Zahlungsbestätigungen,
• Mitteilungen zu fehlgeschlagenen Zahlungen

versenden.

Hierfür verarbeitet Stripe insbesondere:

• E-Mail-Adresse,
• Vertrags-/Zahlungsdaten,
• Rechnungsinformationen.

Die Verarbeitung erfolgt im Zusammenhang mit dem jeweiligen Vertrags- und Zahlungsvorgang.

Für den Versand notwendiger vertrags- und vorgangsbezogener E-Mails ist der Dienst Brevo als technischer Versanddienstleister eingebunden. Die automatisierte produktive Zustellung wird erst vor dem öffentlichen Start freigeschaltet. Die Nachrichten umfassen insbesondere Vertragsbestätigungen sowie Eingangsbestätigungen zu Kündigungen und Widerrufserklärungen. Authentifizierungsnachrichten über Supabase Auth/STRATO und Zahlungsmitteilungen durch Stripe bleiben hiervon getrennte Vorgänge.

Je nach Nachricht verarbeiten wir hierzu insbesondere:

• Name und E-Mail-Adresse der empfangenden Person,
• Vertrags- und Vorgangsreferenz, gebuchter Tarif beziehungsweise Art des Antrags,
• Datum und Uhrzeit des Vorgangs und der Nachrichtenübermittlung,
• bei rechtlichen Erklärungen den für die Bestätigung erforderlichen Erklärungsinhalt,
• technische Versand- und Statusinformationen wie Nachrichtenkennung, Annahme, Zustellung und Fehlerstatus.

Die Daten werden zum Versand, zur Dokumentation gesetzlich oder vertraglich erforderlicher Mitteilungen, zur Fehlerbehebung und zur Nachweisbarkeit verarbeitet. Rechtsgrundlage ist je nach Vorgang Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen) oder, soweit erforderlich, Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchs- und Fehlerprävention).

Soweit Brevo personenbezogene Daten in unserem Auftrag verarbeitet, gelten die Anforderungen an die Auftragsverarbeitung nach Art. 28 DSGVO. Brevo gibt an, dass seine zentralen Datenbanksysteme innerhalb der Europäischen Union gehostet werden. Eine Beteiligung von Unterauftragsverarbeitern und mögliche internationale Datenübermittlungen werden dadurch nicht generell ausgeschlossen; ergänzend gilt der Abschnitt „Datenverarbeitung außerhalb des Europäischen Wirtschaftsraums“.

Brevo kann technische Transaktions- und Ereignislogs sowie E-Mail-Vorschauen speichern. Deren Aufbewahrungsdauer hängt auch von den im Brevo-Konto eingerichteten Einstellungen ab. Diese werden vor dem produktiven Start überprüft und nach den anwendbaren Aufbewahrungs- und Nachweispflichten sowie dem Grundsatz der Datenminimierung konfiguriert.

Für notwendige Vertrags- und Rechtsmitteilungen ist keine Werbeeinwilligung erforderlich. Eine Nutzung von Brevo für Werbung oder Newsletter ist hiervon unabhängig und setzt eine eigene dafür bestehende Rechtsgrundlage voraus. Derzeit wird Brevo nicht als aktives Newsletter-System verwendet.

Wenn Sie uns kontaktieren, verarbeiten wir die von Ihnen übermittelten Informationen.

Dies können insbesondere sein:

• Name,
• E-Mail-Adresse,
• Nutzer-ID,
• Inhalt der Anfrage,
• betroffener Deal oder Partner,
• Vertrags- beziehungsweise Zahlungsinformationen,
• Anhänge oder Screenshots.

Die Verarbeitung erfolgt:

• zur Bearbeitung Ihrer Anfrage,
• zur Durchführung des Vertrags,
• zur Fehlerbehebung,
• gegebenenfalls zur Rechtsverteidigung.

Rechtsgrundlage ist abhängig vom Inhalt Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Bitte senden Sie uns über normale Supportkanäle keine:

• Passwörter,
• vollständigen Zahlungskartendaten,
• geheimen Zugriffsschlüssel.

Für Gastronomiepartner verarbeiten wir zusätzlich insbesondere:

• Unternehmensname,
• Anschrift,
• Ansprechpartner,
• geschäftliche E-Mail-Adresse,
• Telefonnummer,
• Website und Social-Media-Angaben,
• Partnerstandort,
• Portalnutzer,
• Rollen und Berechtigungen,
• Einlösungs- und Abrechnungsdaten,
• Bankdaten,
• steuerliche Angaben,
• Vertragsstatus,
• Audit- und Sicherheitsinformationen.

