DSGVO im Restaurant 2026: Kundendaten, Pflichten & Bußgeld-Risiken

Einleitung — Warum DSGVO 2026 für Gastronomen wichtiger ist denn je

Wer 2026 ein Restaurant, Café oder einen Lieferdienst führt, verarbeitet jeden Tag personenbezogene Daten: Reservierungen, Kundenkonten im Webshop, Newsletter-Anmeldungen, Bewertungen, Mitarbeiterunterlagen, Bestellhistorien, Zahlungsdaten. Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 und ist seitdem nach Auffassung der Aufsichtsbehörden in voller Anwendung — Übergangsfristen gibt es längst nicht mehr.

Die DSGVO im Volltext (eur-lex.europa.eu) sieht Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Konzern-Jahresumsatzes vor (Art. 83 Abs. 5 DSGVO) — je nachdem, was höher ausfällt. Das trifft theoretisch auch kleine Gastronomiebetriebe. In der Praxis bewegen sich Bußgelder gegen kleinere Restaurants laut Tätigkeitsberichten der Landesdatenschutzbehörden eher im drei- bis fünfstelligen Bereich, doch Reputationsschäden, Beratungs- und Anwaltskosten kommen on top.

Hinter diesem Artikel steht das Team hinter Gastro Master. In unseren Kundengesprächen sehen wir täglich, wie unsicher viele Gastronomen beim Thema Datenschutz sind — und wie häufig vermeintliche „Standardlösungen" aus dem Internet rechtliche Probleme verursachen. Dieser Beitrag bündelt die wichtigsten Pflichten, fasst die Position der Aufsichtsbehörden zusammen und gibt eine praxisnahe Checkliste mit auf den Weg.

1. Die DSGVO-Grundpflichten — Art. 5, 6, 13 und 32 im Klartext

Die DSGVO gilt für jedes Unternehmen in der EU, das personenbezogene Daten verarbeitet — unabhängig von der Größe (Art. 2, 3 DSGVO). Vier Artikel bilden für Gastronomen den Kern:

Art. 5 DSGVO — Grundsätze der Verarbeitung

Artikel 5 listet sieben Grundsätze auf, die jede Datenverarbeitung erfüllen muss:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz — Du musst Gäste informieren, was Du mit ihren Daten tust.
• Zweckbindung — Daten dürfen nur für den festgelegten Zweck verarbeitet werden. Reservierungsdaten dürfen z. B. nicht ungefragt für Newsletter genutzt werden.
• Datenminimierung — Nur erheben, was wirklich nötig ist. Eine Reservierung braucht keine Geburtsdaten.
• Richtigkeit — Falsche Daten korrigieren oder löschen.
• Speicherbegrenzung — Daten löschen, wenn der Zweck erfüllt ist.
• Integrität und Vertraulichkeit — Schutz vor unbefugtem Zugriff (siehe Art. 32).
• Rechenschaftspflicht — Du musst die Einhaltung nachweisen können.

Art. 6 DSGVO — Rechtsgrundlagen

Jede Verarbeitung braucht eine Rechtsgrundlage. Für Restaurants relevant:

• Art. 6 Abs. 1 lit. a — Einwilligung (z. B. Newsletter, Marketing-Cookies)
• Art. 6 Abs. 1 lit. b — Vertragserfüllung (z. B. Bestellung im Webshop, Reservierung)
• Art. 6 Abs. 1 lit. c — Rechtliche Verpflichtung (z. B. steuerliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f — Berechtigtes Interesse (mit Abwägung, z. B. IT-Sicherheit)

Art. 13 DSGVO — Informationspflichten

Gäste müssen vor oder spätestens bei der Datenerhebung informiert werden — über Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und Betroffenenrechte. In der Praxis erfolgt das über die Datenschutzerklärung auf der Website und am POS in Form eines Aushangs oder QR-Codes.

Art. 32 DSGVO — Sicherheit der Verarbeitung

Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkung, Backup- und Wiederherstellungskonzept, regelmäßige Tests. Konkret: Wer im Restaurant arbeitet mit dem Kassen-Backend? Sind die Passwörter individuell? Werden Backups verschlüsselt? Diese Fragen muss der Verantwortliche beantworten können.

