Digitale Speisekarte und DSGVO: was auf der Karte laufen darf

Stand: September 2026 · Keine Rechtsberatung, aber eine ehrliche Einordnung · Lesezeit ca. 12 Minuten

Bei VeloMenu, der digitalen Speisekarte von Velo Automation, gibt es auf der Gästekarte kein Tracking. Die Karte setzt keine Analyse-Cookies, braucht deshalb kein Cookie-Banner, und Gäste brauchen kein Konto. Im Full-Service liegen die Karten auf Servern in Deutschland. Für Bestell- und Reservierungsformulare, die Gästedaten erfassen, steht ein AVV-Muster nach Art. 28 DSGVO bereit.

Eine QR-Speisekarte ist rechtlich gesehen eine Webseite, die deine Gäste mit ihrem privaten Handy öffnen. Damit gelten DSGVO und TDDDG, das frühere TTDSG, und du als Betrieb bist verantwortlich für das, was dein Speisekarten-Anbieter dort einbaut. Die meisten Gastronomen wissen nicht, was auf ihrer eigenen Karte im Hintergrund lädt. Diese Seite zeigt, wo die echten Risiken liegen, welche Daten beim Scannen überhaupt anfallen, was „DSGVO-konform“ konkret bedeutet und woran du einen sauberen Anbieter erkennst.

Warum ist eine QR-Speisekarte überhaupt ein Datenschutz-Thema?

Weil auf vielen Karten mehr passiert als Gerichte anzeigen. Drei typische Baustellen:

• Tracking und Analytics: Viele Anbieter werben mit Auswertungen, welche Gerichte angeklickt werden und wie lange Gäste auf der Karte bleiben. Technisch heißt das: Cookies oder vergleichbare Tracker auf dem Gäste-Handy. Die brauchen nach § 25 TDDDG eine aktive Einwilligung, also ein Cookie-Banner auf deiner Speisekarte, das Gäste wegklicken müssen, bevor sie das Schnitzel sehen.
• Eingebundene US-Dienste: Schon dynamisch geladene Google-Schriften übertragen die IP-Adresse des Gastes an Google-Server. Das LG München I hat dafür 2022 einem Website-Besucher Schadensersatz zugesprochen (Urteil vom 20.01.2022, Az. 3 O 17493/20). Auf einer Speisekarte ist so eine Einbindung völlig vermeidbar, Schriften kann man selbst hosten.
• Anbieter-Sitz außerhalb der EU: Im Markt keine Ausnahme: MenuTiger sitzt in USA/Philippinen, FineDine in Türkei/USA, Almenu firmiert international, und Speiso wird laut Impressum von einer Gesellschaft in Singapur betrieben, die Server stehen laut Anbieter in Deutschland (Quellen: Anbieter-Websites, Stand September 2026, im Vergleich verlinkt). Verarbeitet so ein Anbieter Daten deiner Gäste oder deine Bestelldaten, brauchst du einen Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) und gegebenenfalls eine Drittland-Regelung nach Art. 44 ff., und du musst im Zweifel erklären können, wo die Daten deiner Gäste liegen.

Was heißt „DSGVO-konform“ bei einer digitalen Speisekarte konkret?

Vier Punkte, die du bei jedem Anbieter abprüfen kannst:

• Hosting in der EU, besser in Deutschland: Liegen Karte und Formulardaten auf EU-Servern, entfällt die ganze Drittland-Prüfung. Das ist der einfachste Hebel.
• Keine Tracker auf der Gäste-Karte: Eine Karte ohne Cookies und ohne Analytics braucht kein Cookie-Banner, das heißt weniger Klick-Hürde für Gäste und weniger Risiko für dich. Frag den Anbieter direkt: „Setzt die Karte Cookies oder lädt sie Drittanbieter-Dienste?“
• AVV vorhanden: Sobald der Anbieter für dich personenbezogene Daten verarbeitet (Bestellungen, Reservierungen, Server-Protokolle), ist ein Auftragsverarbeitungsvertrag Pflicht. Er muss ihn dir anbieten, auf Deutsch und ohne Nachfragen-Pingpong.
• Datenminimierung in Formularen: Für eine Reservierungsanfrage braucht es Name, Kontakt, Personenzahl und Zeit, nicht Geburtsdatum und Newsletter-Haken. Je weniger abgefragt wird, desto weniger kann schiefgehen.

Wichtig fürs Verständnis: „DSGVO-konform“ ist kein Siegel, das ein Anbieter einmal bekommt, sondern das Ergebnis dieser Einzelentscheidungen. Ein deutscher Anbieter mit Tracking-Karte kann problematischer sein als ein sauber aufgesetzter ausländischer.

Welche Daten fallen beim Scannen eines QR-Codes an?

Weniger, als viele denken, aber nicht null. Der QR-Code selbst überträgt nichts, er enthält nur eine Adresse. Sobald der Gast sie öffnet, ruft sein Browser eine Webseite ab, und jeder Webserver bekommt dabei technisch zwingend ein paar Angaben: die IP-Adresse des Geräts, den Zeitpunkt, die aufgerufene Seite und die Browserkennung. Ohne diese Angaben könnte der Server die Seite gar nicht ausliefern.

