Digitale Speisekarte und DSGVO: Was Gastronomen wirklich beachten müssen

Der QR-Code kennt keinen Gast. Der Server dahinter möglicherweise schon.

Auf Tisch 14 scannt ein Gast den Code. Die Speisekarte öffnet sich ohne Anmeldung. Er liest die Vorspeisen, wechselt auf Englisch und schließt den Browser.

Der aufgedruckte QR-Code hat dabei nichts aufgezeichnet. Er enthält zunächst nur eine Adresse oder eine Kennung. Doch mit dem Aufruf können an anderer Stelle Daten entstehen: IP-Adresse, Zeitpunkt, Browserinformationen, aufgerufene Seite, gewählte Sprache und, je nach System, die Nummer des Tisches. Läuft der Code über einen Weiterleitungsdienst, sieht auch dieser Anbieter den Zugriff. Sind Analyse- oder Marketingdienste eingebunden, kommen weitere Empfänger hinzu.

Aus einem anonym wirkenden Quadrat wird deshalb nicht automatisch eine anonyme Nutzung.

Das bedeutet nicht, dass eine digitale Speisekarte ein Datenschutzproblem sein muss. Im Gegenteil: Eine reine, sauber konfigurierte Anzeige kann mit sehr wenigen Daten auskommen. Der Unterschied liegt in den Funktionen und in ihrer technischen Umsetzung. Eine Karte zum Lesen ist datenschutzrechtlich etwas anderes als ein System, das Bestellungen, Zahlungen, Kundenkonten, Treuepunkte und personenbezogene Auswertungen verbindet.

Dieser Leitfaden zeigt, welche Fragen Restaurants in Deutschland vor dem Einsatz klären sollten. Maßgeblich sind vor allem die Datenschutz-Grundverordnung, kurz DSGVO, und für das Speichern oder Auslesen von Informationen auf dem Gerät des Gastes § 25 TDDDG.

Der Text bietet eine betriebliche Orientierung und ersetzt keine Rechtsberatung. Bei einem komplexen Bestell- oder Trackingsystem, umfangreichen Kundenprofilen oder sensiblen Daten sollte die konkrete Umsetzung fachlich geprüft werden.

Das Wichtigste vorweg: Nicht der QR-Code entscheidet über die DSGVO, sondern der Datenfluss nach dem Scan. Restaurants sollten zuerst festhalten, welche Daten zu welchem Zweck verarbeitet werden. Erst danach lassen sich Rechtsgrundlage, Einwilligung, Vertrag, Speicherfrist und Sicherheitsmaßnahmen sinnvoll beurteilen.

Drei Ebenen, die häufig verwechselt werden

Bei einem QR-Menü werden drei technische Ebenen gern in einen Satz gepackt. Für den Datenschutz müssen sie getrennt werden.

1. Der gedruckte Code

Ein statischer QR-Code ist ein Bild, das eine Zeichenfolge enthält, meist eine Webadresse. Das Papier erkennt weder ein Telefon noch einen Gast.

Anders kann es bei einem dynamischen QR-Code sein. Er führt zunächst zu einem Weiterleitungsdienst, der das eigentliche Ziel bestimmt. Dieser Zwischenschritt kann Zeitpunkt, IP-Adresse, Geräteinformationen oder die Kennung des Codes verarbeiten. Wer einen externen QR-Dienst nutzt, muss daher nicht nur das Menüsystem, sondern auch die Weiterleitung prüfen.

2. Die aufgerufene Speisekarte

Beim Laden einer Website werden technisch Daten übertragen. Der Webserver benötigt zumindest eine Netzwerkadresse, um die angeforderten Inhalte an das Gerät zurückzusenden. Server und vorgeschaltete Dienste können zusätzlich Protokolle führen.

Dynamische IP-Adressen können personenbezogene Daten sein. Der Europäische Gerichtshof hat dies bereits im Fall Breyer gegen Bundesrepublik Deutschland unter den dort beschriebenen Voraussetzungen bestätigt. Deshalb sollte ein Betrieb IP-Adressen nicht pauschal als anonyme Technikdaten behandeln.

3. Die Funktionen nach dem Aufruf

Erst hier wachsen Umfang und Risiko deutlich:

Die Aussage „Unser QR-Code erhebt keine Daten“ beantwortet nur die erste Ebene. Für Gäste zählt der gesamte Weg.

Eine digitale Speisekarte fällt nicht als Ganzes unter eine einzige Rechtsgrundlage

Artikel 6 DSGVO bietet mehrere mögliche Rechtsgrundlagen. Keine davon ist ein Generalschlüssel für das gesamte System.

Ein Restaurant sollte jeden Zweck gesondert betrachten:

Der Zweck kommt vor der Rechtsgrundlage. „Wir speichern die Daten, weil wir ein berechtigtes Interesse haben“ ist keine vollständige Prüfung. Der Betrieb muss benennen, welches Interesse verfolgt wird, warum die konkrete Verarbeitung dafür erforderlich ist und weshalb die Interessen oder Rechte der Gäste nicht überwiegen.

Ebenso wenig sollte jede Funktion auf Einwilligung gestützt werden. Für eine Bestellung sind notwendige Angaben in der Regel Teil des Vertragsablaufs. Würde derselbe Gast zusätzlich für personalisierte Werbung analysiert, ist das ein eigener Zweck mit eigener Bewertung.

Eine Einwilligung darf nicht nachträglich eine unnötig breite Datensammlung legitimieren. Auch mit Zustimmung gelten Zweckbindung, Datenminimierung und Speicherbegrenzung aus Artikel 5 DSGVO.

