Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf getnativio.de und in der Plattform Nativio OS ist:

Utkarsh Gupta, Nativio
An den Hasewiesen 11a
49086 Osnabrück
E-Mail: kontakt@getnativio.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Für wen diese Erklärung gilt

Nativio OS ist eine Software für Cafés, Salons und andere lokale Betriebe. Dadurch kommen drei Gruppen von Personen mit uns in Berührung, für die Unterschiedliches gilt:

Besucherinnen und Besucher von getnativio.de. Für Sie gilt Abschnitt 3.

Betriebe, die Nativio OS nutzen, und deren Mitarbeitende. Für Ihr Nutzerkonto, die Abrechnung und den Support sind wir Verantwortlicher im Sinne der DSGVO. Für Sie gelten die Abschnitte 4 bis 6.

Gäste, Kundinnen und Kunden dieser Betriebe. Wenn Sie über eine Seite unter *.getnativio.de einen Tisch reservieren, einen Termin buchen oder vorbestellen, oder wenn ein Betrieb Ihre Daten in seiner Kundenkartei oder an seiner Kasse verarbeitet, ist der jeweilige Betrieb Verantwortlicher. Nativio verarbeitet Ihre Daten dabei ausschließlich in dessen Auftrag und nach dessen Weisung als Auftragsverarbeiter (Art. 28 DSGVO). Ihre Betroffenenrechte richten Sie bitte an den Betrieb; dessen Datenschutzerklärung finden Sie unter /datenschutz der jeweiligen Seite. Abschnitt 7 beschreibt, was wir in diesem Rahmen technisch tun.

3. Besuch der Website getnativio.de

3.1 Server-Protokolle

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und -version, Betriebssystem und die zuvor besuchte Seite (Referrer). Diese Daten sind erforderlich, um die Website auszuliefern, ihre Sicherheit zu gewährleisten und Angriffe abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb). Die Protokolle werden vom Hosting-Anbieter nach kurzer Zeit automatisch gelöscht.

3.2 Keine Cookies, kein Tracking

Beim bloßen Besuch der Website getnativio.de setzen wir keine Cookies (Cookies entstehen erst mit der Anmeldung an der Plattform, siehe Abschnitt 4.1), verwenden keine Analyse- oder Tracking-Dienste und binden keine Inhalte Dritter (Schriften, Videos, Social-Media-Elemente) ein. Schriften werden von unseren eigenen Servern geladen. Ein Cookie-Banner ist deshalb nicht erforderlich.

3.3 Kontaktaufnahme

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Nutzung von Nativio OS durch Betriebe

4.1 Nutzerkonto und Anmeldung

Zur Nutzung legen wir für jeden Betrieb einen Mandanten und für jede Mitarbeiterin und jeden Mitarbeiter ein Nutzerkonto an. Dabei verarbeiten wir: Name, E-Mail-Adresse, Passwort (nur als kryptografischer Hash), Rolle und Berechtigungen, Zugehörigkeit zum Betrieb sowie Zeitpunkte der Anmeldungen.

Für die Anmeldung setzen wir technisch notwendige Sitzungs-Cookies unseres Authentifizierungsdienstes. Zusätzlich speichern wir im lokalen Speicher Ihres Browsers (localStorage) den Zeitpunkt Ihrer letzten Aktivität, um inaktive Sitzungen automatisch zu beenden. Beides ist für den Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und bedarf keiner Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.2 Stammdaten und Abrechnung

Wir verarbeiten die Angaben des Betriebs (Firmierung, Anschrift, Ansprechperson, E-Mail, Telefonnummer, Steuernummer bzw. USt-IdNr.) sowie Rechnungs- und Zahlungsdaten für die Abrechnung unserer Leistungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertrag, steuer- und handelsrechtliche Pflichten). Rechnungen bewahren wir nach § 147 AO und § 257 HGB zehn Jahre auf.