Bei VeloMenu landen diese Angaben in den Protokolldaten des Servers. Sie dienen dem technischen Betrieb, der Fehlersuche und der Abwehr von Angriffen, Rechtsgrundlage ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Gelöscht werden sie nach 14 Tagen. Darüber hinaus passiert auf der Gästekarte nichts: keine Wiedererkennung über mehrere Besuche, keine Profile, keine Weitergabe an Werbenetzwerke.

Anders ist es nur, wenn ein Gast selbst etwas eingibt, etwa eine Reservierungsanfrage. Dann gehen Name, Kontaktdaten, Datum, Uhrzeit, Personenzahl und eine freiwillige Notiz an deinen Betrieb, damit du antworten kannst. Für diese Angaben bist du verantwortlich, wir verarbeiten sie in deinem Auftrag.

Brauche ich ein Cookie-Banner auf meiner Speisekarte?

Nur, wenn die Karte etwas tut, das eines braucht. § 25 TDDDG verlangt eine Einwilligung, sobald Informationen auf dem Gerät des Gastes gespeichert oder von dort ausgelesen werden, es sei denn, das ist für den gewünschten Dienst unbedingt erforderlich. Setzt die Karte keine Cookies, nutzt keinen Speicher im Browser und lädt keine Tracker und keine Drittanbieter-Dienste, gibt es schlicht nichts einzuwilligen. Kein Banner nötig, und genau so gehört eine Speisekarte gebaut.

Steht auf deiner jetzigen Karte ein Cookie-Banner, ist das ein ehrliches Warnsignal: Irgendetwas sammelt dort Daten deiner Gäste. Die Gegenprobe dauert eine Minute: eigene Karte scannen und schauen, was vor dem ersten Gericht aufpoppt. Unsere eigene Beispielkarte haben wir nachgemessen: Sie sendet keinen einzigen Cookie, nutzt keinen Browser-Speicher und lädt kein fremdes Skript.

Wer ist verantwortlich: der Betrieb oder der Anbieter?

Die DSGVO unterscheidet zwei Rollen. Der Verantwortliche entscheidet, wofür Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet sie in dessen Auftrag und nach dessen Weisung. Bei einer digitalen Speisekarte ist der Betrieb in der Regel der Verantwortliche: Es ist deine Karte, deine Reservierungsanfrage, dein Gast. Der Anbieter, der die Karte hostet und die Anfragen zustellt, ist Auftragsverarbeiter.

Das hat zwei praktische Folgen. Erstens brauchst du mit deinem Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, sobald er personenbezogene Daten für dich verarbeitet, und das tut er spätestens mit den Server-Protokollen. Zweitens kannst du die Verantwortung nicht an den Anbieter abgeben, du kannst sie nur gut absichern: mit einem Anbieter, der wenig Daten erhebt, sie in Deutschland verarbeitet und dir schriftlich sagt, was er tut.

Praktisch zeigt sich das, wenn ein Gast nach seinen Daten fragt. Will er wissen, welche Angaben aus seiner Reservierung gespeichert sind, oder verlangt er die Löschung, richtet er sich an dich als Verantwortlichen. Der Auftragsverarbeiter muss dich dabei unterstützen; das AVV-Muster von VeloMenu sieht dafür eine feste Frist nach deiner Anfrage vor, als Vorschlag fünf Werktage. So kannst du die gesetzliche Frist gegenüber dem Gast halten, ohne selbst in Server-Protokollen suchen zu müssen.

Was steht im AVV, und wann brauchst du ihn?

Du brauchst ihn, sobald der Anbieter personenbezogene Daten in deinem Auftrag verarbeitet. Das AVV-Muster von VeloMenu kannst du vorab lesen. Es regelt unter anderem:

• Gegenstand und Dauer: Betrieb der digitalen Speisekarte und Zustellung von Bestell- und Reservierungsanfragen, für die Laufzeit des Vertrags.
• Datenarten: die Felder der Formulare, etwa Name, E-Mail, Telefon, Art der Anfrage, Datum, Uhrzeit, Personenzahl und Notiz, sowie die Server-Protokolldaten beim Aufruf der Karte.
• Unterauftragsverarbeiter: der Hoster mit Rechenzentrum in Deutschland.
• Technische und organisatorische Maßnahmen: wie die Daten geschützt werden.
• Löschung: Fristen für Protokoll- und Anfragedaten und was nach Vertragsende passiert.
• Standorte: eine Liste deiner Betriebe, wenn du mehrere Häuser hast.

Im Full-Service stellen wir dir den AVV schriftlich, mit deutschem Vertragspartner und nach deutschem Recht. Gib ihn ruhig vorab deinem Datenschutzbeauftragten, wenn du einen hast.