Bei Einzelunternehmern kann die Verarbeitung unmittelbar zur Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO erfolgen.

Bei Ansprechpartnern oder Mitarbeitern juristischer Personen beruht die Verarbeitung regelmäßig auf unserem berechtigten Interesse an der Durchführung und Verwaltung der Geschäftsbeziehung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Steuer- und Abrechnungsdaten können zusätzlich aufgrund gesetzlicher Verpflichtungen nach Art. 6 Abs. 1 lit. c DSGVO verarbeitet werden.

Die rep-eat Homepage sowie das Partner- und Adminportal werden derzeit mit Technologien von Lovable entwickelt beziehungsweise für den Produktivbetrieb vorbereitet.

Soweit Lovable im produktiven Betrieb personenbezogene Kundendaten für rep-eat verarbeitet, erfolgt dies entsprechend der jeweils vereinbarten datenschutzrechtlichen Vertragsgrundlage.

Lovable beschreibt in seinem aktuellen DPA die Verarbeitung von „Customer Personal Data“ im Auftrag des Kunden und unterscheidet daneben bestimmte eigene Verarbeitungen von Service- und Logdaten. Das DPA wird nach Anbieterangaben derzeit für Business- und Enterprise-Tarife bereitgestellt.

Vor Veröffentlichung zu prüfen: Der tatsächlich verwendete Lovable-Tarif, der erforderliche DPA/AVV sowie der konkrete Datenfluss und die Empfänger beim Hosting und gegebenenfalls bei Fehlerprotokollen müssen für den Produktivbetrieb bestätigt sein.

Die Endkunden-App wird mit FlutterFlow entwickelt.

FlutterFlow dient dabei in erster Linie als Entwicklungs- und Build-Werkzeug. Die produktiven Nutzer-, Vertrags- und Einlösungsdaten werden nach der derzeit vorgesehenen Architektur primär über Supabase und die jeweils angebundenen Dienste verarbeitet.

FlutterFlow unterstützt die Erstellung exportierbarer Flutter-Anwendungen und deren Anbindung an externe Backends und APIs.

Vor dem produktiven Release wird geprüft, ob durch:

• Test Mode,
• Run Mode,
• Build-/Deployment-Funktionen,
• zusätzliche FlutterFlow-Integrationen

produktive personenbezogene Endnutzerdaten an FlutterFlow übermittelt werden.

Soweit dies nicht erfolgt, wird FlutterFlow nicht als regulärer Empfänger von Endkundendaten behandelt.

Soweit das Affiliate-Programm aktiviert wird, verarbeiten wir bei Affiliates insbesondere:

• Name beziehungsweise Unternehmen,
• Kontaktdaten,
• Affiliate-Code,
• vermittelte qualifizierte Abschlüsse,
• Provisionsstatus,
• Rechnungen,
• Bankdaten,
• Steuerinformationen.

Endkunden werden im Affiliate-Reporting grundsätzlich nicht mit vollständigen personenbezogenen Kontakt- oder Zahlungsinformationen offengelegt.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und gegebenenfalls lit. f DSGVO.

Wir können aus unseren eigenen Vertrags- und Einlösungsdaten interne Statistiken erstellen, beispielsweise über:

• Zahl aktiver Mitgliedschaften,
• Zahl bestätigter Einlösungen,
• Kündigungen,
• Umsätze,
• Partnerauszahlungen,
• Nutzung einzelner Deals.

Soweit hierfür personenbezogene Daten erforderlich sind, erfolgt die Verarbeitung zur:

• Durchführung des Geschäftsmodells,
• betriebswirtschaftlichen Steuerung,
• Verbesserung der Plattform,
• Missbrauchsprävention.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung nicht bereits zur Vertragserfüllung erforderlich ist.

Wo möglich, werden Auswertungen aggregiert oder anonymisiert.

Zum Stand dieser Datenschutzerklärung setzen wir nach dem vorgesehenen Produktionssetup kein externes Marketing- oder Conversion-Tracking wie insbesondere:

• Meta Pixel,
• TikTok Pixel,
• Google Analytics,
• vergleichbare Werbe-SDKs

für das Verhalten unserer Endnutzer ein.