2. Welche Datenkategorien fallen im Restaurant typischerweise an?

Aus unseren Kundengesprächen kennen wir die typischen Datenflüsse eines modernen Gastronomiebetriebs. Das hier ist die übliche Landkarte:

Datenkategorie	Beispiele	Rechtsgrundlage typisch	Speicherdauer (Orientierung)
Reservierung	Name, Telefon, Mail, Personenzahl, Sonderwünsche	Art. 6 Abs. 1 lit. b	Bis nach Termin + ggf. Beweissicherung
Webshop / Bestellkonto	Adresse, Liefer-/Rechnungsdaten, Bestellhistorie	Art. 6 Abs. 1 lit. b + c	Steuerlich: 8 Jahre Rechnungen (§ 14b UStG / § 147 AO)
Newsletter / Marketing	E-Mail, ggf. Vorlieben	Art. 6 Abs. 1 lit. a (Einwilligung)	Bis Widerruf
Bewertungen	Name (oder Pseudonym), Inhalt	Art. 6 Abs. 1 lit. a oder f	Solange für Anzeige nötig
Mitarbeiter / Bewerber	Stammdaten, Lohn-, Sozialversicherungsdaten	§ 26 BDSG	Gesetzliche Aufbewahrungspflichten (z. B. 6 / 10 Jahre)
Zahlungsdaten	Karten-Token, Transaktions-ID	Art. 6 Abs. 1 lit. b + c, PCI-DSS	Per PSP, nicht im Restaurant gespeichert
Videoüberwachung	Bildaufnahmen Gäste/Mitarbeiter	Art. 6 Abs. 1 lit. f, § 4 BDSG	Nach Auffassung der Aufsichtsbehörden i. d. R. 48–72 h

Besonders sensibel ist die Verzahnung Kassensystem ↔ Webshop ↔ Reservierung ↔ CRM. Wer all diese Tools nicht zentral verwaltet, hat schnell ein Problem mit der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

3. Cookie-Banner & Tracking-Consent — was die Aufsichtsbehörden 2025/2026 erwarten

Seit dem BGH-Urteil "Planet49" (BGH, Urteil vom 28. Mai 2020 – I ZR 7/16) und dem TTDSG / TDDDG ist klar: Für nicht-essenzielle Cookies und ähnliche Technologien (Tracking, Marketing, eingebettete Maps, Werbe-Pixel) ist eine aktive Einwilligung der Nutzer erforderlich. Das gilt auch für Restaurant-Websites mit Webshop oder Reservierungs-Widget.

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat dazu eine Orientierungshilfe für Anbieter von Telemedien veröffentlicht. Wesentliche Anforderungen:

• „Alle akzeptieren" und „Alle ablehnen" gleichwertig — kein „Dark Pattern" mit verstecktem Ablehnen-Button. Das wird laut Tätigkeitsberichten der Landesdatenschutzbehörden zunehmend geahndet.
• Echte Wahlfreiheit — Inhalte müssen auch ohne Einwilligung grundsätzlich nutzbar bleiben.
• Granulare Auswahl — Nutzer müssen einzelne Kategorien (z. B. nur Marketing-Cookies) ablehnen können.
• Kein Vor-Ankreuzen — vorausgewählte Häkchen sind nach EuGH-Rechtsprechung unzulässig.
• Widerruf so einfach wie Einwilligung — Re-Open des Banners über Footer-Link.

Typische Stolperfallen im Gastro-Webshop:

1. Google Maps eingebettet → ohne Consent setzt Google Cookies (Drittland-Transfer USA, siehe Punkt 5).
2. Reservierungs-Widget eines Drittanbieters → ggf. Tracking-Cookies vor Einwilligung.
3. Schriftarten von Google Fonts dynamisch geladen → laut Urteil LG München I, 20.01.2022 – 3 O 17493/20 kann das ohne Einwilligung kostenpflichtig sein. Lösung: Schriften lokal hosten.
4. Facebook-/Instagram-Pixel → Marketing-Cookie, Einwilligung zwingend.

Bei der professionellen Webseite, die wir bei Gastro Master für Gastronomen umsetzen (Webseiten-Paket), gehört ein DSGVO-konformer Cookie-Banner mit lokal gehosteten Assets, gleichwertiger Wahl und granularer Steuerung zum Standard. Das ersetzt aber nicht den eigenen Datenschutzcheck — verbindlich beraten kann nur ein Datenschutzbeauftragter oder ein Rechtsanwalt.

