Datenschutz
Was wir speichern, und was nicht
Paylash braucht kein Gastkonto und legt kein Profil an. Was tatsächlich anfällt, steht hier vollständig, mit Zweck, Rechtsgrundlage und Frist.
This notice is currently available in German only.
Bu metin şu anda yalnızca Almanca olarak mevcuttur.
Das Wichtigste vorweg
- Kein Gastkonto, keine Anmeldung, kein Profil über mehrere Besuche.
- Kartendaten sehen wir nie. Sie gehen direkt an Online Payment Platform.
- Die Rechnung aus der Kasse enthält Positionen und Beträge, keine Namen.
- Keine Werbung, kein Verkauf von Daten, keine Weitergabe zu Werbezwecken.
Verantwortlicher
Verantwortlich im Sinne der DSGVO ist der Betreiber dieser Seite. Die vollständigen Angaben mit Anschrift stehen im Impressum. Erreichbar sind wir für alle Fragen zum Datenschutz unter hallo@paylash.at. Einen Datenschutzbeauftragten müssen wir nach Art. 37 DSGVO nicht bestellen, weil weder eine umfangreiche regelmäßige Überwachung noch eine umfangreiche Verarbeitung besonderer Kategorien stattfindet.
Was wir verarbeiten, wozu und wie lange
| Daten | Zweck | Rechtsgrundlage | Frist |
|---|---|---|---|
| Sitzungswert im Cookie paylash_gast | Merken, welche Positionen am Tisch ausgewählt und bezahlt wurden. Ein Zufallswert ohne Personenbezug. | Art. 6 Abs. 1 lit. b (Zahlung durchführen) | 12 Stunden |
| Betrag, Status, Zahlungsreferenz, Zeitpunkt | Zahlung abwickeln, Beleg erstellen, mit der Kasse abgleichen | Art. 6 Abs. 1 lit. b | solange die steuerliche Aufbewahrung des Lokals läuft |
| Belegmailadresse, freiwillig | Beleg zusenden | Art. 6 Abs. 1 lit. b | 90 Tage, danach automatisch gelöscht |
| IP-Adresse in Zählern | Missbrauchsbremse, damit niemand die Seite mit Anfragen flutet | Art. 6 Abs. 1 lit. f (sicherer Betrieb) | spätestens 24 Stunden |
| Name, Lokal, Kassensystem, Handynummer | Pilotanfrage beantworten und Vertrag anbahnen | Art. 6 Abs. 1 lit. b | 12 Monate, früher auf Wunsch |
| Einladungscode, Mail-Adresse, Name und Rolle der Kontaktperson, Angaben zum Lokal | Lokale einladen, die Anmeldung anlegen und prüfen, den Zugang zum Verwaltungsbereich einrichten | Art. 6 Abs. 1 lit. b | Einladung 14 Tage, abgelehnte Anmeldung 30 Tage, Anmeldung ohne Entscheidung 90 Tage |
| Anmeldedaten von Wirten und Service | Zugang zum Verwaltungsbereich und zur Serviceansicht | Art. 6 Abs. 1 lit. b | solange der Zugang besteht |
| Trinkgeldsummen je Tag und Tisch | Auswertung für das Lokal und Nachweis nach Paragraf 2j AVRAG | Art. 6 Abs. 1 lit. c und lit. f | mindestens drei Jahre, ohne Personenbezug |
| Betriebsprotokolle mit Zahlungs- und Lokalkennungen | Fehler finden, Störungen beheben | Art. 6 Abs. 1 lit. f | 30 Tage |
| Seitenaufrufe ohne Kennung | Reichweite messen | Art. 6 Abs. 1 lit. a (Einwilligung) | läuft nur mit Einwilligung |
Wer die Daten sonst noch sieht
Wir setzen technische Dienstleister ein und haben mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Online Payment Platform ist kein Auftragsverarbeiter, sondern als Zahlungsdienstleister eigenständig verantwortlich für die Zahlungsabwicklung.
