Datenschutzerklärung

Precoria UG (haftungsbeschränkt)
Vertreten durch: Melanie Lasinski
Auenweg 5
06237 Leuna OT Günthersdorf
E-Mail: hallo@precoria.de
Telefon: +49 160 4449647

Für Anfragen zum Datenschutz erreichen Sie uns unter datenschutz@precoria.de.

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 DSGVO (Vertrag, rechtliche Pflicht, berechtigtes Interesse, Einwilligung). Beschäftigtendaten verarbeiten wir auf Grundlage von § 26 BDSG, besondere Kategorien (z. B. Gesundheitsdaten) auf Grundlage von Art. 9 Abs. 2 DSGVO i. V. m. § 26 Abs. 3 BDSG.

Die Website wird über Vercel Inc. ausgeliefert (Serverstandort Frankfurt; Anbieter mit Sitz in den USA), die Anwendung über Railway (Serverstandort EU-West, Amsterdam, Niederlande; Anbieter mit Sitz in den USA), die Datenbank und der Dateispeicher über Supabase (Serverstandort EU, Irland: AWS eu-west-1; Anbieter mit Sitz in den USA). Verschlüsselte Sicherungskopien liegen bei Railway und, wie am 26.10.2026 angekündigt, ab Inbetriebnahme zusätzlich bei Hetzner Online GmbH (Gunzenhausen, Rechenzentrum Falkenstein, Deutschland); Hetzner erhält nur verschlüsselte Dateien. Beim Aufruf werden technisch notwendige Daten verarbeitet (IP-Adresse, Datum/Uhrzeit, User-Agent, angeforderte Ressource) sowie zur Missbrauchsabwehr Login-Fehlversuche mit IP-Bezug. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Für die Nutzung legen Betriebe ein Konto an (Betriebsnummer, Benutzername, Passwort als Hash, Rolle). Die Zustimmung zur Datenverarbeitung wird mit Zeitpunkt, IP-Adresse und User-Agent protokolliert. In der Anwendung werden im Auftrag der Betriebe Mitarbeiterdaten für Arbeitszeiterfassung, Schichtplanung, Urlaub, Lohnadministration, Gefährdungsbeurteilung und die digitale Personalakte verarbeitet. Über den Team-Chat ausgetauschte Nachrichten werden innerhalb des jeweiligen Betriebs gespeichert und sind nur für dessen Beschäftigte sichtbar. Bei der Belegerfassung und beim Hochladen von Dokumenten können Fotos verarbeitet werden; der Zugriff auf Kamera und Fotos erfolgt nur auf ausdrückliche Handlung der Nutzerin oder des Nutzers. Sensible Daten wie IBAN, Steuer-Identifikationsnummer und Sozialversicherungsnummer werden verschlüsselt gespeichert (AES-256).

Betriebe können über Precoria Tischreservierungen, eine Gästekartei, eine Warteliste und einen Gutschein-Shop betreiben. Verantwortlich für diese Daten ist der jeweilige Betrieb (zum Beispiel das Restaurant, bei dem Sie reservieren). Precoria verarbeitet sie ausschließlich in dessen Auftrag nach Art. 28 DSGVO und nutzt sie nicht für eigene Zwecke. Die Datenschutzerklärung des Betriebs geht dieser Information vor; Betroffenenrechte richten Sie an den Betrieb, wir unterstützen ihn bei der Beantwortung.