Eine manuelle Eingabe eines Affiliate- oder Promotion-Codes ist kein allgemeines Nutzertracking.

Soll zukünftig Marketing- oder Conversion-Tracking eingeführt werden, wird:

1. der konkrete Anbieter festgelegt,

2. diese Datenschutzerklärung vor Aktivierung aktualisiert,

3. eine gegebenenfalls erforderliche Einwilligung eingeholt,

4. eine Ablehnungsmöglichkeit bereitgestellt.

Ein zukünftiger Trackinganbieter wird nicht aufgrund einer vorsorglichen pauschalen Einwilligung aktiviert.

Ein allgemeiner Marketing-Newsletter ist zum aktuellen Stand nicht als aktiver Bestandteil des Systems beschrieben.

Soweit zukünftig ein Newsletter angeboten wird, erfolgt der Versand grundsätzlich nur auf Grundlage einer dafür bestehenden Rechtsgrundlage, insbesondere einer entsprechenden Einwilligung.

Eine Newsletter-Einwilligung ist:

• freiwillig,
• getrennt vom Vertragsschluss,
• jederzeit mit Wirkung für die Zukunft widerrufbar.

Notwendige Vertrags-, Sicherheits- und Zahlungsinformationen sind keine Newsletter-Werbung.

Personenbezogene Daten können abhängig vom Vorgang insbesondere an folgende Kategorien von Empfängern übermittelt werden:

• Hosting- und Backenddienstleister,
• Zahlungsdienstleister,
• E-Mail-Dienstleister,
• Karten- und Standortdienste,
• Entwicklungs- und Portalplattformen, soweit sie produktive Daten verarbeiten,
• Gastronomiepartner im für eine konkrete Einlösung erforderlichen Umfang,
• Steuerberater und Buchhaltung,
• Rechtsberater,
• Behörden oder Gerichte, soweit hierfür eine gesetzliche Verpflichtung oder Rechtsgrundlage besteht.

Wir verkaufen keine personenbezogenen Endkundendaten an Gastronomiepartner oder Werbetreibende.

Soweit Dienstleister personenbezogene Daten ausschließlich nach unserer Weisung verarbeiten, setzen wir diese als Auftragsverarbeiter auf Grundlage von Art. 28 DSGVO ein.

Art. 28 DSGVO verpflichtet Verantwortliche unter anderem dazu, geeignete Auftragsverarbeiter vertraglich zu binden.

Die konkrete Anbieter- und Unterauftragsverarbeiterliste wird intern regelmäßig überprüft.

Einige eingesetzte Dienstleister oder deren Unterauftragnehmer können personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums verarbeiten.

Dies kann insbesondere bei international tätigen Technologieanbietern relevant sein.

Wenn personenbezogene Daten in ein Drittland übermittelt werden, achten wir auf eine nach der DSGVO zulässige Grundlage, insbesondere:

• einen Angemessenheitsbeschluss der Europäischen Kommission,
• geeignete Garantien wie EU-Standardvertragsklauseln,
• sonstige gesetzlich vorgesehene Transfermechanismen.

Art. 13 DSGVO verlangt, dass Betroffene über beabsichtigte Drittlandübermittlungen und die hierfür verwendeten Garantien informiert werden.

Stripe führt eine internationale Unterauftragnehmerstruktur und ein DPA, das entsprechende Datenverarbeitungs- und Transferregelungen enthält.

Bei Supabase befindet sich die primäre Datenbank von rep-eat derzeit in Irland; einzelne technische Verarbeitungen und Unterauftragnehmer können davon unabhängig gesondert zu betrachten sein.

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für den jeweiligen Zweck erforderlich ist.

Danach werden die Daten:

• gelöscht,
• anonymisiert oder
• für die weitere normale Verarbeitung gesperrt, soweit eine gesetzliche Aufbewahrungspflicht besteht.

Nach einer wirksamen Löschungsanfrage sollen nicht mehr benötigte operative Kontodaten grundsätzlich innerhalb von:

30 Tagen

gelöscht beziehungsweise anonymisiert werden.

Dies gilt nicht für Daten, die weiterhin benötigt werden:

• zur Abwicklung eines bestehenden Vertrags,
• zur Erfüllung gesetzlicher Aufbewahrungspflichten,
• zur Durchsetzung oder Verteidigung rechtlicher Ansprüche.