DSGVO und TDDDG sind zwei verschiedene Prüfungen

Bei Cookies und ähnlichen Technologien laufen zwei Fragen nebeneinander.

Frage 1: Wird auf das Gerät zugegriffen?

§ 25 TDDDG betrifft das Speichern von Informationen in der Endeinrichtung eines Endnutzers und den Zugriff auf bereits gespeicherte Informationen. Die Vorschrift ist technikneutral.

Sie gilt daher nicht nur für Dateien mit der Bezeichnung Cookie. Auch Local Storage, Gerätekennungen, Pixel, Skripte oder andere Verfahren können darunter fallen.

Grundsätzlich ist eine Einwilligung erforderlich. Das Gesetz nennt zwei Ausnahmen:

1. Die Speicherung oder der Zugriff dient allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz.
2. Die Speicherung oder der Zugriff ist unbedingt erforderlich, damit ein ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.

„Praktisch für den Betreiber“ ist nicht dasselbe wie „unbedingt erforderlich“.

Eine kurzfristig gespeicherte Warenkorbinformation kann für eine ausdrücklich gewünschte Bestellung nötig sein. Ein Marketingprofil ist es nicht. Eine vom Gast gewählte Sprache für den laufenden Besuch kann anders zu bewerten sein als eine über Monate gespeicherte Kennung, die zugleich zur Wiedererkennung und Analyse dient.

Frage 2: Werden personenbezogene Daten verarbeitet?

Sobald personenbezogene Daten verarbeitet werden, braucht es zusätzlich eine Rechtsgrundlage nach Artikel 6 DSGVO. Eine Ausnahme von der Einwilligung nach § 25 TDDDG liefert nicht automatisch diese Rechtsgrundlage.

Umgekehrt erlaubt ein berechtigtes Interesse nach der DSGVO nicht automatisch einen Zugriff auf das Gerät. Beide Ebenen müssen passen.

Die Orientierungshilfe der Datenschutzkonferenz für Anbieter digitaler Dienste erläutert dieses Zusammenspiel im Detail.

Wann ein Cookie-Banner nötig ist, und wann nicht

Ein QR-Menü braucht nicht allein deshalb einen Banner, weil es im Browser läuft.

Wenn die Seite ausschließlich technisch erforderliche Funktionen nutzt und keine einwilligungspflichtigen Informationen speichert oder ausliest, kann ein Banner entbehrlich sein. Die Verarbeitung personenbezogener Serverdaten muss trotzdem erklärt und rechtlich eingeordnet werden.

Ein Banner wird relevant, wenn optionale Technologien erst nach einer Entscheidung des Gastes eingesetzt werden dürfen, etwa für:

• geräteübergreifende oder wiedererkennbare Nutzungsanalyse,
• Marketing und Conversion-Messung,
• eingebettete Inhalte, die nicht erforderliche Informationen auf dem Endgerät speichern oder auslesen,
• nicht erforderliche Personalisierung,
• Profilbildung oder
• Tracking über mehrere Seiten oder Dienste.

Ein wirksamer Banner muss mehr leisten als eine grüne Schaltfläche.

Vor der Zustimmung darf die optionale Technik nicht starten

Einwilligungsbedürftige Zugriffe müssen blockiert bleiben, bis der Gast aktiv zugestimmt hat. Ein einwilligungsbedürftiges Skript zuerst auszuführen und erst danach den Banner zu zeigen, kehrt den Ablauf um. Das bloße Laden einer technischen Ressource ist dagegen nicht für sich genommen einwilligungspflichtig. Maßgeblich sind ihre konkreten Zugriffe und die anschließende Datenverarbeitung.

Ablehnen muss so einfach sein wie zustimmen

Die erste Ebene sollte eine echte Wahl bieten. Eine auffällige Schaltfläche „Alle akzeptieren“ neben einem versteckten Link durch mehrere Einstellungsseiten ist kein ausgewogenes Verfahren.

Schweigen ist keine Zustimmung

Vorangekreuzte Felder, bloßes Weiterscrollen oder der Hinweis „Durch Nutzung der Karte stimmen Sie zu“ genügen nicht.

Widerruf muss erreichbar bleiben

Gäste müssen ihre Entscheidung ebenso leicht ändern können, wie sie sie erteilt haben. Das ist bei einem Menü besonders wichtig, weil viele Besucher nur kurz auf der Seite bleiben. Ein Widerrufsweg, der erst im langen Datenschutzhinweis auftaucht, ist praktisch wertlos.

Ein Consent-Tool ersetzt keine Prüfung

Ein sogenannter Consent Mode oder eine Consent-Management-Plattform kann Signale steuern und Entscheidungen dokumentieren. Das Werkzeug erzeugt aber nicht von selbst eine wirksame Einwilligung. Entscheidend bleiben Text, Gestaltung, Zeitpunkt, technische Blockierung und tatsächlicher Datenfluss.

Die einfachste Lösung ist oft nicht der bessere Banner, sondern weniger optionale Technik auf der Gästeansicht.

Menüaufrufe zählen, ohne aus jedem Gast ein Profil zu machen

Restaurants möchten wissen, ob die Codes genutzt werden. Diese Frage ist legitim. Die Methode entscheidet über den Datenschutzaufwand.

Ein Zähler kann beispielsweise nur festhalten:

Code 14 wurde am Dienstag einmal aufgerufen.