| Dienstleister | Wofür | Sitz und Übermittlung |
|---|---|---|
| Online Payment Platform B.V. | Zahlungsabwicklung, Betrugserkennung, Auszahlung an das Lokal | Delft, Niederlande. Zahlungsinstitut unter Aufsicht der De Nederlandsche Bank. Verarbeitung in der Europäischen Union; zu Dienstleistern außerhalb und den dafür geltenden Garantien siehe den Datenschutzhinweis von Online Payment Platform |
| Supabase | Datenbank und Anmeldung | Rechenzentrum Frankfurt. Anbieter mit Sitz in den USA, Standardvertragsklauseln |
| Vercel | Hosting der Website und Reichweitenmessung | Auslieferung über Rechenzentren in der EU. Anbieter mit Sitz in den USA, Standardvertragsklauseln |
| Resend | Versand von E-Mails, etwa Belegen und Anmeldelinks | Anbieter mit Sitz in den USA, Standardvertragsklauseln |
| Google Ireland Limited | Ortssuche bei der Anmeldung eines Lokals: der getippte Name des Lokals | Dublin, Irland. Konzernmutter in den USA, Standardvertragsklauseln. Betrifft nur Wirte, die ihr Lokal anmelden, nie Gäste |
| OpenFreeMap | Kartenkacheln in der Vorschau bei der Anmeldung eines Lokals | Betreiber in der Europäischen Union. Der Browser des Wirts lädt die Kacheln direkt, dabei sieht der Betreiber dessen IP-Adresse |
| OpenStreetMap Foundation | Koordinaten zur Adresse des Lokals, einmal bei der Anmeldung | Vereinigtes Königreich, Angemessenheitsbeschluss der Europäischen Kommission. Angefragt von unserem Server, die IP des Wirts wird nicht übermittelt |
| ready2order | Kassensystem des Lokals, liefert die offene Rechnung | Österreich |
Übermittlung in die USA
Mehrere unserer Dienstleister sitzen in den USA oder haben dort Konzerngesellschaften. Die Übermittlung stützt sich auf Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Online Payment Platform verarbeitet die Zahlungsdaten in der Europäischen Union; welche Übermittlungen darüber hinaus stattfinden und auf welche Garantien sie sich stützen, steht im Datenschutzhinweis von Online Payment Platform. Ein Restrisiko bleibt: Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen, und der Rechtsschutz dagegen ist außerhalb der EU schwächer. Wir nennen das hier, statt es zu verschweigen.
Automatisierte Entscheidungen
Online Payment Platform prüft jede Kartenzahlung automatisiert auf Betrugsverdacht und kann eine Zahlung ablehnen. Das ist eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, und sie ist für die Durchführung der Zahlung erforderlich. Wird deine Zahlung abgelehnt, kannst du beim Service auf anderem Weg zahlen. Wir selbst treffen keine automatisierten Entscheidungen über Personen und bilden keine Profile.
Deine Rechte
Dir stehen Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) zu. Eine erteilte Einwilligung kannst du jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.
- Für Anfragen genügt eine Mail an hallo@paylash.at. Wir antworten binnen eines Monats.
- Eine Zahlung können wir keiner Person zuordnen. Für Auskunft oder Löschung der Belegmailadresse hilft der Beleglink oder die Zahlungsreferenz aus der Bestätigung.
- Beschwerden nimmt die Österreichische Datenschutzbehörde entgegen, Barichgasse 40 bis 42, 1030 Wien, dsb.gv.at.
Musst du Daten angeben
Nein. Für das Bezahlen brauchst du weder Namen noch Mailadresse. Die Belegmailadresse ist freiwillig, ohne sie bekommst du den Beleg als Link auf dem Bildschirm. Für eine Pilotanfrage brauchen wir Kontaktdaten, sonst können wir uns nicht melden.
Sicherheit
- Übertragung ausschließlich verschlüsselt über HTTPS.
- Kartendaten erreichen unsere Server nie, sie gehen direkt an Online Payment Platform.
- Zugriff auf Daten eines Lokals hat nur, wer zu diesem Lokal gehört. Das erzwingt die Datenbank selbst, nicht nur die Anwendung.
- Rollen sind getrennt: wer Zahlungen sieht, darf deshalb noch nicht erstatten.
Änderungen
Wenn sich die Verarbeitung ändert, ändern wir diesen Text und nennen oben den neuen Stand. Wir informieren gesondert, wenn eine Änderung dich betrifft und eine Einwilligung braucht.
Fragen zum Datenschutz
Schreib uns. Es antwortet ein Mensch, keine Vorlage.
hallo@paylash.atStand: 4. September 2026. Entwurf, die anwaltliche Prüfung steht aus.