4. Auftragsverarbeitungsverträge (AVV) — wann und mit wem?

Sobald Du einen externen Anbieter nutzt, der in Deinem Auftrag personenbezogene Daten verarbeitet, brauchst Du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Typische Fälle im Restaurant:

Anbieter / Tool	AVV nötig?
Cloud-Kassensystem-Anbieter	✅ Ja
Reservierungssoftware (SaaS)	✅ Ja
Webshop-Plattform / Bestellsystem	✅ Ja
Newsletter-Tool (z. B. Mailing-Anbieter)	✅ Ja
Lohnbuchhaltungs-Dienstleister	✅ Ja (oder Berufsgeheimnisträger nach § 203 StGB)
Hosting-Provider Website	✅ Ja
Lieferplattform (Lieferando, Wolt etc.)	⚠️ Häufig gemeinsame Verantwortlichkeit nach Art. 26 DSGVO — Vertrag genau prüfen
Steuerberater	❌ Eigene Verantwortlichkeit (Berufsgeheimnis)

Pflichtinhalte des AVV (Art. 28 Abs. 3 DSGVO): Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien Betroffener, Pflichten und Rechte des Verantwortlichen — sowie konkrete technisch-organisatorische Maßnahmen (TOM).

5. Drittlandtransfer — die USA-Frage nach dem EU-US Data Privacy Framework

Nach dem Schrems-II-Urteil des EuGH (16.07.2020 – C-311/18) wurde der „Privacy Shield" gekippt. Seit dem Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 zum EU-US Data Privacy Framework (DPF) sind Datentransfers in die USA an zertifizierte Unternehmen wieder zulässig — solange die jeweilige Empfängerorganisation auf der DPF-Liste steht.

Für Gastronomen heißt das: Wer Google Analytics, Meta-Pixel, US-basierte Reservierungstools oder US-Newsletter-Services einsetzt, sollte prüfen, ob der Anbieter DPF-zertifiziert ist und ob der Transfer in der Datenschutzerklärung sauber dargestellt wird. Bei Wegfall der Zertifizierung oder bei Anbietern außerhalb des DPF müssen Standardvertragsklauseln (SCC) plus zusätzliche Schutzmaßnahmen vorliegen.

6. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Jeder Verantwortliche — also auch jeder Restaurantbetreiber — muss grundsätzlich ein Verzeichnis von Verarbeitungstätigkeiten führen. Ausnahmen für Kleinunternehmen (Art. 30 Abs. 5 DSGVO) gelten nach Auffassung der Aufsichtsbehörden in der Gastronomie i. d. R. nicht, weil die Verarbeitung von Mitarbeiter- und Kundendaten typischerweise „nicht nur gelegentlich" erfolgt.

Pflichtinhalte je Verfahren:

• Name und Kontaktdaten des Verantwortlichen
• Zwecke der Verarbeitung
• Beschreibung der Kategorien betroffener Personen und Daten
• Empfänger
• ggf. Drittlandtransfer
• Löschfristen
• Allgemeine Beschreibung der TOM (Art. 32 DSGVO)

Typische Gastro-Verfahren: Reservierung, Online-Bestellung, Newsletter, Mitarbeiterverwaltung, Bewerbermanagement, Videoüberwachung, Buchhaltung, Lieferanten-Korrespondenz.

Vorlagen stellen u. a. die BfDI und mehrere Landesdatenschutzbehörden bereit. Eine Übersicht mit Mustern findest Du bei der BayLDA und beim LfDI Baden-Württemberg.

7. Datenschutzbeauftragter — ab wann ist er Pflicht?

Nach § 38 BDSG ist ein betrieblicher Datenschutzbeauftragter (DSB) zu bestellen, wenn

• in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder
• besonders risikoreiche Verarbeitungen (z. B. umfangreiche Videoüberwachung, Profiling, Verarbeitung besonderer Kategorien nach Art. 9 DSGVO) erfolgen.

Für die meisten Einzelrestaurants greift die Pflicht über die 20-Personen-Schwelle nicht; ein Lieferdienst mit 25 Fahrern, Küchen- und Servicekräften kann hingegen schnell darüberliegen. Größere Ketten und Franchise-Systeme sind in der Regel verpflichtet.