Ein anderes System kann aus demselben Aufruf zusätzlich eine Gerätekennung, wiederkehrende Besuche, Standortsignale, Sprache, Bestellwert und Werbekampagne verbinden.

Beide Systeme nennen das Ergebnis vielleicht „Analytics“. Datenschutzrechtlich liegen Welten dazwischen.

Prüfen Sie vor dem Einschalten:

1. Wird im Browser eine Kennung gespeichert oder ausgelesen?
2. Wird die vollständige IP-Adresse gespeichert?
3. Kann derselbe Gast über mehrere Besuche wiedererkannt werden?
4. Werden Daten mit Werbung, Kundenkonto, Zahlung oder Treueprogramm verbunden?
5. Erhält ein Dritter Rohdaten?
6. Wann werden Einzelereignisse aggregiert oder gelöscht?
7. Bleibt nach der Aggregation eine Rückführung auf eine Person oder ein Gerät möglich?

Eine serverseitige, datensparsame Messung ohne Zugriff auf den Gerätespeicher kann die TDDDG-Prüfung verändern. Sie fällt aber nicht automatisch aus der DSGVO. Solange ein Personenbezug besteht, müssen Zweck, Rechtsgrundlage, Information und Speicherfrist geklärt sein.

Pseudonymisierte Daten sind weiterhin personenbezogene Daten. Erst wirksam anonymisierte Daten verlassen den Anwendungsbereich der DSGVO. Das Entfernen eines Namens allein ist keine Anonymisierung, wenn eine Gerätekennung oder Kombination anderer Merkmale denselben Gast weiterhin unterscheidbar macht.

Wer ist verantwortlich: Restaurant, Plattform oder Zahlungsdienst?

Die Antwort kann je Verarbeitung unterschiedlich ausfallen.

Das Restaurant als Verantwortlicher

In vielen Konstellationen entscheidet das Restaurant, dass eine digitale Karte eingesetzt wird, welche Funktionen aktiv sind, welche Bestelldaten erhoben werden und wie lange diese für den Betrieb benötigt werden. Für diese Entscheidungen ist es regelmäßig Verantwortlicher im Sinne der DSGVO.

Die Verantwortung verschwindet nicht, weil ein externer Anbieter die Technik betreibt.

Der Plattformanbieter als Auftragsverarbeiter

Verarbeitet ein Menüanbieter personenbezogene Daten im Auftrag und nach dokumentierter Weisung des Restaurants, liegt regelmäßig Auftragsverarbeitung vor. Dann braucht es einen Vertrag nach Artikel 28 DSGVO.

Dieser Auftragsverarbeitungsvertrag, häufig AVV genannt, sollte konkret beschreiben:

• Gegenstand und Dauer der Verarbeitung,
• Art und Zweck der Verarbeitung,
• Datenarten und betroffene Personengruppen,
• Weisungen des Restaurants,
• Vertraulichkeit,
• technische und organisatorische Maßnahmen,
• Unterstützung bei Betroffenenanfragen und Datenschutzverletzungen,
• Löschung oder Rückgabe nach Vertragsende,
• Kontrollrechte und Nachweise sowie
• Einsatz und Wechsel von Unterauftragsverarbeitern.

Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses betonen, dass ein Vertrag nicht nur den Wortlaut der DSGVO wiederholen sollte. Er muss erkennen lassen, wie die Pflichten für die konkrete Leistung umgesetzt werden.

Eigene Verantwortlichkeit eines Anbieters

Ein Dienstleister kann bestimmte Daten für eigene Zwecke und in eigener Verantwortung verarbeiten, etwa für seine Vertragsverwaltung, Abrechnung oder gesetzliche Pflichten. Die Rollen sollten nicht pauschal für das ganze Produkt festgelegt werden.

Auch Zahlungsdienstleister können für Teile der Zahlungsabwicklung eigenständig verantwortlich sein. Ein Vertrag mit dem Menüanbieter beantwortet daher nicht automatisch die Rolle jedes weiteren Empfängers.

Gemeinsame Verantwortlichkeit

Bestimmen Restaurant und Plattform Zweck und wesentliche Mittel einer Verarbeitung gemeinsam, kann Artikel 26 DSGVO greifen. Dann genügt ein AVV nicht. Die Beteiligten brauchen eine transparente Vereinbarung darüber, wer welche Pflichten erfüllt, insbesondere bei Informationen und Betroffenenrechten. Der wesentliche Inhalt dieser Vereinbarung muss den betroffenen Personen zur Verfügung stehen.

Die praktische Regel lautet: Für jeden Datenfluss muss klar sein, wer Zweck und Mittel allein oder gemeinsam bestimmt, wer nur Weisungen ausführt und wer Gäste über welchen Teil informiert.

Der AVV ist wichtig. Die Prüfung davor ist wichtiger.

Ein herunterladbarer Vertrag ist kein Qualitätssiegel.

Artikel 28 verpflichtet Verantwortliche, nur Auftragsverarbeiter einzusetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Ein Restaurant muss deshalb verstehen, was hinter dem Vertragsdokument steht.

