Digitale Speisekarte und DSGVO: was auf der Karte deiner Gäste laufen darf — und was nicht

Stand: Juli 2026 · Keine Rechtsberatung, aber eine ehrliche Einordnung · Lesezeit ca. 6 Minuten

Eine QR-Speisekarte ist rechtlich gesehen eine Webseite, die deine Gäste mit ihrem privaten Handy öffnen. Damit gelten DSGVO und TTDSG — und du als Betrieb bist verantwortlich für das, was dein Speisekarten-Anbieter dort einbaut. Die meisten Gastronomen wissen nicht, was auf ihrer eigenen Karte im Hintergrund lädt. Diese Seite zeigt, wo die echten Risiken liegen, was „DSGVO-konform" konkret bedeutet und woran du einen sauberen Anbieter erkennst.

Warum ist eine QR-Speisekarte überhaupt ein Datenschutz-Thema?

Weil auf vielen Karten mehr passiert als Gerichte anzeigen. Drei typische Baustellen:

• Tracking und Analytics: Viele Anbieter werben mit Auswertungen — welche Gerichte werden angeklickt, wie lange bleiben Gäste auf der Karte. Technisch heißt das: Cookies oder vergleichbare Tracker auf dem Gäste-Handy. Die brauchen nach § 25 TTDSG eine aktive Einwilligung — also ein Cookie-Banner auf deiner Speisekarte, das Gäste wegklicken müssen, bevor sie das Schnitzel sehen.
• Eingebundene US-Dienste: Schon dynamisch geladene Google-Schriften übertragen die IP-Adresse des Gastes an Google-Server. Das LG München I hat dafür 2022 einem Website-Besucher Schadensersatz zugesprochen (Urteil vom 20.01.2022, Az. 3 O 17493/20). Auf einer Speisekarte ist so eine Einbindung völlig vermeidbar — Schriften kann man selbst hosten.
• Anbieter-Sitz außerhalb der EU: Im Markt keine Ausnahme: MenuTiger sitzt in USA/Philippinen, FineDine in Türkei/USA, Almenu firmiert international (Quellen: Anbieter-Websites, Stand Juli 2026 — im Vergleich verlinkt). Verarbeitet so ein Anbieter Daten deiner Gäste oder deine Bestelldaten, brauchst du einen Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) samt Drittland-Regelung nach Art. 44 ff. — und musst im Zweifel erklären können, warum die Daten deiner Gäste in Übersee liegen.

Was heißt „DSGVO-konform" bei einer digitalen Speisekarte konkret?

Vier Punkte, die du bei jedem Anbieter abprüfen kannst:

• Hosting in der EU, besser in Deutschland: Liegen Karte und Formulardaten auf EU-Servern, entfällt die ganze Drittland-Prüfung. Das ist der einfachste Hebel.
• Keine Tracker auf der Gäste-Karte: Eine Karte ohne Cookies und ohne Analytics braucht kein Cookie-Banner — weniger Klick-Hürde für Gäste, weniger Risiko für dich. Frag den Anbieter direkt: „Setzt die Karte Cookies oder lädt sie Drittanbieter-Dienste?"
• AVV vorhanden: Sobald der Anbieter für dich personenbezogene Daten verarbeitet (Bestellungen, Reservierungen), ist ein Auftragsverarbeitungsvertrag Pflicht — er muss ihn dir anbieten, auf Deutsch und ohne Nachfragen-Pingpong.
• Datenminimierung in Formularen: Für eine Reservierungsanfrage braucht es Name, Kontakt, Personenzahl, Zeit — nicht Geburtsdatum und Newsletter-Haken. Je weniger abgefragt wird, desto weniger kann schiefgehen.

Wichtig fürs Verständnis: „DSGVO-konform" ist kein Siegel, das ein Anbieter einmal bekommt, sondern das Ergebnis dieser Einzelentscheidungen. Ein deutscher Anbieter mit Tracking-Karte kann problematischer sein als ein sauber aufgesetzter ausländischer.

Brauche ich ein Cookie-Banner auf meiner Speisekarte?

Nur, wenn die Karte etwas tut, das eines braucht. Setzt sie keine Cookies, lädt keine Tracker und keine Drittanbieter-Dienste, gibt es schlicht nichts einzuwilligen — kein Banner nötig, und genau so gehört eine Speisekarte gebaut. Steht auf deiner jetzigen Karte ein Cookie-Banner, ist das ein ehrliches Warnsignal: Irgendetwas sammelt dort Daten deiner Gäste. Die Gegenprobe dauert eine Minute: eigene Karte scannen und schauen, was vor dem ersten Gericht aufpoppt.

Wie löst VeloMenu das?

Nach genau diesen vier Punkten, und nachprüfbar an der Live-Demo:

• Hosting in Deutschland: Jede Kunden-Karte läuft auf deutschen Servern, die Schriften liegen mit auf dem Server statt bei Google.
• Gäste-Karten komplett tracking-frei: Keine Cookies, kein Analytics, keine Drittanbieter-Skripte — darum auch kein Cookie-Banner zwischen Gast und Karte. (Transparenz: Diese Marketing-Seite hier nutzt Statistik erst nach aktiver Einwilligung; auf den Karten unserer Kunden läuft gar keine.)
• Formulardaten minimiert: Bestell- und Reservierungsanfragen fragen nur ab, was der Betrieb zum Antworten braucht, und gehen verschlüsselt an deinen Betrieb — ohne Konto-Zwang für Gäste.
• AVV inklusive: Im Full-Service bekommst du den Auftragsverarbeitungsvertrag von uns gestellt — deutscher Vertragspartner, deutsches Recht, schriftlich.

Der Nebeneffekt einer tracking-freien Karte: Sie lädt schneller und Gäste sind ohne Klick-Hürde bei den Gerichten. Was eine digitale Karte sonst noch bringt — und wo ihre Grenzen liegen — steht auf der Vorteile-Seite; kurze Antworten auf die häufigsten Fragen sammelt das FAQ.

Häufige Fragen zu DSGVO und Speisekarte

Diese Seite ist eine sachliche Einordnung, keine Rechtsberatung. Anbieter-Sitze laut deren Websites, recherchiert im Juli 2026 (Quellen im Anbieter-Vergleich). Google-Fonts-Entscheidung: LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20.