8. Bußgeldrisiken 2025/2026 — und was die Bundesländer unterschiedlich handhaben

Die DSGVO setzt den Rahmen, die Aufsichtsbehörden der Länder entscheiden konkret. Das führt in der Praxis zu nicht unerheblichen Unterschieden — sowohl in der Anzahl als auch in der Höhe der verhängten Bußgelder.

Wichtig: keine Pseudo-Präzision bei Zahlen

Wir berichten an dieser Stelle bewusst keine punktgenauen Bußgeldsummen für die Gastronomie. Die Tätigkeitsberichte (z. B. BfDI, LfDI Baden-Württemberg, BayLDA, HmbBfDI, Berliner Beauftragte für Datenschutz und Informationsfreiheit) weisen Bußgelder regelmäßig nach Branchen oder Sektoren aus, aber branchenscharfe Zahlen ausschließlich für „Gastronomie" sind selten und schwanken zwischen den Berichtsjahren.

Was sich aus den Berichten der vergangenen Jahre belastbar ableiten lässt:

• Die meisten Bußgelder gegen kleine Betriebe bewegen sich nach Auffassung der jeweiligen Aufsicht im drei- bis fünfstelligen Bereich.
• Häufige Anlässe: fehlende oder unvollständige Datenschutzerklärung, fehlende Einwilligungen für Marketing, mangelhafte Cookie-Banner, unzulässige Videoüberwachung, Datenpannen ohne fristgerechte Meldung (Art. 33 DSGVO, 72 Stunden).
• Die BayLDA verfolgt nach eigenen Tätigkeitsberichten in Bayern jährlich mehrere Tausend Beschwerden; davon mündet ein kleiner Anteil in formelle Bußgeldverfahren.
• Der LfDI Baden-Württemberg berichtet regelmäßig über vierstellige Beschwerdeeingänge pro Jahr und nutzt nach eigener Darstellung Bußgelder gezielt bei wiederholten Verstößen.
• Die Berliner Datenschutzaufsicht hat in der Vergangenheit auch im siebenstelligen Bereich Bußgelder gegen Großunternehmen verhängt — solche Größenordnungen treffen kleine Restaurants praktisch nie, können aber Konzerne und Franchise-Systeme treffen.

Was kostet ein DSGVO-Verstoß tatsächlich? Eine ehrliche Einordnung

Über das eigentliche Bußgeld hinaus solltest Du folgende Posten einkalkulieren:

Posten	Größenordnung (Praxis-Erfahrung)
Externe Rechtsberatung im Verfahren	i. d. R. vier- bis fünfstellig
Technische Nachbesserung (Webseite, Cookie-Banner, AVV)	drei- bis vierstellig
Reputationsschaden / negative Bewertungen	schwer bezifferbar, oft der größte Posten
Schadenersatz nach Art. 82 DSGVO	je Einzelfall, einzelne deutsche Gerichte sprechen vier- bis fünfstellige Beträge zu

Die Rechtsprechung zum immateriellen Schadenersatz (EuGH, Urteil vom 04.05.2023 – C-300/21) hat den Anspruch nach Art. 82 DSGVO grundsätzlich gestärkt — auch ohne Nachweis eines „spürbaren Nachteils".

9. Datenpannen — die 72-Stunden-Pflicht (Art. 33 DSGVO)

Eine Datenpanne (z. B. Hackerangriff auf das Kassensystem, verlorenes Tablet mit Reservierungsdaten, falsch versendeter Newsletter mit allen Mailadressen im CC) muss innerhalb von 72 Stunden nach Kenntnisnahme an die zuständige Aufsichtsbehörde gemeldet werden — sofern ein Risiko für die Rechte und Freiheiten der Betroffenen besteht.

Bei hohem Risiko sind außerdem die betroffenen Personen unverzüglich zu informieren (Art. 34 DSGVO). Die meisten Aufsichtsbehörden bieten Online-Meldeformulare an (z. B. BayLDA Meldeformular, LfDI BW).

Praxis-Tipp: Lege vor dem ersten Vorfall einen Notfallplan an, damit die 72 Stunden im Ernstfall reichen. Gerade bei Cloud-Kassensystemen sollte der Anbieter im AVV verpflichtet sein, Vorfälle unverzüglich zu melden.

10. Praktische DSGVO-Checkliste 2026 für Restaurants

Diese Liste ersetzt keine individuelle Prüfung — sie ist als Gesprächsgrundlage mit Deinem Datenschutzbeauftragten oder Rechtsberater gedacht.