Stellen Sie dem Anbieter vor dem Start diese Fragen:

1. Welche personenbezogenen Daten entstehen bei einer reinen Menüanzeige?
2. Welche Daten kommen bei Bestellung, Zahlung, Analyse und Kundenbindung hinzu?
3. Wo werden Produktionsdaten, Protokolle und Sicherungskopien gespeichert?
4. Welche Unterauftragsverarbeiter erhalten Zugriff?
5. Wie wird über neue Unterauftragsverarbeiter informiert?
6. Welche Löschfristen gelten für Logs, Bestellungen und Backups?
7. Wie werden Daten nach Vertragsende exportiert und gelöscht?
8. Welche Zugriffsrechte haben Support und Administration?
9. Welche Sicherheitsmaßnahmen sind dokumentiert?
10. Wie schnell meldet der Anbieter eine Datenschutzverletzung an das Restaurant?
11. Wie unterstützt er Auskunft, Berichtigung, Löschung und Datenübertragbarkeit?
12. Welche Datenübermittlungen in Drittländer finden statt und auf welcher Grundlage?

Eine Antwort wie „Wir hosten in Europa“ ist hilfreich, aber nicht vollständig. Auch Supportzugriffe, Unterauftragsverarbeiter, Analysewerkzeuge und Muttergesellschaften können für die Transferprüfung relevant sein.

Anbieter außerhalb des EWR sind nicht automatisch verboten

Die DSGVO verbietet weder US-Software noch internationale Cloud-Dienste pauschal. Sie stellt zusätzliche Anforderungen an Übermittlungen außerhalb des Europäischen Wirtschaftsraums.

Prüfen Sie zunächst, ob überhaupt personenbezogene Daten in ein Drittland gelangen. Danach kommt es auf den Übermittlungsmechanismus an.

Mögliche Grundlagen sind unter anderem:

• ein Angemessenheitsbeschluss der Europäischen Kommission nach Artikel 45 DSGVO,
• geeignete Garantien wie Standardvertragsklauseln nach Artikel 46 sowie die erforderliche Prüfung des konkreten Transfers oder
• eng begrenzte Ausnahmen nach Artikel 49, die nicht als normale Dauerlösung für einen Plattformbetrieb gedacht sind.

Für Übermittlungen an US-Unternehmen kann der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework relevant sein. Er gilt jedoch nur für Unternehmen, die tatsächlich zertifiziert sind, und nur im erfassten Umfang. Der Name eines US-Anbieters allein genügt nicht.

Zum Redaktionsstand dieses Artikels ist der Beschluss in Kraft. Der Europäische Datenschutzausschuss hat die Kommission am 31. Juli 2026 jedoch gebeten zu prüfen, welche Folgen das US-Urteil Trump v. Slaughter für seine Funktionsfähigkeit hat. Diese Bitte hebt den Beschluss nicht auf. Sie zeigt, warum Restaurants die aktuelle Zertifizierung oder eine andere Transfergrundlage dokumentieren und den Status später erneut prüfen sollten.

Der Datenschutzhinweis muss zum echten Menü passen

Ein allgemeiner Website-Text aus einem Generator ist schnell eingefügt. Er hilft wenig, wenn er andere Dienste beschreibt als die, die beim Gast tatsächlich geladen werden.

Artikel 13 DSGVO verlangt die Information zum Zeitpunkt der Datenerhebung. In einer digitalen Speisekarte sollte der Datenschutzhinweis deshalb direkt und dauerhaft erreichbar sein, etwa im Footer oder in einem klar bezeichneten Menüpunkt.

Typischerweise gehören hinein:

• Name und Kontaktdaten des verantwortlichen Restaurants,
• gegebenenfalls Kontaktdaten des Datenschutzbeauftragten,
• konkrete Verarbeitungszwecke,
• Rechtsgrundlage für jeden Zweck,
• bei berechtigtem Interesse die verfolgten Interessen,
• Empfänger oder Kategorien von Empfängern,
• Drittlandübermittlungen und ihre Grundlage,
• Speicherfristen oder nachvollziehbare Kriterien,
• Rechte der betroffenen Personen,
• Beschwerderecht bei einer Aufsichtsbehörde,
• Widerrufsrecht bei Einwilligung,
• Widerspruchsrecht bei Artikel 6 Absatz 1 Buchstabe f,
• Pflicht oder Freiwilligkeit der Angaben sowie Folgen einer Nichtbereitstellung und
• gegebenenfalls automatisierte Entscheidungen oder Profiling.

Der Datenschutzhinweis der Plattform kann diesen Text nicht vollständig ersetzen. Er beschreibt die Verarbeitung des Anbieters. Das Restaurant muss seinen eigenen Einsatz erklären, einschließlich der von ihm aktivierten Funktionen und weiterer Dienste.

Die Angaben sollten auch sprachlich erreichbar sein. Wird das Menü auf Englisch, Französisch oder Japanisch angeboten, ist eine verständliche Datenschutzinformation in den wichtigsten Gästesprachen sinnvoll. Rechtlich maßgeblich bleibt eine transparente und leicht zugängliche Information für die betroffenen Personen.

Datenminimierung beginnt bei der Wahl der Funktionen

Die wirksamste Datenschutzmaßnahme ist eine Information, die gar nicht erst erhoben wird.

Für eine reine Menüanzeige brauchen Gäste normalerweise:

• kein Konto,
• keinen Namen,
• keine E-Mail-Adresse,
• keine Telefonnummer und
• keine Standortfreigabe.

Für eine Bestellung am Tisch kann eine Tischkennung genügen. Eine Telefonnummer ist nicht automatisch erforderlich, wenn das Essen wenige Meter entfernt serviert wird. Für Abholung oder Lieferung kann dieselbe Angabe dagegen betrieblich nötig sein.

Jedes Feld braucht einen Satz, der seinen Zweck erklärt:

Wir benötigen die Telefonnummer, um Rückfragen zur Abholung zu klären.

Lässt sich dieser Satz nicht konkret formulieren, sollte das Feld noch einmal geprüft werden.