• Online-Reservierung: Name, Telefonnummer oder E-Mail-Adresse, Personenzahl, Datum, Uhrzeit, Verweildauer, Wünsche und gewählter Bereich. Der Betrieb verarbeitet diese Angaben zur Durchführung der Reservierung (Art. 6 Abs. 1 lit. b DSGVO). Bestätigung, Änderung und Stornierung erfolgen per E-Mail (Versand über Resend) oder per SMS. SMS versendet der Betrieb über sein eigenes Telefon; Precoria stellt dafür nur den Text und die Rufnummer bereit, ein SMS-Dienstleister ist nicht eingebunden.
• Gästekartei und Wiedererkennung: Der Betrieb kann Reservierungen desselben Gastes anhand von Telefonnummer oder E-Mail-Adresse zusammenführen, um Besuche, Wünsche und Nichterscheinen innerhalb des Betriebs zu erkennen. Rechtsgrundlage ist das berechtigte Interesse des Betriebs an einer verlässlichen Planung (Art. 6 Abs. 1 lit. f DSGVO). Ein Abgleich über mehrere Betriebe hinweg findet nicht statt. Sie können dieser Verarbeitung beim Betrieb widersprechen (Art. 21 DSGVO).
• Interne Notizen: Das Team des Betriebs kann zu einer Reservierung interne Vermerke hinterlegen (etwa Tischwunsch oder Allergiehinweis, den Sie selbst angegeben haben). Diese sind nur für das Team des Betriebs sichtbar.
• Warteliste: Ist kein Tisch frei, können Sie sich mit denselben Angaben auf die Warteliste setzen lassen. Wird ein Platz frei, informiert der Betrieb Sie per E-Mail oder SMS; das Angebot verfällt nach kurzer Zeit automatisch.
• Gutschein-Shop: Beim Kauf eines Gutscheins verarbeitet der Betrieb Name, E-Mail-Adresse, Betrag sowie freiwillige Angaben zu Empfänger und Anlass (Art. 6 Abs. 1 lit. b DSGVO). Die Zahlung wickelt Stripe Payments Europe Ltd. (Irland) im Auftrag ab; Kartendaten werden direkt bei Stripe erhoben und erreichen weder den Betrieb noch Precoria. Stripe verarbeitet Daten zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten zusätzlich in eigener Verantwortung. Kauf- und Einlösebelege bewahrt der Betrieb nach § 147 AO auf.

Speicherdauer: Reservierungs- und Gästedaten bleiben gespeichert, solange der Betrieb sie für seinen Geschäftsbetrieb benötigt, längstens bis zum Ende seines Vertrags mit Precoria; danach werden sie nach seiner Wahl gelöscht oder zurückgegeben. Verschlüsselte Sicherungskopien laufen spätestens 35 Tage nach der Löschung aus. Gesetzliche Aufbewahrungspflichten des Betriebs (etwa für Gutscheinbelege) bleiben unberührt.

Auf unserer Website können Sie einen Demo-Termin buchen, einen Rückruf anfragen, den Compliance-Check nutzen oder einen Leitfaden als PDF anfordern. Dabei verarbeiten wir die von Ihnen eingegebenen Angaben (je nach Formular Name, Betrieb, E-Mail-Adresse, Telefonnummer, Nachricht, gewählter Termin, Antworten im Check) sowie die Herkunft Ihres Besuchs (Kampagnenparameter wie Quelle, Medium und Kampagne, Einstiegsseite, Empfehlung). Zweck ist die Bearbeitung Ihrer Anfrage und die Vorbereitung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse, Werbemaßnahmen auszuwerten (Art. 6 Abs. 1 lit. f DSGVO). Pflichtfelder sind als solche gekennzeichnet.

Nach einer Anfrage senden wir Ihnen in den folgenden Wochen bis zu drei E-Mails mit weiterführenden Informationen zu Ihrem Anliegen (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Jede dieser E-Mails enthält einen Abmeldelink; nach einer Abmeldung erhalten Sie keine weiteren Nachrichten dieser Art. Nach Beginn einer Testphase erinnern wir Sie zweimal an deren Ende; diese Hinweise gehören zur Vertragsdurchführung.

Empfänger sind unsere Auftragsverarbeiter für Datenbank, Hosting und E-Mail-Versand (Abschnitt 12). Anfragedaten löschen wir zwölf Monate nach dem letzten Kontakt, sofern kein Vertrag zustande kommt und keine gesetzliche Aufbewahrungspflicht entgegensteht.

Bei Kontakt per E-Mail verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b/f DSGVO). Systemseitige Benachrichtigungs-E-Mails (z. B. zu Urlaub, Dienstplan, Abrechnung) werden über den Dienst Resend (Resend Inc., USA) versandt, siehe Abschnitt 13 zur Drittlandübermittlung.