11. Pull-Quote — was die Aufsicht wirklich erwartet

„Datenschutz ist kein einmaliges Projekt, sondern ein Prozess. Entscheidend ist die Dokumentation: Wer fragt nach, kann nur das prüfen, was nachvollziehbar belegt ist."

— sinngemäß zusammengefasst aus mehreren Tätigkeitsberichten der Landesdatenschutzbehörden, u. a. LfDI Baden-Württemberg und BayLDA.

Anders gesagt: Eine perfekte Umsetzung am ersten Tag ist nicht erforderlich — nachweisbares, dokumentiertes Bemühen schon.

12. Fazit — DSGVO ist machbar, wenn Du sie strukturierst

Die DSGVO wirkt für viele Gastronomen erstmal abschreckend. In der täglichen Arbeit mit deutschen Restaurants sehen wir jedoch, dass die meisten Pflichten gut machbar sind, sobald die Werkzeuge zentral und sauber gewählt sind: Ein modernes Kassensystem, ein DSGVO-konformer Webshop, ein gut aufgesetzter Reservierungsprozess und ein dokumentierter Notfallplan decken einen Großteil der Anforderungen ab. Den Rest erledigen klare Verträge (AVV) und ein einmal aufgesetztes Verarbeitungsverzeichnis, das jährlich gepflegt wird.

Wenn Du beim Aufsetzen oder Modernisieren Deiner Tools — Kasse, Webshop, App, Reservierung — eine technisch saubere und transparente Grundlage suchst, sprich uns an: Eine unverbindliche Beratung bei Gastro Master über das Kontaktformular klärt schnell, an welchen Stellen Deine Daten heute fließen — und wo eine bessere Architektur sowohl die DSGVO-Konformität als auch den Betrieb vereinfacht. Für die rechtliche Bewertung Deiner Situation ziehe bitte zusätzlich Deinen Datenschutzbeauftragten oder einen Rechtsanwalt hinzu.

Mehr zu unserem Team und Hintergrund findest Du auf /uber-uns.

FAQ

Gilt die DSGVO auch für ein kleines Restaurant mit 5 Mitarbeitern?
Ja. Die DSGVO gilt unabhängig von der Unternehmensgröße. Für die Pflicht zur Bestellung eines Datenschutzbeauftragten gelten allerdings Schwellenwerte (§ 38 BDSG: i. d. R. 20 Personen mit automatisierter Verarbeitung).

Brauche ich einen AVV mit Lieferando, Wolt oder Uber Eats?
Häufig liegt eher eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Den jeweiligen Vertrag der Plattform genau prüfen — und Pflichten gegenüber Gästen (z. B. Information) bei Bedarf selbst zusätzlich erfüllen.

Wie lange darf ich Reservierungsdaten speichern?
Nach Auffassung der Aufsichtsbehörden grundsätzlich nur so lange, wie es für den Reservierungszweck erforderlich ist. Steuerliche oder beweisrechtliche Aufbewahrungspflichten können im Einzelfall zu längeren Fristen führen.

Was, wenn mir doch eine Datenpanne passiert?
72-Stunden-Meldepflicht an die zuständige Aufsicht (Art. 33 DSGVO), ggf. Information der Betroffenen (Art. 34 DSGVO). Vorfall lückenlos dokumentieren — das hilft, das Bußgeldrisiko zu reduzieren.

Sind Bewertungen von Gästen auf meiner Website DSGVO-relevant?
Ja. Der Klarname (oder ein Pseudonym mit Personenbezug) ist personenbezogen. Du brauchst eine Rechtsgrundlage (i. d. R. Einwilligung) und musst Betroffenenrechte (Auskunft, Löschung) erfüllen können.

Reichen Standard-Cookie-Banner-Plugins aus?
In der Regel nicht „out of the box" — sie müssen so konfiguriert sein, dass „Ablehnen" gleichwertig ist und vor Einwilligung keine Tracking-Skripte laden. Eine technische Prüfung (z. B. mit den Entwicklertools des Browsers) ist empfehlenswert.

Brauche ich als Restaurant einen Datenschutzbeauftragten?