4.3 E-Mails zum Konto

Wir senden E-Mails, die für den Dienst notwendig sind: Einladung von Mitarbeitenden, Zurücksetzen des Passworts, sicherheitsrelevante Hinweise und Mitteilungen zu Störungen oder Vertragsänderungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbliche E-Mails versenden wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

4.4 Push-Benachrichtigungen

Im Dashboard können Sie Push-Benachrichtigungen aktivieren (zum Beispiel für neue Reservierungen oder Vorbestellungen). Dazu fragt Ihr Browser Ihre Erlaubnis ab und erzeugt eine Adresse beim Push-Dienst Ihres Browser-Anbieters (Apple, Google oder Mozilla), an die wir verschlüsselte Nachrichten senden. Wir speichern diese Adresse und den zugehörigen Schlüssel. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Sie können die Benachrichtigungen jederzeit in den Browser-Einstellungen oder im Dashboard abschalten, dann löschen wir die Adresse.

4.5 KI-Unterstützung: Buchungsseite im Onboarding und Preislisten-Import

Beim Einrichten eines Betriebs können Sie die Adresse Ihrer bestehenden Website angeben. Wir rufen diese Seite dann ab und werten Texte, Preislisten und Gestaltung aus, um einen Vorschlag für Ihre Buchungsseite und Ihre Leistungsliste zu erzeugen. Dazu übermitteln wir Textauszüge und Gestaltungsmerkmale Ihrer Website an einen KI-Dienst von Google (Gemini API). Soweit Ihre Website personenbezogene Daten enthält (zum Beispiel Namen von Mitarbeitenden), werden auch diese übermittelt.

Außerdem können Sie im Dashboard unter „Produkte" ein Foto oder eine Bilddatei Ihrer Preisliste hochladen, aus der wir Ihre Produkte und Preise auslesen. Das Bild wird dafür an denselben KI-Dienst (Google Gemini API) übermittelt. Laden Sie nur Preislisten hoch; enthält das Bild personenbezogene Daten (zum Beispiel handschriftliche Notizen mit Namen), werden auch diese übermittelt.

Google verarbeitet diese Daten auch auf Servern in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, dem Google angehört, sowie ergänzend auf Standardvertragsklauseln. Nach Googles Nutzungsbedingungen für die bezahlte API werden die Daten nicht zum Training der Modelle verwendet.

Für das Abrufen von Websites, die nur mit aktivem JavaScript darstellbar sind, nutzen wir einen Browser-Dienst (Browserless). Dabei wird nur die von Ihnen angegebene Adresse übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erstellung der Buchungsseite und Übernahme der Preisliste auf Ihren Wunsch). Die Nutzung ist freiwillig; Sie können Ihre Buchungsseite und Ihre Produkte auch von Hand einrichten.

4.6 Kasse, Belege und technische Sicherheitseinrichtung (TSE)

Das Kassenmodul erzeugt Belege, die nach dem Kassengesetz (§ 146a AO, KassenSichV) mit einer zertifizierten technischen Sicherheitseinrichtung signiert werden müssen. Wir nutzen dafür die Cloud-TSE der fiskaly GmbH, Berlin. An fiskaly übermittelt werden die fiskalisch vorgeschriebenen Belegdaten (Zeitpunkte, Beträge, Steuersätze, Zahlart, Kassen- und Belegkennungen), nicht jedoch Namen oder Kontaktdaten von Gästen. Die Signaturdaten sind gesetzlich unveränderbar und werden entsprechend den steuerlichen Aufbewahrungsfristen gespeichert.

Daten von Mitarbeitenden, die mit dem Kassenmodul arbeiten (wer hat wann welchen Beleg erstellt oder storniert), speichern wir, weil die Grundsätze ordnungsmäßiger Buchführung (GoBD) die Nachvollziehbarkeit jedes Kassenvorgangs verlangen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten des Betriebs, die wir als Auftragsverarbeiter umsetzen) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

4.7 Kartenzahlung über SumUp

Nutzt der Betrieb ein SumUp-Kartenlesegerät, übermitteln wir an SumUp den Zahlbetrag, eine Vorgangskennung und die Kennung des Lesegeräts, damit die Zahlung am Gerät ausgelöst werden kann. Kartendaten der zahlenden Person laufen ausschließlich zwischen Lesegerät und SumUp; sie erreichen Nativio zu keinem Zeitpunkt. Die Zugangsdaten des Betriebs zu SumUp speichern wir verschlüsselt. Verantwortlicher für die Zahlungsabwicklung ist SumUp; es gilt dessen Datenschutzerklärung.