Technisch notwendige Speicherungen (Login-Status, Einwilligungsstatus, Geräte-Token) erfolgen ohne Einwilligung. Einwilligungspflichtige Analyse-Dienste (PostHog) werden erst nach Ihrer Einwilligung geladen (§ 25 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die anonyme Reichweiten- und Performance-Messung (Vercel) greift nicht auf Ihr Endgerät zu und ist daher einwilligungsfrei. Ihre Entscheidung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Nach Ihrer Einwilligung speichern wir Kampagnenparameter (z. B. Quelle, Medium, Kampagne und Suchbegriff) für die Dauer des geöffneten Browser-Tabs im Session Storage. Wenn Sie anschließend einen Digistore24-Kaufbereich öffnen, werden diese Parameter zur Zuordnung des Verkaufs an Digistore24 übergeben. Ohne Einwilligung werden sie weder im Session Storage gespeichert noch an Digistore24 weitergegeben.

Nach Einwilligung nutzen wir PostHog (EU-Cloud; laut DPA des Anbieters mit Teilverarbeitung in den USA) zur Produktanalyse und Fehlererfassung. Dabei werden Nutzungs- und Ereignisdaten sowie gekürzte Geräte-/IP-Daten verarbeitet. Eine Aufzeichnung von Sitzungen setzen wir nicht ein.

Unabhängig davon läuft Vercel Analytics/Speed Insights zur anonymen Reichweiten- und Performance-Messung. Der Dienst setzt keine Cookies, speichert keine IP-Adressen und bildet keine geräteübergreifenden Profile; erfasst werden anonymisierte Seitenaufrufe, Klicks auf zentrale Schaltflächen (z. B. „Demo starten“, „Termin buchen“) sowie technische Ladewerte. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung der Website (Art. 6 Abs. 1 lit. f DSGVO); ein Zugriff auf Ihr Endgerät im Sinne des § 25 TDDDG findet nicht statt.

Die Anwendung bietet eine Arbeitsrecht-Info (KI) und eine KI-gestützte Gefährdungsbeurteilung auf Basis von Claude (Anthropic PBC, USA). Eingegebene Texte werden zur Beantwortung an Anthropic übermittelt. Bei der Arbeitsrecht-Info wird nur die jeweils einzelne Frage und kein Chatverlauf an Anthropic gesendet. Erkennt der technische Filter direkte Identifikatoren wie Namen, Kontaktdaten, IBAN, Steuer-/SV-Nummern oder typische Anschriften, wird die Anfrage vor dem KI-Aufruf vollständig gestoppt. Ebenfalls serverseitig gestoppt werden Anfragen zu konkreten Einzelfall- oder Personalentscheidungen, arbeitsrechtlichen Schreiben, Bewerberauswahl sowie Leistungs- oder Verhaltensbewertung. PostHog erhält bei dieser Funktion weder Eingabe noch Antwort. Da technische Filter nicht sämtliche indirekten Identifikatoren oder besonderen Kategorien sicher erkennen können, dürfen keine personenbezogenen Falldaten eingegeben werden. Die Funktion trifft keine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Wirkung (Art. 22 DSGVO).

KI-gestützte Wartung und Weiterentwicklung. Über diese Produktfunktionen hinaus setzen wir KI-gestützte Entwicklungswerkzeuge ein, um Störungen zu beheben, Daten auf Weisung des Betriebs zu korrigieren und die Anwendung weiterzuentwickeln. Auch dabei können Daten an Anthropic PBC (USA) übermittelt werden. Dafür gilt unsere Arbeitsanweisung zum Wartungszugriff:

• Vorrang haben Testdaten, Strukturangaben und Zählwerte ohne Personenbezug.
• Klartext-Daten von Beschäftigten werden nur bei konkretem Anlass verarbeitet, etwa einer gemeldeten Störung oder einer Bitte des Betriebs. Solange der Vertrag mit dem KI-Anbieter aussteht, nicht über diese Werkzeuge.
• Gesundheitsdaten und andere besondere Kategorien nach Art. 9 DSGVO werden dabei nicht verarbeitet.
• Jeder unvermeidbare Zugriff auf Klartextdaten wird vorab protokolliert (Zeitpunkt, handelnde Person, Werkzeug, betroffener Betrieb, Zweck, Umfang) und ist dem betroffenen Betrieb auf Anfrage nachzuweisen.