Auch scheinbar harmlose Daten können gemeinsam einen Personenbezug ergeben. Eine Tischkennung allein bezeichnet zunächst einen Platz. Verbunden mit Zahlungsreferenz, Kamerazeit, Treuekonto oder Reservierung kann sie einem Gast zugeordnet werden.

Die Grundeinstellung sollte datensparsam sein. Optionale Analyse, Marketing, Kundenkonto oder Treueprogramm werden nicht deshalb erforderlich, weil sie im Tarif enthalten sind.

Allergiewunsch im Bestellfeld: plötzlich kann Artikel 9 gelten

Die allgemeine Information, dass ein Gericht Milch oder Sellerie enthält, sagt nichts über die Gesundheit eines bestimmten Gastes aus. Sie ist Produktinformation.

Anders kann ein Bestellhinweis aussehen:

Schwere Erdnussallergie. Bitte getrennte Geräte verwenden.

Ist diese Nachricht mit einer Bestellung, einem Konto, einer Telefonnummer oder einer anderen identifizierenden Information verbunden, kann sie ein Gesundheitsdatum nach Artikel 9 DSGVO darstellen.

Das hat praktische Folgen:

• Ein allgemeines Freitextfeld kann mehr sensible Informationen erfassen als geplant.
• Zugriffe sollten auf die Personen begrenzt sein, die den Hinweis für Zubereitung und Service benötigen.
• Der Hinweis gehört nicht automatisch in ein dauerhaftes Gästeprofil.
• Eine kurze Löschfrist nach Abschluss und Klärung der Bestellung ist gesondert zu prüfen.
• Analyse- und Marketingdienste dürfen solche Inhalte nicht beiläufig erhalten.
• Neben einer Rechtsgrundlage nach Artikel 6 muss eine Ausnahme nach Artikel 9 Absatz 2 vorliegen.

Eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a kann in bestimmten Konstellationen die Ausnahme vom Verarbeitungsverbot für Gesundheitsdaten bilden. Daneben braucht die Verarbeitung eine Rechtsgrundlage nach Artikel 6. Die Einwilligung muss freiwillig, konkret, informiert und nachweisbar sein. Der bloße Eintrag in ein Freitextfeld ist noch keine ausdrückliche Einwilligung. Der Betrieb sollte vorab klären, wie ein Widerruf mit einer laufenden Bestellung zusammenpasst und ob eine weniger datenintensive Lösung möglich ist.

Wichtig bleibt die Trennung: Die digitale Notiz eines Gastes ersetzt weder die fachliche Allergenkennzeichnung noch das betriebliche Allergenmanagement. Der Leitfaden Allergenkennzeichnung in digitalen Speisekarten beschreibt die Produktseite dieser Aufgabe.

Speicherfristen dürfen nicht „für alle Daten gleich“ lauten

Die DSGVO nennt keine einheitliche Frist für QR-Menüs. Sie verlangt, personenbezogene Daten nicht länger aufzubewahren, als es für den jeweiligen Zweck nötig ist.

Deshalb braucht jede Datenart eine eigene Entscheidung:

„Wir speichern aus Sicherheitsgründen“ ist ohne Frist und konkreten Zweck zu unbestimmt.

Gesetzliche Aufbewahrungspflichten rechtfertigen ebenfalls keine Vollarchivierung. Wenn eine Rechnung aufbewahrt werden muss, folgt daraus nicht, dass Gerätekennung, Klickverlauf oder Marketingprofil dieselbe Frist erhalten.

Legen Sie Frist, Startpunkt und technische Löschmethode fest. „30 Tage nach Erstellung“ ist etwas anderes als „30 Tage nach Abschluss der Bestellung“.

TLS ist notwendig, aber noch kein Sicherheitskonzept

Eine verschlüsselte Verbindung schützt Daten auf dem Übertragungsweg. Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau für den gesamten Ablauf.

Für ein Restaurant und seinen Anbieter gehören dazu je nach Funktion:

• verschlüsselte Übertragung,
• individuelle Konten statt eines geteilten Team-Passworts,
• Mehrfaktor-Authentifizierung für Verwaltung und Support,
• Rollen für Service, Küche, Menüpflege und Betriebsleitung,
• Zugriff nur auf die Daten, die eine Rolle benötigt,
• regelmäßige Aktualisierungen und Schwachstellenbehandlung,
• sichere Sicherungskopien und getestete Wiederherstellung,
• Protokollierung administrativer Änderungen,
• Schutz von Exporten und heruntergeladenen Listen,
• Verfahren für Eintritt, Rollenwechsel und Austritt von Mitarbeitenden,
• vertrauliche Bearbeitung von Sonderwünschen und
• ein geübter Ablauf für Sicherheitsvorfälle.

Ein verlorenes Tablet, ein ehemaliger Mitarbeiter mit aktivem Zugang oder eine offen versandte Bestellliste kann wichtiger sein als die theoretische Verschlüsselung im Rechenzentrum.

Restaurants sollten außerdem wissen, wen sie beim Anbieter im Notfall erreichen. Der Auftragsverarbeiter muss den Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten unverzüglich informieren. Das Restaurant bewertet anschließend seine eigenen Meldepflichten.

Nach Artikel 33 DSGVO muss eine Verletzung dokumentiert werden. Die zuständige Aufsichtsbehörde ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden zu informieren, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Bei voraussichtlich hohem Risiko kommt die unverzügliche Benachrichtigung der betroffenen Personen hinzu. Der EDSA-Leitfaden für kleine Unternehmen erklärt diese Abstufung.