Die Löschung eines Kontos und die Beendigung eines laufenden Vertrags können deshalb unterschiedliche Zeitpunkte haben.

Daten zum Nachweis von:

• Vertragsschluss,
• AGB-Annahme,
• Kündigung,
• Widerruf,
• sonstigen rechtlich relevanten Erklärungen

können grundsätzlich bis zum Ablauf der maßgeblichen gesetzlichen Verjährungsfristen gespeichert werden.

Für gewöhnliche zivilrechtliche Ansprüche kann dies insbesondere eine Aufbewahrung bis zum Ende des dritten vollständigen Kalenderjahres nach dem maßgeblichen Vertragsende beziehungsweise Ereignis erforderlich machen.

Längere Speicherung bleibt möglich, soweit im konkreten Fall:

• ein Rechtsstreit,
• eine gesetzliche Sonderfrist,
• eine Rechtsverteidigung

dies erfordert.

Unterlagen mit steuer- oder handelsrechtlicher Aufbewahrungspflicht werden entsprechend den gesetzlichen Fristen gespeichert.

Aktuell gelten insbesondere:

• 10 Jahre für bestimmte Bücher, Inventare, Jahresabschlüsse und vergleichbare Unterlagen,
• 8 Jahre für Buchungsbelege und Rechnungen,
• 6 Jahre für bestimmte Handels- und Geschäftsbriefe.

Die aktuellen steuerlichen Aufbewahrungsfristen ergeben sich insbesondere aus § 147 AO, § 257 HGB und für Rechnungen aus § 14b UStG.

Personalisierte Einlösungsdaten werden grundsätzlich nur so lange gespeichert, wie sie benötigt werden für:

• Vertragsdurchführung,
• Missbrauchsprüfung,
• Partnerabrechnung,
• Reklamationen,
• rechtliche Ansprüche.

Soweit möglich, werden Daten anschließend anonymisiert beziehungsweise auf eine für Abrechnung und Nachweis notwendige Referenz reduziert.

Abrechnungsrelevante Informationen können aufgrund gesetzlicher Aufbewahrungspflichten länger gespeichert werden.

Nicht erfolgreich abgeschlossene oder abgebrochene Checkout-Vorgänge sollen grundsätzlich wesentlich kürzer gespeichert werden als erfolgreich abgeschlossene Verträge.

Interne Zielwerte sind:

• abgebrochene/fehlgeschlagene Checkout-Daten: grundsätzlich bis zu 90 Tage,
• notwendige Informationen zu fehlgeschlagenen Zahlungen: grundsätzlich bis zu 12 Monate,

soweit nicht im konkreten Fall eine längere Speicherung wegen:

• Rechtsverteidigung,
• Betrugsprüfung,
• gesetzlicher Pflichten

erforderlich ist.

Allgemeine Supportanfragen werden grundsätzlich nicht dauerhaft gespeichert.

Als interne Zielwerte gelten:

• allgemeine Supportanfragen: grundsätzlich bis zu 12 Monate nach Abschluss,
• vertrags- oder rechtsrelevante Vorgänge: gegebenenfalls bis zum Ablauf der maßgeblichen Verjährungsfrist.

Nicht erforderliche besonders sensible Informationen, die ein Nutzer selbst in eine Supportanfrage einfügt, sollen nach Möglichkeit früher entfernt beziehungsweise geschwärzt werden.

Technische Logs werden grundsätzlich nur so lange gespeichert, wie dies für:

• IT-Sicherheit,
• Fehleranalyse,
• Missbrauchsprävention

erforderlich ist.

Die konkrete Speicherdauer kann vom eingesetzten System und vom Sicherheitsereignis abhängen.

Interne Zielwerte sind insbesondere:

• allgemeine Server-/Sicherheitslogs: möglichst kurze operative Speicherung,
• Authentifizierungs- und Login-Sicherheitsdaten: grundsätzlich bis zu 90 Tage,
• sicherheitsrelevante Auditdaten: erforderlichenfalls länger zur Rechtsverteidigung und Nachvollziehbarkeit.

Wir treffen technische und organisatorische Maßnahmen, um personenbezogene Daten entsprechend dem jeweiligen Risiko zu schützen.