Wir setzen die folgenden Auftragsverarbeiter ein. Dienste mit einem Nutzungshinweis werden nur in diesem Fall eingesetzt:

• Supabase Inc.: Datenbank und Dokumentenspeicher; Standort Irland (EU).
• Railway Corporation: Betrieb der Anwendung, Sicherungen; Standort Niederlande (EU).
• Vercel Inc.: Website und Oberfläche; Standort Frankfurt (EU).
• Resend Inc.: Versand von System-E-Mails; Standort USA.
• Anthropic PBC: KI-Funktionen (Arbeitsrecht-Info, Belegerkennung, Gefährdungsbeurteilung); Standort USA; wenn Sie KI-Funktionen aktiv nutzen.
• PostHog Inc.: Nutzungsanalyse, nur nach Einwilligung, keine Aufzeichnung von Eingaben; Standort EU-Cloud, anteilig USA; nach Ihrer Einwilligung im Cookie-Hinweis.
• Stripe Payments Europe Ltd. / Stripe Inc.: Zahlungsabwicklung; Standort Irland / USA; nur mit Modul „Gäste & Gutscheine".
• Hetzner Online GmbH: zweite Sicherungskopie in Deutschland, nur verschlüsselt; Standort Deutschland.

Mit den Auftragsverarbeitern bestehen Vereinbarungen nach Art. 28 DSGVO und, soweit erforderlich, geeignete Garantien für Drittlandübermittlungen.

Wählen Sie für ein Paket die Zahlung per PayPal, werden die dafür erforderlichen Daten (Firmenname, E-Mail-Adresse, Betrag, Abonnement-Kennung) an PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, übermittelt. PayPal ist für die Zahlungsabwicklung eigenständig datenschutzrechtlich verantwortlich; es gilt ergänzend die Datenschutzerklärung von PayPal. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).

Bei über Digistore24 angebotenen Produkten führt der Kaufbutton zu einem externen Bestellformular. Digistore24 ist im Reseller-Modell der Verkäufer und verarbeitet die für Bestellung, Zahlung, Rechnung und Kundenservice erforderlichen Daten eigenverantwortlich. Weitere Informationen enthält die Datenschutzerklärung von Digistore24.

Übermittlungen in die USA (Vercel, Anthropic, Resend, Stripe, anteilig PostHog) werden auf Standardvertragsklauseln der EU-Kommission und ergänzende Maßnahmen gestützt. Resend, Stripe und PostHog sind nach unseren Vertragsunterlagen zusätzlich unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Anwendungs- und Datenbankdaten werden in der EU gehostet (Railway: Amsterdam, Niederlande; Supabase: Irland). Da beide Anbieter ihren Sitz in den USA haben, bestehen auch insoweit Standardvertragsklauseln für etwaige Supportzugriffe.

Beschäftigten-, Gäste- und sonstige Betriebsdaten verarbeitet Precoria im Auftrag des jeweiligen Betriebs. Speicherdauer, Löschung und Rückgabe richten sich daher nach dessen dokumentierten Weisungen, den Einstellungen der Anwendung und dem AVV. Nach Ende des Hauptvertrags werden diese Daten nach Wahl des Betriebs gelöscht oder zurückgegeben, soweit keine auf die jeweilige Partei anwendbare gesetzliche Pflicht entgegensteht.

Soweit § 17 MiLoG anwendbar ist, muss der Betrieb die dort genannten Arbeitszeitaufzeichnungen mindestens zwei Jahre aufbewahren. Eigene Vertrags-, Abrechnungs- und Geschäftsunterlagen von Precoria werden abhängig von der Dokumentart grundsätzlich sechs, acht oder zehn Jahre nach §§ 147 AO und 257 HGB aufbewahrt. Im Übrigen löschen wir personenbezogene Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungs- oder Nachweispflicht entgegensteht.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Erteilte Einwilligungen können Sie jederzeit widerrufen. Wenden Sie sich hierzu an datenschutz@precoria.de.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für unseren Sitz in Leuna zuständig ist der Landesbeauftragte für den Datenschutz Sachsen-Anhalt, Leiterstraße 9, 39104 Magdeburg. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts oder des Orts des mutmaßlichen Verstoßes wenden.

Wir passen diese Datenschutzerklärung an geänderte Rechtslage oder Funktionen an. Es gilt die jeweils auf der Website veröffentlichte Fassung.