Das Verzeichnis der Verarbeitungstätigkeiten ist die Landkarte

Viele kleine Betriebe halten Artikel 30 DSGVO für ein Thema großer Konzerne. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist jedoch keine pauschale Befreiung. Sie greift nicht, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder Daten nach Artikel 9 Absatz 1 beziehungsweise personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 umfasst.

Ein laufendes digitales Bestell- oder Kundenbindungssystem ist regelmäßig kein einmaliger Vorgang.

Das Verzeichnis der Verarbeitungstätigkeiten sollte mindestens abbilden:

• digitale Menübereitstellung und Serverlogs,
• Bestellung und gegebenenfalls Lieferung,
• Zahlungsabwicklung,
• Reichweitenmessung,
• Kundenkonto oder Treueprogramm,
• Supportfälle,
• Einwilligungsverwaltung und
• Löschung sowie Sicherungskopien.

Für jede Tätigkeit werden Zweck, Datenkategorien, betroffene Personen, Empfänger, Drittlandtransfers, Fristen und Sicherheitsmaßnahmen festgehalten.

Dieses Dokument ist keine Bürokratie neben dem System. Es zeigt schnell, ob der Datenschutzhinweis, der AVV und die tatsächliche Technik dieselbe Geschichte erzählen.

Braucht jedes Restaurant einen Datenschutzbeauftragten oder eine DSFA?

Nein.

Eine normale digitale Speisekarte löst nicht automatisch die Pflicht zur Benennung eines Datenschutzbeauftragten aus. Nach § 38 BDSG gilt für nichtöffentliche Stellen zusätzlich zur DSGVO unter anderem eine Schwelle von in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Daneben können die Voraussetzungen aus Artikel 37 DSGVO oder eine verpflichtende Datenschutz-Folgenabschätzung unabhängig von dieser Zahl relevant werden.

Auch eine Datenschutz-Folgenabschätzung, kurz DSFA, ist nicht für jede Menüanzeige vorgeschrieben. Artikel 35 verlangt sie, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Der Prüfbedarf steigt beispielsweise bei:

• umfangreicher systematischer Beobachtung,
• Verbindung vieler Datenquellen zu detaillierten Gästeprofilen,
• umfangreicher Verarbeitung von Gesundheitsdaten,
• automatisierten Bewertungen mit erheblicher Wirkung oder
• neuen Technologien in Verbindung mit weiteren hohen Risikofaktoren.

Die reine Anzeige einer Karte ohne Konto und mit kurzen technischen Logs löst für sich genommen regelmäßig keine DSFA aus. Die Bewertung sollte trotzdem dokumentiert und bei neuen Funktionen wiederholt werden. Ein System, das Besuchshistorie, Zahlung, Standort, Präferenzen, Allergien und personalisierte Werbung in einem dauerhaften Profil zusammenführt, verdient eine andere Bewertung.

Entscheidend ist auch hier nicht das Etikett „digitale Speisekarte“, sondern der tatsächliche Umfang.

Ein belastbarer Prüfablauf vor dem ersten QR-Code

Schritt 1: Den kleinsten gewünschten Funktionsumfang festlegen

Beginnen Sie mit einer klaren Entscheidung:

• nur anzeigen,
• anzeigen und bestellen,
• anzeigen, bestellen und bezahlen oder
• zusätzlich Konto, Treueprogramm und Marketing.

Aktivieren Sie nicht vorsorglich jede Funktion. Jede zusätzliche Verbindung verändert Datenfluss, Rollen und Informationspflichten.

Schritt 2: Einen echten Scan verfolgen

Scannen Sie einen Testcode und zeichnen Sie den Weg auf:

1. Welche Domain öffnet sich zuerst?
2. Gibt es eine Weiterleitung?
3. Welche Server und Drittanbieter werden kontaktiert?
4. Was wird im Browser gespeichert?
5. Welche Ereignisse erscheinen im Dashboard?
6. Welche Daten entstehen erst bei Bestellung oder Zahlung?

Eine Funktionsliste des Anbieters ersetzt diesen Test nicht.

Schritt 3: Zwecke und Daten in eine Tabelle schreiben

Eine einfache Arbeitsfassung genügt:

Diese Tabelle zwingt zu Entscheidungen, die in allgemeinen Werbeversprechen verborgen bleiben.

Schritt 4: Verträge und Empfänger prüfen

Lesen Sie AVV, Unterauftragsverarbeiter, Sicherheitsmaßnahmen und Drittlandangaben. Prüfen Sie auch QR-Weiterleitung, Hosting, Übersetzung, E-Mail, Zahlung und Support.

Schritt 5: Optionale Technik deaktiviert starten

Nehmen Sie die Gästeansicht zunächst mit den Funktionen in Betrieb, die für Anzeige oder Bestellung wirklich nötig sind. Analyse und Marketing können nach einer eigenen Prüfung folgen.

Schritt 6: Datenschutzhinweis und Einwilligung an die Technik anpassen

Der Text wird aus dem Datenfluss geschrieben, nicht umgekehrt. Falls ein Banner nötig ist, testen Sie, ob Ablehnen tatsächlich alle optionalen Zugriffe blockiert.

Schritt 7: Rechte und Löschung praktisch testen

Legen Sie eine Testbestellung an. Prüfen Sie anschließend:

• Können die zugehörigen Daten gefunden werden?
• Kann eine unrichtige Angabe berichtigt werden?
• Welche Daten lassen sich löschen?
• Welche müssen aus welchem Grund gesperrt oder aufbewahrt werden?
• Was geschieht bei Anbieterwechsel?

