Glossar

DSGVO-Checkliste: Online-Bestellsystem im Restaurant

Bei jeder Online-Bestellung verarbeitet ein Restaurant personenbezogene Daten: Name, Lieferadresse, Telefonnummer, E-Mail, Bestellinhalt und Zahlungsstatus. Damit gilt die DSGVO in vollem Umfang — das Restaurant ist Verantwortlicher, der Bestellsystem-Anbieter Auftragsverarbeiter nach Art. 28 DSGVO. Pflicht sind ein AVV, eine angepasste Datenschutzerklärung, ein Löschkonzept und Transparenz über alle Subunternehmer.

Welche Daten fallen bei einer Online-Bestellung an?

Wer ein Online-Bestellsystem betreibt, verarbeitet deutlich mehr Daten als der Gastraum-Betrieb — und zwar bei jeder einzelnen Bestellung:

Datenkategorie	Beispiele	Zweck
Stammdaten	Name, Lieferadresse, Telefonnummer, E-Mail	Zustellung, Rückfragen, Bestellbestätigung
Bestelldaten	Gerichte, Sonderwünsche, Zeitpunkt, Historie	Vertragserfüllung, Beleg, Buchhaltung
Zahlungsdaten	Zahlart, Zahlungsstatus — Kartendaten liegen nur beim Zahlungsdienstleister	Bezahlung, Erstattungen
Technische Daten	IP-Adresse, Geräte- und Browserdaten, Server-Logs	Betrieb, Sicherheit, Missbrauchs-Abwehr
Kontodaten (optional)	Login, gespeicherte Adressen und Zahlarten	Kundenkonto, Wiederbestellung

Zwei Punkte werden oft übersehen: Freitext-Kommentare wie „bitte ohne Nüsse, Allergie!" können Gesundheitsdaten nach Art. 9 DSGVO enthalten — hier gilt strikte Datensparsamkeit. Und wer Bestellungen zusätzlich über einen KI-Telefon-Agent annimmt, verarbeitet auch Gesprächsdaten — dieselbe Checkliste gilt dann für den Telefon-Kanal mit.

Die DSGVO-Checkliste: 7 Punkte vor dem Start

Diese sieben Punkte decken die Kernpflichten ab. Wer alle abhaken kann, hat das Abmahn-Risiko beim Online-Bestellsystem im Griff:

AVV nach Art. 28 DSGVO abschließen: Der Auftragsverarbeitungs-Vertrag zwischen dir und dem Bestellsystem-Anbieter ist Pflicht, keine Kür. Er regelt Weisungsrecht, technische Schutzmaßnahmen, Subunternehmer und Löschung nach Vertragsende. Ohne AVV ist die Verarbeitung formal rechtswidrig — auch wenn nie etwas passiert.
Hosting-Standort und Drittlandtransfer prüfen: Frage konkret: Wo stehen die Server? Hosting in Deutschland oder der EU ist der einfachste Weg. Fließen Daten in Drittländer (z.B. USA), braucht es einen Angemessenheitsbeschluss oder Standardvertragsklauseln — und du musst das in der Datenschutzerklärung ausweisen.
Cookie-Consent oder cookieless: Warenkorb- und Session-Cookies sind technisch notwendig und brauchen kein Banner. Tracking-Pixel und Werbe-Cookies brauchen aktive Einwilligung — vor dem Setzen, nicht danach. Die sauberste Variante: Bestellseite ohne Tracking oder mit cookieless Analytics. Kein Banner, kein Klick-Hindernis im Checkout.
Datenschutzerklärung mit allen Pflichtangaben: Art. 13 DSGVO verlangt: Verantwortlicher mit Kontaktdaten, Verarbeitungszwecke, Rechtsgrundlagen, Empfänger (Bestellsystem, Zahlungsdienstleister, Hosting, E-Mail-Versand), Speicherdauer, Betroffenenrechte, Beschwerderecht. Die Erklärung muss auf der Bestellseite verlinkt sein — nicht nur auf der Restaurant-Website.
Subunternehmer-Transparenz: Dein Anbieter arbeitet selbst mit Dienstleistern — Hosting, Zahlungsabwicklung, E-Mail, ggf. KI-Dienste. Diese Liste muss einsehbar sein, inklusive Standort und Vertragsbasis. Steht sie nirgendwo öffentlich, ist das ein Warnsignal.
Löschkonzept und Datenexport: Definiere pro Datenart eine Frist: rechnungsrelevante Bestelldaten 8–10 Jahre (§ 147 AO), Marketing-Daten bis zum Widerruf, inaktive Kundenkonten nach definierter Zeit. Gäste haben ein Recht auf Löschung (Art. 17 DSGVO) und Auskunft — dein System muss beides technisch können. Und: Bei Anbieterwechsel brauchst du deine Daten als Export.
PCI-DSS über den Zahlungsdienstleister: Kartendaten gehören nie auf deine Server und nie in dein Bestellsystem. Zertifizierte Zahlungsdienstleister wie Stripe übernehmen die komplette PCI-DSS-Compliance — Restaurant und Bestellsystem sehen nur den Zahlungsstatus, nie die Kartennummer.