Dazu gehören abhängig vom System insbesondere:

• verschlüsselte Übertragung,
• Rollen- und Berechtigungskonzepte,
• Row Level Security,
• getrennte Nutzerrollen,
• Zugriffsbeschränkungen,
• Protokollierung sicherheitsrelevanter Vorgänge,
• Schutz von geheimen Schlüsseln,
• Backups und Wiederherstellungsverfahren,
• Sicherheitsupdates,
• Missbrauchs- und Betrugsprävention.

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt insbesondere Vertraulichkeit, Integrität, Verfügbarkeit sowie Verfahren zur regelmäßigen Überprüfung der Sicherheitsmaßnahmen.

Zum derzeitigen Stand treffen wir keine ausschließlich automatisierten Entscheidungen, die gegenüber Endnutzern rechtliche Wirkung entfalten oder sie in vergleichbarer Weise erheblich beeinträchtigen.

Technische Systeme können beispielsweise:

• ungewöhnliche Einlösungen markieren,
• Nutzungslimits prüfen,
• Sicherheitswarnungen erzeugen.

Wesentliche dauerhafte Sperr- oder Missbrauchsentscheidungen sollen auf Antrag einer menschlichen Überprüfung zugänglich sein.

Einige personenbezogene Daten sind erforderlich, damit wir einen Vertrag abschließen oder eine bestimmte Funktion bereitstellen können.

Beispielsweise benötigen wir:

• eine E-Mail-Adresse für ein Nutzerkonto,
• Vertragsdaten für eine Mitgliedschaft,
• Zahlungsinformationen für einen kostenpflichtigen Tarif,
• technische Einlösungsdaten für Member Drinks und Deals.

Ohne diese Daten kann die entsprechende Leistung gegebenenfalls nicht bereitgestellt werden.

Optionale Angaben werden als solche behandelt.

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

Auskunft

Sie können Auskunft darüber verlangen, ob und welche personenbezogenen Daten wir über Sie verarbeiten.

Berichtigung

Sie können die Berichtigung unrichtiger und gegebenenfalls die Vervollständigung unvollständiger Daten verlangen.

Löschung

Sie können unter den gesetzlichen Voraussetzungen die Löschung personenbezogener Daten verlangen.

Einschränkung der Verarbeitung

Unter den gesetzlichen Voraussetzungen können Sie eine Einschränkung der Verarbeitung verlangen.

Datenübertragbarkeit

Soweit die gesetzlichen Voraussetzungen erfüllt sind, können Sie personenbezogene Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.

Widerspruch

Wenn eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen die Verarbeitung einlegen.

Widerruf einer Einwilligung

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung wird dadurch nicht berührt.

Die Rechte auf Einschränkung, Datenübertragbarkeit und Widerspruch sind insbesondere in Art. 18, 20 und 21 DSGVO geregelt.

Sie können Ihre Datenschutzrechte insbesondere über folgende Adresse ausüben:

kontakt@rep-eat.de

Soweit die betreffende Funktion später in der App angeboten wird, können Anfragen zusätzlich über:

Einstellungen → Datenschutz

eingereicht werden.

Wir können zur Verhinderung unbefugter Datenherausgabe eine angemessene Identitätsprüfung durchführen.

Hierfür verlangen wir nicht routinemäßig eine vollständige Ausweiskopie.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für private Unternehmen mit Sitz in Bayern ist grundsätzlich zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18

91522 Ansbach

Deutschland

Das BayLDA überwacht private Wirtschaftsunternehmen und andere nichtöffentliche Stellen in Bayern.

Sie können sich auch an eine andere nach der DSGVO zuständige Aufsichtsbehörde wenden.

Wir passen diese Datenschutzerklärung an, wenn sich:

• unsere Datenverarbeitungen,
• eingesetzte Dienstleister,
• gesetzliche Vorgaben,
• technische Funktionen

ändern.

Eine aktualisierte Fassung erhält eine neue Version und ein neues Standdatum.

Bei wesentlichen Änderungen, die eine bestehende Verarbeitung von Nutzerdaten betreffen, informieren wir angemessen.

Eine Änderung der Datenschutzerklärung ersetzt keine erforderliche Einwilligung.

Dokument: rep-eat Datenschutzerklärung

Version: privacy-2026-10-v3

Stand: 16. Oktober 2026