Ein Recht, das nur auf Papier beschrieben ist, aber technisch nicht ausgeführt werden kann, ist nicht umgesetzt.

Schritt 8: Das Team auf den Ausnahmefall vorbereiten

Service und Leitung müssen wissen:

• wer Datenschutzanfragen übernimmt,
• wo sensible Bestellhinweise sichtbar sind,
• wer Rollen und Zugriffsrechte verwaltet,
• wen sie bei einem Vorfall informieren und
• welche Informationen niemals in private Messenger oder ungeschützte Listen kopiert werden.

Was eine Plattform vor dem Einsatz zeigen sollte

Eine gute Produktdemo beantwortet die Frage, ob die Karte für Gäste funktioniert. Für die Datenschutzprüfung braucht es zusätzliche Unterlagen.

Bitten Sie um:

• aktuellen AVV,
• Liste der Unterauftragsverarbeiter,
• Angaben zu Speicherorten und Drittlandtransfers,
• Beschreibung der technischen und organisatorischen Maßnahmen,
• Fristen für verschiedene Datenarten,
• Export- und Löschverfahren,
• Erläuterung der Gästeanalyse,
• Verwaltung optionaler Technologien und
• Ablauf bei Sicherheitsvorfällen.

Die digitale Speisekarte von QR Menu Supreme kann aus Sicht von Menüaufbau und mobiler Gästeansicht geprüft werden. Für den eigenen Betrieb bleibt daneben dieselbe Datenschutzarbeit nötig: Funktionsumfang festlegen, Datenflüsse dokumentieren, Verträge prüfen und die tatsächlich aktivierten Dienste im eigenen Datenschutzhinweis beschreiben.

Eine Vorschau beweist, dass die Karte lesbar ist. Sie beweist nicht, dass jede denkbare Konfiguration für jeden Betrieb rechtmäßig ist.

Wer noch mit einer PDF hinter dem QR-Code arbeitet, findet den technischen Migrationsablauf im Leitfaden PDF-Speisekarte digitalisieren. Die Datenschutzprüfung sollte dabei Teil der Migration sein, nicht der letzte Punkt nach dem Druck neuer Aufsteller.

Checkliste für Restaurants

Datenfluss und Funktionen

• Es ist entschieden, ob die Karte nur anzeigt oder auch Bestellung, Zahlung und Kundenbindung umfasst.
• Jeder QR-Code führt ohne unbekannte Weiterleitung zum vorgesehenen Ziel.
• Alle externen Domains und Dienste beim Menüaufruf sind bekannt.
• Browser-Speicher, Cookies, Pixel und ähnliche Technologien wurden erfasst.
• Optionale Funktionen sind standardmäßig deaktiviert.
• Freitextfelder wurden auf mögliche sensible Angaben geprüft.

Recht und Transparenz

• Für jeden Zweck ist eine Rechtsgrundlage dokumentiert.
• Berechtigte Interessen sind konkret beschrieben und abgewogen.
• TDDDG und DSGVO wurden getrennt geprüft.
• Einwilligungsbedürftige Technik startet erst nach Zustimmung.
• Ablehnen und Widerrufen funktionieren ohne Umwege.
• Der Datenschutzhinweis entspricht der tatsächlichen Konfiguration.
• Restaurant und Anbieter sind mit ihren jeweiligen Rollen korrekt benannt.
• Das Verzeichnis der Verarbeitungstätigkeiten ist aktualisiert.

Anbieter und Verträge

• Der AVV nach Artikel 28 liegt vor, soweit Auftragsverarbeitung besteht.
• Unterauftragsverarbeiter und ihre Aufgaben sind bekannt.
• Speicherorte und Drittlandtransfers sind dokumentiert.
• Die Grundlage jedes Drittlandtransfers wurde geprüft.
• Sicherheitsmaßnahmen sind konkret genug, um sie zu bewerten.
• Löschung, Export und Vertragsende sind geregelt.
• Meldewege bei Datenschutzverletzungen sind vereinbart.

Betrieb und Sicherheit

• Mitarbeitende verwenden individuelle Zugänge.
• Rollen und Rechte folgen den tatsächlichen Aufgaben.
• Mehrfaktor-Authentifizierung ist aktiviert, wo sie angeboten wird.
• Speicherfristen haben einen klaren Startpunkt und eine technische Löschung.
• Datenschutzanfragen können praktisch bearbeitet werden.
• Ein Vorfallplan mit Ansprechpartnern und 72-Stunden-Prüfung liegt vor.
• Die Gästeansicht wurde nach jeder wesentlichen Änderung erneut getestet.

Häufig gestellte Fragen

Ist eine digitale Speisekarte automatisch DSGVO-konform?

Nein. Ein QR-Code oder eine Software ist nicht für sich allein DSGVO-konform. Entscheidend sind die konkrete Datenverarbeitung, die gewählten Funktionen, Rechtsgrundlagen, Verträge, Datenschutzhinweise, Speicherfristen und Sicherheitsmaßnahmen. Eine reine Anzeige kann sehr datensparsam betrieben werden. Bestellung, Bezahlung, Analyse oder Kundenbindung erweitern die Pflichten.

Braucht jedes QR-Menü einen Cookie-Banner?

