Datenschutzhinweise zum Catering-Angebotssystem

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

2. Geltungsbereich

Diese Hinweise gelten für das öffentliche Catering-Angebotssystem auf ribwich.de. Das System ermöglicht nach einer SMS-Verifikation die Prüfung eines gewünschten Veranstaltungstermins, die Erstellung einer unverbindlichen Angebotsvorschau und auf Wunsch die Anforderung eines persönlich geprüften Angebots. Die Verarbeitung erfolgt technisch über unser ERP auf service.ribwich.de. ERP steht für „Enterprise Resource Planning“ und bezeichnet unser internes Verwaltungs- und Planungssystem. Darin prüfen wir unter anderem Termine und Verfügbarkeiten, berechnen die Angebotsvorschau und bearbeiten eingegangene Catering-Anfragen.

3. Verarbeitete Daten

Je nach Nutzung verarbeiten wir insbesondere folgende Daten:

• Mobiltelefonnummer sowie technische Daten zur SMS-Verifikation, etwa Verifikationsstatus, Gültigkeitszeitraum und Anzahl der Versuche,
• Veranstaltungsdatum, Ausgabezeiten, Gästezahl, Veranstaltungsart, Bezeichnung und freiwillige Beschreibung,
• Veranstaltungs- und gegebenenfalls Rechnungsadresse einschließlich Koordinaten, wenn eine Adresse aus der Vorschlagsliste übernommen wird,
• Name, E-Mail-Adresse, Firma, Ansprechpartner vor Ort, optionale Nachricht sowie gegebenenfalls Umsatzsteuer-ID oder Bestellnummer/Kostenstelle,
• Produktauswahl, vom ERP berechnete Angebotspositionen und Preise, Vorschau- und Anfragereferenz,
• technische Verbindungs- und Sicherheitsdaten wie IP-Adresse, Zeitpunkt, Browserkennung und Fehler- oder Missbrauchsmerkmale.

Die Daten erhalten wir grundsätzlich direkt von Dir. Berechnete Angebots- und Verfügbarkeitsdaten entstehen im ERP aus Deinen Angaben und unseren dort hinterlegten Geschäftsregeln.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten die Angaben, um Deine Mobilnummer zu verifizieren, Missbrauch und automatisiertes Auslesen zu erschweren, die voraussichtliche Terminverfügbarkeit zu prüfen, Adressvorschläge bereitzustellen, eine unverbindliche Angebotsvorschau zu berechnen und eine von Dir ausdrücklich angeforderte Angebotsanfrage zu bearbeiten.

Die Verarbeitung zur Vorschauerstellung und Angebotsbearbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. b DSGVO zur Durchführung vorvertraglicher Maßnahmen auf Deine Anfrage. Sicherheitsprotokollierung, Rate-Limits sowie die Abwehr von Spam und Missbrauch beruhen auf Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, stabilen und wirtschaftlichen Betrieb des Systems sowie im Schutz unserer Preis- und Kalkulationsdaten. Soweit gesetzliche Aufbewahrungspflichten bestehen, erfolgt die Speicherung außerdem auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO.

5. SMS-Verifikation und Adresssuche

Für den Versand des einmaligen Bestätigungscodes wird Deine Mobiltelefonnummer an unseren SMS-Dienstleister GatewayAPI übermittelt. Der Code wird ausschließlich serverseitig erzeugt und geprüft. Der SMS-Dienstleister erhält nur die Daten, die für Versand und Zustellstatus erforderlich sind.

Wenn Du die optionale Adresssuche verwendest, werden Deine Suchbegriffe über unser ERP an den Geocoding-Dienst Nominatim übermittelt. Nach Auswahl übernehmen wir die strukturierte Adresse und die zurückgegebenen Koordinaten. Du kannst die Adresse auch manuell eingeben.

6. Empfänger und Auftragsverarbeiter

Zugriff erhalten nur die bei RibWich mit Catering-Anfragen befassten Personen. Soweit für den Betrieb erforderlich, können Hosting- und IT-Dienstleister, der SMS-Dienstleister GatewayAPI sowie Nominatim für Adresssuche und Geocodierung Daten erhalten. Diese Empfänger verarbeiten Daten nur im erforderlichen Umfang und, soweit rechtlich notwendig, auf Grundlage eines Vertrags zur Auftragsverarbeitung.

Eine Übermittlung an Empfänger außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, beispielsweise aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien. Auskunft zu den konkret eingesetzten Dienstleistern und Garantien erteilen wir auf Anfrage.

7. Speicherdauer

Für die im ERP gespeicherten Daten gelten folgende Fristen:

• SMS-Verifikationen einschließlich fehlgeschlagener Codeversuche: Löschung 24 Stunden nach Ablauf der Verifikation,
• nicht abgesendete Angebotsvorschauen: Löschung 24 Stunden nach Ablauf der Vorschau,
• Rate-Limit- und IP-Hash-Daten: Löschung nach 48 Stunden,
• zwischengespeicherte Ergebnisse der Adresssuche: Löschung nach 30 Tagen,
• abgesendete Angebotsanfragen und dazugehörige erledigte interne Prüftasks: sechs Jahre ab Ende des Kalenderjahres, in dem die Anfrage entstanden ist.

Entstehen aus einer Anfrage reguläre Kundenstammdaten, Angebote, Buchungsbestätigungen oder Rechnungen, gelten dafür die jeweils einschlägigen gesetzlichen handels- und steuerrechtlichen Aufbewahrungspflichten. Diese Unterlagen werden nicht vom automatischen Datenschutz-Cleanup des Anfrageprozesses erfasst.

Die Speicherdauer bei GatewayAPI und Nominatim sowie die Aufbewahrung von Webserver-Protokollen liegen außerhalb des ERP-Cleanups. Für sie gelten die vertraglichen beziehungsweise datenschutzrechtlichen Vorgaben der jeweiligen Dienstleister und des Webhosters.

8. Erforderlichkeit der Angaben

Die als Pflichtfelder gekennzeichneten Angaben sind erforderlich, um die Verifikation, Vorschau oder Angebotsanfrage durchzuführen. Ohne diese Angaben können wir die jeweilige Funktion nicht bereitstellen. Freiwillige Angaben sind entsprechend gekennzeichnet. Die SMS-Verifikation bestätigt den Zugriff auf die angegebene Nummer, ist aber kein rechtssicherer Identitätsnachweis.

9. Automatisierte Berechnung

Das ERP berechnet anhand Deiner Angaben automatisiert eine unverbindliche Angebotsvorschau und kann eine voraussichtliche Verfügbarkeit oder alternative Zeit nennen. Daraus entsteht weder eine Buchung noch eine rechtlich bindende Entscheidung. Ein endgültiges Angebot wird erst nach persönlicher Prüfung erstellt. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

10. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Verarbeitungen auf Grundlage berechtigter Interessen kannst Du aus Gründen, die sich aus Deiner besonderen Situation ergeben, widersprechen. Außerdem kannst Du Dich bei einer Datenschutzaufsichtsbehörde beschweren.

Zur Ausübung Deiner Rechte genügt eine Nachricht an info@ribwich.de.