4.8 Dienstplan, Zeiterfassung und Mitarbeiterdaten

Mit dem Dienstplan-Modul verarbeitet der Betrieb Verfügbarkeiten, Schichten und Arbeitszeiten seiner Mitarbeitenden. Verantwortlicher dafür ist der Betrieb als Arbeitgeber; wir handeln als Auftragsverarbeiter.

5. Eingesetzte Dienstleister

Wir setzen folgende Auftragsverarbeiter ein. Mit jedem besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wo ein Anbieter seinen Sitz außerhalb der EU hat, ist die Übermittlung durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (DPF) und ergänzend durch Standardvertragsklauseln (SCC) abgesichert.

Alle Datenbankinhalte von Nativio OS liegen in Frankfurt am Main.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Nutzerkonten: bis zur Löschung des Kontos oder bis zum Ende des Vertrags mit dem Betrieb.
• Betriebsdaten (Kundenkartei, Termine, Reservierungen, Dienstpläne): bis zum Ende des Vertrags; danach stehen sie dem Betrieb 30 Tage zum Export bereit und werden anschließend gelöscht.
• Kassen- und Belegdaten, Kassenabschlüsse, TSE-Daten: Diese unterliegen der zehnjährigen Aufbewahrungspflicht des Betriebs (§ 147 AO). Sie sind in unserem System unveränderbar gespeichert. Nach Vertragsende stehen sie dem Betrieb 90 Tage schreibgeschützt zum Export (DSFinV-K, TSE-Export) bereit; die weitere Aufbewahrung obliegt dem Betrieb.
• Rechnungen und Buchungsbelege unserer eigenen Abrechnung: zehn Jahre (§ 147 AO, § 257 HGB).
• Server-Protokolle: wenige Tage, automatisch durch den Hosting-Anbieter.
• Einwilligungsnachweise: solange die Einwilligung gilt und drei Jahre darüber hinaus (Verjährung, § 195 BGB).

7. Was wir als Auftragsverarbeiter für Betriebe tun

Für Gäste, Kundinnen und Kunden der Betriebe verarbeiten wir in deren Auftrag: Namen, Kontaktdaten, Termine, Reservierungen, Vorbestellungen, Kaufhistorie, Gutscheine sowie Einwilligungen in Erinnerungs-E-Mails. Wir stellen dafür Datenexport und Löschung bereit, damit die Betriebe Betroffenenanfragen erfüllen können. Jeder Betrieb sieht ausschließlich seine eigenen Daten; die Trennung ist auf Datenbankebene erzwungen.

Wenn Sie als Gast eine Anfrage zu Ihren Daten haben, wenden Sie sich bitte an den Betrieb. Erreicht uns eine Anfrage direkt, leiten wir sie an den Betrieb weiter und unterstützen ihn bei der Beantwortung.

8. Ihre Rechte

Soweit wir Verantwortlicher sind, haben Sie folgende Rechte:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Wenden Sie sich dazu an kontakt@getnativio.de.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, www.lfd.niedersachsen.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

9. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen mit rechtlicher Wirkung ausschließlich auf Grundlage automatisierter Verarbeitung und führen kein Profiling durch. Die KI-Funktion beim Onboarding erzeugt nur Vorschläge, die der Betrieb prüft und freigibt.

10. Datensicherheit

Alle Verbindungen sind mit TLS verschlüsselt. Passwörter werden ausschließlich als Hash gespeichert, Zugangsdaten zu Drittdiensten verschlüsselt. Der Zugriff auf Daten ist pro Betrieb und pro Rolle beschränkt und wird zusätzlich auf Datenbankebene durchgesetzt. Alle Datenbankinhalte liegen in der EU.

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum oben zeigt den Stand.