Häufige Fehler in der Praxis

AGB-Haken gesetzt, AVV nie geprüft — der AVV gilt nur, wenn er tatsächlich Vertragsbestandteil ist. Prüfen, wo er steht, und eine Kopie ablegen. „Wird schon in den AGB stehen" reicht bei einer Kontrolle nicht.
Datenschutzerklärung von der alten Website kopiert — das Bestellsystem, der Zahlungsdienstleister und deren Datenflüsse fehlen komplett. Genau diese Lücke ist der häufigste Abmahn-Ansatzpunkt.
Tracking-Pixel ohne Einwilligung im Checkout — Werbe-Pixel feuern vor dem Consent. Doppelt schlecht: rechtswidrig und ein zusätzlicher Banner-Klick, der Bestellabbrüche produziert.
Werbe-Mails an alle Bestellkunden — eine Bestellung ist keine Newsletter-Einwilligung. Die Bestandskunden-Ausnahme (§ 7 Abs. 3 UWG) ist eng: nur eigene ähnliche Leistungen, klarer Hinweis bei Erhebung, jederzeit Widerspruch.
Keine Löschroutine — Bestellungen von vor fünf Jahren liegen mit vollen Adressen im System, obwohl kein Zweck sie mehr trägt. Bei einem Auskunftsverlangen wird jede dieser Zeilen zum Aufwand.
Gesundheitsdaten im Freitext — Allergie-Angaben im Kommentarfeld sind besondere Datenkategorien nach Art. 9 DSGVO. Besser: strukturierte Allergen-Angaben pro Gericht statt Freitext-Sammlung.

Was verantwortest du — was der Anbieter?

Die DSGVO trennt sauber: Du bist Verantwortlicher, der Anbieter Auftragsverarbeiter. Delegieren kannst du die Technik — die rechtliche Verantwortung gegenüber deinen Gästen bleibt bei dir:

Pflicht	Restaurant (Verantwortlicher)	Anbieter (Auftragsverarbeiter)
Datenschutzerklärung	Inhalt verantworten, aktuell halten	Technische Angaben und Textbausteine liefern
AVV	Abschließen und dokumentieren	Rechtskonformen AVV bereitstellen
Auskunft & Löschung (Art. 15/17)	Anfragen der Gäste beantworten	Export- und Löschfunktionen bereitstellen
Technische Sicherheit (TOMs)	Anbieter sorgfältig auswählen	Verschlüsselung, Zugriffskontrolle, Backups
Cookie-Consent	Entscheiden, ob Tracking eingesetzt wird	Consent technisch sauber umsetzen — oder cookieless bauen
Subunternehmer	Liste prüfen, Änderungen im Blick behalten	Liste öffentlich führen und aktualisieren
Zahlungsdaten (PCI-DSS)	Zahlarten festlegen	Zertifizierten Zahlungsdienstleister anbinden

Nebenbemerkung zur Datenhoheit: Bestellst ein Gast über Marktplatz-Plattformen, liegen seine Daten bei der Plattform — nicht bei dir. Wer Stammkunden aufbauen will, braucht die eigene Bestellseite mit eigener Datenbasis. Die Rechnung dazu:Marktplatz vs. eigene Bestellseite — Vergleich →

Wie DRIFT Order die Checkliste löst

DRIFT Order ist so gebaut, dass die sieben Checklisten-Punkte beim Start bereits abgehakt sind:

AVV online — der Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO liegt öffentlich unter driftorder.de/avv und ist Anhang zu den AGB. Kein Papierkram, keine Nachfrage nötig.
Subunternehmer-Liste öffentlich — alle Auftragsverarbeiter mit Standort und verlinkten Verträgen unter driftorder.de/subunternehmer.
Hosting in Deutschland — die Bestelldaten deiner Gäste liegen auf Servern in Deutschland, nicht in einem Drittland.
Bestellseiten ohne Tracking — die Restaurant-Storefronts laufen komplett ohne Tracking-Cookies, Analytics auf den eigenen Marketing-Seiten ist cookieless. Ergebnis: kein Cookie-Banner im Checkout.
Zahlung über Stripe — Karte, Apple Pay, Google Pay und Klarna laufen über einen PCI-DSS-zertifizierten Zahlungsdienstleister. Kartendaten berühren DRIFT Order nie.
Datenexport und Löschfunktionen — Gäste können ihre Daten exportieren und ihr Konto löschen, Restaurants ihre Daten mitnehmen.