Ein Begriff aus dem AVV, der oft Fragen auslöst: Unterauftragsverarbeiter sind Dienstleister, die der Anbieter selbst einsetzt, etwa der Hoster, auf dessen Servern die Karten liegen. Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter weitere Auftragsverarbeiter nur mit Genehmigung des Verantwortlichen einsetzen und muss ihn über Änderungen informieren, damit er widersprechen kann. Im AVV-Muster von VeloMenu steht deshalb, wer beteiligt ist, und Änderungen werden mindestens vier Wochen vorher in Textform mitgeteilt. Ein Wechsel passiert also nicht hinter deinem Rücken.

Wie lange werden Daten gespeichert?

Speicherfristen sind der Teil des Datenschutzes, den man am leichtesten vergisst und am schwersten erklären kann, wenn ein Gast nachfragt. Bei VeloMenu gelten diese Fristen, so stehen sie in Datenschutzerklärung und AVV-Muster:

Die Speisekarte selbst, also Gerichte, Preise und Allergene, enthält keine personenbezogenen Daten. Sie bekommst du nach Vertragsende als Dateipaket, siehe Ausstieg und Datei-Übergabe.

Wie löst VeloMenu das?

Nach genau diesen Punkten, und nachprüfbar an den Beispielen:

• Hosting in Deutschland: Jede Karte im Full-Service läuft auf deutschen Servern, die Schriften liegen mit auf dem Server statt bei Google. Beim Einmalkauf entscheidest du selbst, wo die Karte liegt.
• Gäste-Karten komplett tracking-frei: Keine Cookies, kein Analytics, keine Drittanbieter-Skripte, darum auch kein Cookie-Banner zwischen Gast und Karte. Transparenz: Diese Website hier misst ihre Reichweite mit Plausible auf unserem eigenen Server in Deutschland, ohne Cookies und ohne Speicherung von IP-Adressen. Auf den Karten unserer Kunden läuft auch das nicht.
• Formulardaten minimiert: Bestell- und Reservierungsanfragen fragen nur ab, was der Betrieb zum Antworten braucht, und gehen verschlüsselt an deinen Betrieb, ohne Konto-Zwang für Gäste.
• AVV inklusive: Im Full-Service bekommst du den Auftragsverarbeitungsvertrag von uns gestellt, mit deutschem Vertragspartner, nach deutschem Recht, schriftlich. Das AVV-Muster mit Datenarten, Unterauftragsverarbeitern und technisch-organisatorischen Maßnahmen kannst du vorab lesen.

Der Nebeneffekt einer tracking-freien Karte: Sie lädt schneller, und Gäste sind ohne Klick-Hürde bei den Gerichten. Was eine digitale Karte sonst noch bringt und wo ihre Grenzen liegen, steht auf der Vorteile-Seite; kurze Antworten auf die häufigsten Fragen sammelt das FAQ.

Welche Fragen solltest du jedem Anbieter stellen?

Bevor du dich für einen Anbieter entscheidest, lohnen sechs Fragen per E-Mail. Wer sie nicht schriftlich und klar beantworten kann, hat sie sich vermutlich nie gestellt:

1. Setzt die Gästekarte Cookies oder nutzt sie den Speicher im Browser? Wenn ja, wofür, und braucht sie dafür ein Banner?
2. Welche fremden Dienste lädt die Karte? Schriften, Kartendienste, Analyse-Programme, Werbung.
3. Wo stehen die Server, und wo sitzt das Unternehmen? Beides kann auseinanderfallen.
4. Gibt es einen AVV auf Deutsch, und darf ich ihn vor Vertragsschluss lesen?
5. Wie lange werden Protokolle und Formulardaten gespeichert? Eine konkrete Zahl, nicht „so lange wie nötig“.
6. Was passiert mit meiner Karte und den Daten nach der Kündigung?

Prüfen kannst du einiges davon auch selbst: Öffne die Karte des Anbieters auf dem Handy und schau, ob vor den Gerichten ein Banner erscheint. Wer technisch etwas tiefer gehen will, öffnet die Karte am Computer und sieht in den Entwicklerwerkzeugen des Browsers nach, welche Adressen beim Laden aufgerufen werden.

Worauf es bei den Antworten ankommt: Gute Antworten nennen Zahlen und Namen, also „14 Tage“, „keine Cookies“, „Hoster mit Rechenzentrum in Deutschland“. Ausweichende Antworten klingen nach Siegel und Versprechen, etwa „100 % DSGVO-konform“ oder „höchste Sicherheitsstandards“, ohne zu sagen, was konkret passiert. Ein Anbieter, der seine eigene Karte nicht erklären kann, wird auch im Ernstfall nicht helfen können, wenn ein Gast oder eine Behörde fragt.

Häufige Fragen zu DSGVO und Speisekarte

Diese Seite ist eine sachliche Einordnung, keine Rechtsberatung. Rechtsgrundlagen: Art. 4, 6, 28, 44 ff. DSGVO; § 25 TDDDG (bis Mai 2024 TTDSG). Speicherfristen laut Datenschutzerklärung und AVV-Muster von VeloMenu. Anbieter-Sitze laut deren Websites, recherchiert im September 2026, Speiso im Oktober 2026 (Quellen im Anbieter-Vergleich). Google-Fonts-Entscheidung: LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20.