Nein. Ein Banner ist nicht allein deshalb nötig, weil eine Speisekarte im Browser geöffnet wird. Nach § 25 TDDDG kommt es darauf an, ob Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden und ob dies unbedingt erforderlich ist. Für optionale Analyse- oder Marketingtechnologien ist regelmäßig eine vorherige Einwilligung nötig. Unabhängig davon braucht jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach der DSGVO.

Darf ein Restaurant Menüaufrufe ohne Einwilligung zählen?

Das hängt von der Methode ab. Eine Reichweitenmessung, die Kennungen auf dem Endgerät speichert oder ausliest, kann eine Einwilligung nach § 25 TDDDG erfordern. Eine serverseitige, datensparsame und früh aggregierte Messung ist anders zu beurteilen, unterliegt aber weiterhin der DSGVO, solange personenbezogene Daten verarbeitet werden. Zweck, Erforderlichkeit, Interessenabwägung, Speicherdauer und Information der Gäste müssen dokumentiert werden.

Braucht das Restaurant mit dem Menüanbieter einen Auftragsverarbeitungsvertrag?

Wenn der Anbieter personenbezogene Daten im Auftrag und nach Weisung des Restaurants verarbeitet, ist grundsätzlich ein Vertrag nach Artikel 28 DSGVO erforderlich. Für eigene Zwecke kann ein Anbieter dagegen selbst Verantwortlicher sein. Deshalb müssen die Rollen je Verarbeitung geklärt werden. Ein Vertrag mit der Überschrift AVV genügt nicht, wenn Leistungen, Datenarten, Unterauftragsverarbeiter und Sicherheitsmaßnahmen unklar bleiben.

Sind Angaben zu Allergien in einer digitalen Bestellung Gesundheitsdaten?

Eine allgemeine Allergenkennzeichnung am Gericht ist keine Information über eine bestimmte Person. Schreibt ein identifizierbarer Gast jedoch in eine Bestellung, dass eine schwere Allergie oder Erkrankung besteht, kann die Angabe ein Gesundheitsdatum nach Artikel 9 DSGVO sein. Restaurants sollten solche Felder auf das Erforderliche begrenzen, Zugriff und Löschung regeln und vorab eine tragfähige Rechtsgrundlage nach Artikel 6 und eine Ausnahme nach Artikel 9 Absatz 2 bestimmen.

Fazit

Die datenschutzfreundlichste digitale Speisekarte ist nicht die mit dem längsten Hinweis. Es ist die, die für ihren Zweck möglichst wenig Daten benötigt.

Ein Gast, der nur lesen möchte, sollte nicht erst ein Konto eröffnen oder Marketing akzeptieren müssen. Ein Restaurant, das lediglich Aufrufe zählen möchte, braucht nicht automatisch ein dauerhaftes Geräteprofil. Eine Tischbestellung benötigt andere Angaben als eine Lieferung. Ein Allergiehinweis verdient einen anderen Schutz als die Auswahl „ohne Zwiebeln“.

Die entscheidende Arbeit findet deshalb vor dem ersten großen QR-Druck statt: Funktionen begrenzen, einen echten Scan technisch verfolgen, Rollen und Empfänger klären, Verträge lesen, Fristen festlegen und die Gästeansicht mit abgelehnter Einwilligung testen.

Beginnen Sie mit der reinen Anzeige. Dokumentieren Sie, welche Daten dabei tatsächlich entstehen. Ergänzen Sie Bestellung, Analyse oder Kundenbindung erst, wenn Zweck, Rechtsgrundlage und Löschung für jede Funktion beantwortet sind.

Digitale Speisekarte auf dem Smartphone prüfen: Testen Sie Menüstruktur und Gästeansicht zunächst ohne unnötige Zusatzfunktionen. Ergänzen Sie für den realen Einsatz den eigenen Datenschutzhinweis, die erforderlichen Verträge und eine dokumentierte Prüfung der aktivierten Dienste.

Wie sich digitale Pflege und Papier wirtschaftlich unterscheiden, zeigt der Vergleich QR-Menü vs. gedruckte Speisekarte: Die echten Kosten im Jahr 2026.

Rechtsquellen und redaktioneller Stand

Rechtsstand dieses Artikels: 29. September 2026.

• Datenschutz-Grundverordnung, konsolidierte deutsche Fassung, insbesondere Artikel 5, 6, 9, 12, 13, 24, 25, 28, 30, 32, 33, 34, 35, 37 sowie Kapitel V.
• § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen.
• § 38 BDSG, Datenschutzbeauftragte nichtöffentlicher Stellen.
• Datenschutzkonferenz: Orientierungshilfe für Anbieterinnen und Anbieter digitaler Dienste.
• Europäischer Datenschutzausschuss: Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern.
• Europäischer Datenschutzausschuss: Leitlinien 4/2019 zu Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
• Europäischer Datenschutzausschuss: Leitfaden zur Sicherheit personenbezogener Daten für kleine Unternehmen.
• Europäische Kommission: EU-US-Datentransfers und Data Privacy Framework.
• Europäischer Datenschutzausschuss: Schreiben vom 31. Juli 2026 zum US-Urteil Trump v. Slaughter.
• Europäischer Gerichtshof, Rechtssache C-582/14, Breyer.

Redaktioneller Hinweis: Der Artikel gibt einen allgemeinen Überblick für Gastronomiebetriebe in Deutschland. Er ersetzt weder die Prüfung einer konkreten technischen Konfiguration noch individuelle Rechtsberatung. Gesetze, Behördenpraxis, Anbieterfunktionen, Unterauftragsverarbeiter und internationale Übermittlungsgrundlagen können sich ändern.