Datenschutz & Sicherheit bei waitrAI

• Daten deiner Gäste: Wenn Gäste über WhatsApp bei dir bestellen oder reservieren, bist du als Restaurant verantwortlich. Wir verarbeiten diese Daten nur in deinem Auftrag und nach deinen Weisungen. Dafür schließen wir mit dir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Deine eigenen Daten: Für dein Konto, die Abrechnung und den Support sind wir selbst verantwortlich. Mehr dazu in der Datenschutzerklärung.
• Keine eigene Nutzung: Wir nutzen die Daten deiner Gäste nicht für eigene Zwecke, auch nicht für Werbung oder zum Trainieren von KI-Modellen.

• Unsere Datenbank liegt in der AWS-Region Frankfurt am Main. Betrieben wird sie von unserem Dienstleister Supabase.
• Einige Dienstleister verarbeiten Daten auch außerhalb der EU, vor allem OpenAI in den USA. Dafür gelten EU-Standardvertragsklauseln oder das EU-US Data Privacy Framework. Die Liste unten nennt sie einzeln.

Eigenständig verantwortlich (keine Auftragsverarbeiter): PayPal für Online-Zahlungen der Gäste, Google für die Kartenprüfung von Lieferadressen.

• Stripe: Abrechnung deines Abos.
• Resend: Versand von Berichten per E-Mail.
• OpenAI: Einlesen von Speisekarten.
• Supabase und Vercel: wie oben, auch für dein Konto.

Bevor wir einen Dienstleister für Gästedaten neu einsetzen oder ersetzen, informieren wir dich mindestens 30 Tage vorher per E-Mail. Du kannst aus Datenschutzgründen innerhalb von 14 Tagen widersprechen, wie im Auftragsverarbeitungsvertrag geregelt. Jede Änderung steht mit Datum im Änderungsverlauf unten.

Änderungsverlauf: 21. Oktober 2026 – erste Fassung. 23. Oktober 2026 – PDF.co entfernt (wird nicht mehr eingesetzt).

• Was die KI macht: Sie versteht die Nachrichten deiner Gäste, beantwortet Fragen zu deinem Restaurant und nimmt Bestellungen und Reservierungen auf. Beim Einrichten liest sie deine Speisekarte ein.
• Was sie nicht macht: Sie nimmt Bestellungen und Reservierungen nicht endgültig an, das macht dein Team im Dashboard. Preise und Allergene kommen ausschließlich aus deiner freigegebenen Speisekarte.
• Hinweis an Gäste: Zu Beginn des Gesprächs erfahren Gäste, dass ein KI-Assistent antwortet (Art. 50 KI-Verordnung).
• Modell: Wir nutzen Sprachmodelle von OpenAI über deren API. OpenAI nutzt diese Daten nicht zum Training und speichert sie bis zu 30 Tage zur Missbrauchserkennung.

Die vollständige Liste steht in der Anlage zu den technischen und organisatorischen Maßnahmen des Auftragsverarbeitungsvertrags. Kurz:

• Verschlüsselte Übertragung (TLS); die Datenbank ist im Ruhezustand verschlüsselt (laut Supabase).
• Zeilenbasierte Zugriffsregeln in der Datenbank trennen die Daten der Restaurants voneinander.
• Zugriff im Team nur, soweit nötig; Manager-Bereich zusätzlich mit PIN.
• Eingehende WhatsApp-Nachrichten prüfen wir auf eine gültige Signatur von Meta.
• Tägliche Datensicherung durch Supabase mit 7 Tagen Aufbewahrung (laut Supabase).

Supabase gibt für seine Plattform einen SOC-2-Bericht (Typ 2) an. waitrAI selbst ist nicht zertifiziert.

Wenn du eine Sicherheitslücke findest oder einen Vorfall vermutest, schreib an hello@waitrai.app. Bei einer Datenpanne informieren wir betroffene Restaurants unverzüglich, spätestens innerhalb von 36 Stunden, wie im Auftragsverarbeitungsvertrag geregelt.

• Rechtsordnung der Infrastruktur: waitrAI Sp. z o.o. unterliegt polnischem Recht. Die Datenbank läuft bei Amazon Web Services in Deutschland. Supabase hat seinen Sitz in Singapur, Amazon Web Services in den USA. Behörden dieser Länder könnten daher Zugriff verlangen.
• Schutz vor staatlichem Zugriff aus Drittländern: Speicherung in der EU, Verschlüsselung bei Übertragung und im Ruhezustand. Unsere Dienstleister verpflichten sich vertraglich, Anfragen von Behörden zu prüfen, nur das Nötigste herauszugeben und uns zu informieren, soweit erlaubt.

• Auftragsverarbeitungsvertrag
• Datenschutzerklärung
• Allgemeine Geschäftsbedingungen