Der Rest ist unternehmerisch, nicht juristisch: eigene Bestellseite im Restaurant-Branding, 0 % Provision, Starter ab 49 €/Monat, Setup unter 1 Stunde inklusive KI-Speisekarten-Import. Alle Tarife im Detail: DRIFT Order Preise.

Häufige Fragen

Brauche ich als Restaurant wirklich einen AVV mit meinem Bestellsystem-Anbieter?+

Ja, ohne Ausnahme. Sobald ein Dienstleister personenbezogene Daten deiner Gäste in deinem Auftrag verarbeitet — und genau das tut ein Bestellsystem mit Namen, Adressen und Bestellungen — verlangt Art. 28 DSGVO einen Auftragsverarbeitungs-Vertrag (AVV). Ohne AVV ist die Verarbeitung formal rechtswidrig, selbst wenn technisch alles sauber läuft. Viele Anbieter integrieren den AVV in ihre AGB oder stellen ihn online bereit — prüfe das vor der Buchung und lege dir eine Kopie ab.

Reicht die Datenschutzerklärung des Anbieters oder brauche ich eine eigene?+

Du brauchst eine eigene. Gegenüber deinen Gästen bist du der Verantwortliche im Sinne der DSGVO — der Anbieter ist nur dein Auftragsverarbeiter. Deine Datenschutzerklärung muss die Pflichtangaben aus Art. 13 DSGVO enthalten: wer du bist, welche Daten du zu welchem Zweck verarbeitest, auf welcher Rechtsgrundlage, wer die Daten empfängt (Bestellsystem, Zahlungsdienstleister, Hosting), wie lange du sie speicherst und welche Rechte deine Gäste haben. Gute Anbieter liefern dir dafür fertige Textbausteine mit allen technischen Angaben.

Brauche ich ein Cookie-Banner für meine Bestellseite?+

Nur wenn nicht-essentielle Cookies oder Tracking eingesetzt werden. Technisch notwendige Cookies — Warenkorb, Login-Session, Sprachauswahl — sind ohne Einwilligung erlaubt. Ein Banner wird erst Pflicht, wenn Analyse-Pixel, Werbe-Tracker oder Drittanbieter-Widgets Daten sammeln. Die sauberste Lösung: eine Bestellseite ganz ohne Tracking oder mit cookieless Analytics. Dann entfällt das Banner komplett — weniger Klicks im Checkout bedeuten messbar weniger Bestellabbrüche.

Wie lange darf ich Bestelldaten speichern?+

So lange, wie ein definierter Zweck es verlangt — danach müssen sie gelöscht werden. Rechnungsrelevante Bestelldaten unterliegen den steuerrechtlichen Aufbewahrungsfristen von 8 bis 10 Jahren (§ 147 AO), dürfen also nicht früher gelöscht werden. Marketing-Daten wie Newsletter-Adressen brauchst du nur bis zum Widerruf der Einwilligung. Kundenkonten ohne Aktivität solltest du nach einer definierten Frist bereinigen. Wichtig ist ein dokumentiertes Löschkonzept: welche Daten, welcher Zweck, welche Frist, wer löscht.

Was droht bei einem DSGVO-Verstoß im Restaurant?+

Der Bußgeldrahmen der DSGVO reicht bis 20 Mio. € oder 4 % des Jahresumsatzes (Art. 83 DSGVO). Für kleine Restaurants sind die realistischen Risiken andere: Abmahnungen von Wettbewerbern oder Verbänden, Bußgelder im vier- bis fünfstelligen Bereich bei Beschwerden von Gästen und der Aufwand, ein Auskunftsverlangen ohne saubere Datenhaltung zu beantworten. Der günstigste Schutz ist ein Anbieter, der AVV, Hosting-Standort und Subunternehmer-Liste von sich aus offenlegt.

Ist ein Anbieter mit US-Diensten automatisch ein DSGVO-Problem?+

Nicht automatisch, aber prüfpflichtig. Datentransfers in Drittländer wie die USA brauchen eine Rechtsgrundlage: einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework für zertifizierte Anbieter) oder Standardvertragsklauseln plus Risikoabwägung. Diese Prüfung liegt bei dir als Verantwortlichem. Einfacher ist die Abkürzung: ein Anbieter, der in Deutschland oder der EU hostet und seine Subunternehmer transparent listet — dann entfällt der größte Teil der Transfer-Prüfung.

Quellen & weiterführende Links

Verfasst von Daniel Wist, Gründer von DRIFT Order. Zuletzt aktualisiert: 21. Juli 2026. Dieser Artikel ist eine Orientierungshilfe und ersetzt keine Rechtsberatung.