Ja, sobald regelmäßig mehr als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Für die meisten Restaurants bis 30 Mitarbeitende gilt das nicht — du musst die DSGVO-Pflichten aber trotzdem erfüllen. Quelle: Bundesdatenschutzgesetz.

Was kostet ein DSGVO-Verstoß im Restaurant konkret?

Bußgelder reichen bis 20 Mio. € oder 4 % des Jahresumsatzes. In der Praxis verhängt die deutsche Aufsicht für KMU eher 5.000 bis 50.000 €. Häufig getroffen: fehlende Verzeichnisse von Verarbeitungstätigkeiten, unverschlüsselte Mailings oder unbefugte Weitergabe von Kundendaten an Lieferdienste.

Welche Daten erhebe ich überhaupt im Restaurant?

Reservierungs-Namen, Telefonnummern, E-Mails, Bestellhistorien, Zahlungs-Tokens, Bewertungen, WLAN-Logins und Mitarbeiter-Personalakten. Plus Videoaufnahmen wenn du eine Kamera betreibst. Jeder dieser Datenflüsse braucht eine Rechtsgrundlage — meist Vertrag (Art. 6 Abs. 1 b) oder berechtigtes Interesse (Art. 6 Abs. 1 f).

Reicht ein Häkchen 'Ich akzeptiere die AGB' für die Einwilligung?

Nein. Einwilligungen müssen freiwillig, informiert, eindeutig und granular sein — pro Verarbeitungszweck einzeln. Newsletter-Anmeldung gehört in eine separate Box, nicht in die AGB-Zustimmung. Vorausgewählte Häkchen sind unzulässig (EuGH-Urteil Planet49). Faustregel: ein Zweck = ein Opt-in.

Wie lange darf ich Reservierungs-Daten speichern?

Nur so lange wie nötig (Speicherbegrenzung, Art. 5 DSGVO). Für Reservierungen reichen typisch 6-12 Monate ab Besuch — danach löschen oder pseudonymisieren. Wenn du Bestellhistorien für Marketing nutzt, brauchst du eine separate Einwilligung und solltest spätestens nach 3 Jahren Inaktivität löschen.

Was muss ich tun bei einem Datenleck?

Innerhalb von 72 Stunden bei der Aufsichtsbehörde melden (Art. 33 DSGVO), auch wenn unsicher ist, ob Daten betroffen sind. Bei hohem Risiko zusätzlich die betroffenen Personen direkt informieren. Häufiges Beispiel: gestohlenes Kassenbackup oder verlorenes Reservierungs-Tablet. Halte einen Notfall-Kontakt bei der Datenschutz-Aufsicht griffbereit.

Sind meine Lieferando-Bestelldaten DSGVO-konform?

Lieferando ist getrennter Verantwortlicher für die Plattform-Daten und übermittelt dir Bestelldaten als Auftragsverarbeiter-Konstellation. Du musst diese Daten in deinem Verzeichnis von Verarbeitungstätigkeiten aufnehmen und einen Auftragsverarbeitungsvertrag mit Lieferando vorhalten. Den AVV findest du im Restaurant-Portal als Standard-Download.

Cluster-Verlinkung — weiterführende Beiträge

• Kassensicherungsverordnung 2026 & TSE — was Gastronomen jetzt wissen müssen
• Cloud-POS-System für die Gastronomie — Vorteile, Risiken, DSGVO
• Mehrwertsteuer in der Gastronomie 2026
• Kassensystem für die Gastronomie — Auswahl & TSE
• Bestellsystem für die Gastronomie
• Gastronomie-Website erstellen — DSGVO & SEO

Quellen (Primärquellen)

• DSGVO im Volltext — eur-lex.europa.eu
• Bundesdatenschutzgesetz (BDSG) — gesetze-im-internet.de
• Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI)
• LfDI Baden-Württemberg
• Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
• Berliner Beauftragte für Datenschutz und Informationsfreiheit
• Hamburgischer Beauftragter für Datenschutz
• DSK — Konferenz der unabhängigen Datenschutzaufsichtsbehörden
• European Data Protection Board (EDPB)
• EuGH — Schrems II (C-311/18)
• EuGH — Immaterieller Schadenersatz (C-300/21)
• BGH — Planet49 (I ZR 7/16)
• EU-US Data Privacy Framework — Angemessenheitsbeschluss
• DEHOGA Bundesverband — Datenschutz-Handreichungen
• IHK-Merkblätter Datenschutz