Eine eigene Restaurant-Website gehört heute zum Handwerk dazu – vom digitalen Speiseplan über die Tischreservierung bis zum eigenen Online-Bestellsystem. Sobald Sie dabei Daten Ihrer Gäste verarbeiten, greift die Datenschutz-Grundverordnung (DSGVO). Das klingt zunächst nach viel Bürokratie, lässt sich mit einer klaren Checkliste aber einmal sauber abarbeiten.
Dieser Ratgeber fasst die wichtigsten Punkte für Gastronominnen und Gastronomen zusammen: Impressum, Datenschutzerklärung, Cookie- und Consent-Banner, Kontakt- und Reservierungsformulare, Bestell- und Kundendaten sowie Hosting in Deutschland und die Auftragsverarbeitung. Wichtig vorab: Das ist eine praxisnahe Orientierung und keine Rechtsberatung. Bei konkreten Zweifelsfragen sollten Sie eine Anwältin oder einen Anwalt für IT-Recht hinzuziehen.
Sobald Gäste Ihre Seite besuchen, eine Reservierung anfragen oder online bestellen, verarbeiten Sie personenbezogene Daten: Name, Telefonnummer, Liefer- oder Rechnungsadresse, E-Mail und bei Online-Zahlung auch Zahlungsdaten. Selbst der bloße Seitenaufruf überträgt technisch die IP-Adresse. All das fällt unter die DSGVO.
Für Sie als Betreiberin oder Betreiber bedeutet das zweierlei: Sie schulden Ihren Gästen Transparenz darüber, was mit ihren Daten passiert, und Sie sollten die Grundlagen sauber umsetzen, um Abmahnungen zu vermeiden. Die gute Nachricht ist, dass sich der größte Teil einmalig einrichten lässt und danach nur noch gepflegt werden muss.
Zwei Dokumente gehören auf jede geschäftlich genutzte Website und müssen von jeder Unterseite aus mit wenigen Klicks erreichbar sein – üblicherweise über feste Links im Footer.
Das Impressum nennt Ihren Betrieb mit Name, ladungsfähiger Anschrift und einer schnellen Kontaktmöglichkeit (Telefon und E-Mail), dazu je nach Rechtsform Angaben wie Umsatzsteuer-Identifikationsnummer oder Registereintrag. Die Datenschutzerklärung erklärt in verständlicher Sprache, welche Daten Sie zu welchem Zweck und auf welcher Rechtsgrundlage verarbeiten, wie lange Sie sie speichern und welche Rechte Ihre Gäste haben.
Ein Cookie-Banner ist kein Selbstzweck. Technisch notwendige Cookies – etwa für den Warenkorb oder die Sitzung – dürfen ohne Einwilligung gesetzt werden. Ein Einwilligungs-Banner brauchen Sie erst, sobald nicht notwendige Cookies oder Tracking ins Spiel kommen, zum Beispiel Statistik-Werkzeuge, Werbe-Pixel oder eingebettete Karten und Videos externer Anbieter.
Wenn Sie ein Banner einsetzen, muss die Einwilligung echt und freiwillig sein: Ablehnen so einfach wie Zustimmen, keine vorangekreuzten Kästchen, keine Design-Tricks, die zum Klick auf „Alles akzeptieren“ drängen. Externe Skripte und Einbettungen sollten erst laden, nachdem die Nutzerin oder der Nutzer zugestimmt hat.
Überall dort, wo Gäste aktiv Daten eingeben, gilt der Grundsatz der Datensparsamkeit: Fragen Sie nur ab, was Sie wirklich brauchen. Für eine Reservierung genügen meist Name, Datum, Personenzahl und ein Kontaktweg; die Lieferadresse braucht es nur bei einer Lieferbestellung, nicht bei Selbstabholung.
Die Übertragung muss verschlüsselt erfolgen (HTTPS mit gültigem Zertifikat). An jedes Formular gehört ein kurzer Hinweis mit Link zur Datenschutzerklärung. Für Newsletter empfiehlt sich das Double-Opt-In-Verfahren, bei dem die Anmeldung per Bestätigungs-Mail freigegeben wird. Legen Sie außerdem fest, wie lange Bestell- und Reservierungsdaten aufbewahrt und wann sie gelöscht werden – gesetzliche Aufbewahrungsfristen für Rechnungsunterlagen bleiben davon unberührt.
Wo Ihre Website und die Kundendaten liegen, ist ein zentraler DSGVO-Punkt. Ein Hosting in Deutschland beziehungsweise in der EU vereinfacht die Sache erheblich, weil Sie sich nicht mit den komplizierten Regeln für Datenübermittlungen in Drittländer auseinandersetzen müssen. Bei HYEB läuft das Hosting in Deutschland auf DSGVO-konformer Basis.
Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet – Hosting-Anbieter, Zahlungsdienstleister, E-Mail-Versand, Reservierungs- oder Bestellsystem –, benötigt einen Vertrag zur Auftragsverarbeitung (AVV). Darin ist geregelt, wie Ihre Daten geschützt werden und welche technischen und organisatorischen Maßnahmen greifen. Für Betriebe im Fünfseenland, in Herrsching, Starnberg oder im Münchner Umland gilt dabei dasselbe wie überall in Deutschland und Österreich; die Betreuung läuft ohnehin online.
Zum Schluss die wichtigsten Punkte kompakt – so behalten Sie den Überblick, wenn Sie Ihre Restaurant-Website prüfen oder neu aufsetzen lassen.
Nicht automatisch. Setzen Sie ausschließlich technisch notwendige Cookies ein, etwa für Warenkorb oder Sitzung, ist kein Einwilligungs-Banner nötig. Sobald jedoch Statistik-Tools, Werbe-Pixel oder externe Einbettungen wie Karten und Videos hinzukommen, brauchen Sie eine vorherige, freiwillige Einwilligung mit gleichwertiger Ablehnen-Option.
Pflicht ist ein Standort in Deutschland nicht, er vereinfacht die DSGVO-Umsetzung aber deutlich, weil Datenübermittlungen in Drittländer entfallen. Ein Hosting in Deutschland oder der EU ist deshalb die unkomplizierteste Variante. HYEB hostet in Deutschland auf DSGVO-konformer Basis.
Sie beschreibt verständlich, welche Daten Sie verarbeiten (etwa bei Reservierung, Bestellung, Kontaktformular oder Seitenaufruf), zu welchem Zweck und auf welcher Rechtsgrundlage, wie lange Sie sie speichern und welche Rechte Ihre Gäste haben. Alle eingesetzten Dienste wie Bestellsystem, Zahlungsanbieter oder Kartendienst sollten aufgeführt sein.
Ja, sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet – also praktisch immer beim Hosting, Zahlungsdienst, Mailversand oder externen Bestell- und Reservierungstools. Der AVV regelt Schutzmaßnahmen und Verantwortlichkeiten und gehört zu Ihrer Dokumentation.
Nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Danach sollten die Daten gelöscht werden. Für steuer- und handelsrechtlich relevante Belege wie Rechnungen gelten allerdings gesonderte gesetzliche Aufbewahrungsfristen, die davon unberührt bleiben. Ein festes Löschkonzept hilft, beides sauber zu trennen.