Datenschutzerklärung – Service-Ding App
Verantwortlicher: two-run it-solutions GmbH, Mergenthalerallee 73-75, 65760 Eschborn, Deutschland · Geschäftsführer: Recep Ogras und Müyesser Sabuncuo · Registergericht: Amtsgericht Frankfurt am Main, HRB 134444 · USt-IdNr.: DE369962041 · office@service-ding.de
Stand: 23. Oktober 2026
1. Was ist Service-Ding?
Service-Ding ist eine Anwendung für Gastronomiebetriebe (Restaurants, Cafés, Hotels). Gäste rufen per Tischtaster oder QR-Code Service, Rechnung oder Kohle an; das Personal empfängt diese Anfragen auf Tablets, Smartphones und Smartwatches. Die App wird vom Gastronomiebetrieb (dem „Unternehmen") für seine Mitarbeitenden bereitgestellt.
Rollenverteilung: Für die Daten der Mitarbeitenden ist das jeweilige Unternehmen als Arbeitgeber datenschutzrechtlich verantwortlich; two-run it-solutions GmbH betreibt die Plattform als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage eines mit jedem Unternehmen geschlossenen Auftragsverarbeitungsvertrags.
2. Welche Daten verarbeiten wir?
| Kategorie | Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Konto | Benutzername, Vor-/Nachname, E-Mail-Adresse, Mobiltelefonnummer, Rolle (Waiter, Branch Admin, Tenant Admin), Filialzuordnung, Sprache | Anmeldung, Zugriffsrechte, Zuordnung zur Filiale | Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) / lit. f (Betriebssicherheit) |
| Anmeldung | Passwort (nur gehasht), SMS-Einmalcodes, Anmeldezeitpunkte, fehlgeschlagene Anmeldeversuche | Sichere Zwei-Faktor-Anmeldung, Missbrauchserkennung | Art. 6 Abs. 1 lit. c/f DSGVO |
| Gerät (Smartphone/Tablet) | Gerätekennung (App-generiert), Hersteller und Modell, Push-Token, Zeitpunkt der letzten Aktivität | Zustellung von Anrufbenachrichtigungen, Verwaltung angemeldeter Geräte durch Administratoren | Art. 6 Abs. 1 lit. b DSGVO |
| Smartwatch | Installationskennung (zufällig je Installation), Plattform (watchOS/Wear OS), Gerätemodell, Filiale, aktuell tragende Person, Beginn der Sitzung, letzte Aktivität, zuletzt tragende Person, Push-Token der Uhr | Zuordnung einer geteilten Uhr zur tragenden Person, Zustellung von Anrufen auf die Uhr, Übersicht der Uhren für Administratoren | Art. 6 Abs. 1 lit. b/f DSGVO |
| Persönlicher Anruffilter | ausgeschlossene Etagen und Tischarten, Zeitpunkt der letzten Änderung | derselbe Filter auf allen Ihren Geräten (Smartphone, Uhr, Benachrichtigungen) | Art. 6 Abs. 1 lit. b DSGVO |
| Audit-Protokoll | pseudonyme Kennung der handelnden Person, Aktion (z. B. Kopplung, Trennung oder Abmeldung einer Uhr, Annahme eines Anrufs, Rollen- und Einstellungsänderungen), betroffenes Objekt, Zeitpunkt – keine Namen, E-Mail-Adressen, Telefonnummern oder IP-Adressen | Nachvollziehbarkeit, Sicherheit, Aufklärung von Missbrauch | Art. 6 Abs. 1 lit. f DSGVO |
| Profilfoto | Optional hochgeladenes Bild (auf 256×256 px verkleinert) | Anzeige in der App | Art. 6 Abs. 1 lit. a DSGVO (freiwillig, jederzeit entfernbar) |
| Betriebsdaten | Tisch-/Etagenanfragen, Annahme- und Abschlusszeitpunkte, welcher Mitarbeitende eine Anfrage angenommen hat | Betriebsablauf des Unternehmens | Art. 6 Abs. 1 lit. b/f DSGVO |
| Anrufergebnisse | je angenommenem oder abgebrochenem Anruf: Tisch, Beginn des Anrufs, Ergebnis (angenommen/abgebrochen), Kennung und Rolle der annehmenden Person | eine Anfrage kann nur einmal angenommen werden; Anzeige „angenommen von" auf Geräten und Uhren | Art. 6 Abs. 1 lit. b/f DSGVO |
| Leistungsstatistik | je Mitarbeitende/r, Filiale und Tag: Anzahl angenommener Anrufe und durchschnittliche Reaktionszeit, gespeichert mit der pseudonymen Kennung (ohne Namen) | Ihre eigene Leistungsübersicht in der App; Auswertung für die Administratoren Ihres Unternehmens | Art. 6 Abs. 1 lit. f DSGVO |
| Protokolle | Technische Server-Logs (gekürzte IP-Adresse, Zeitstempel, Fehlermeldungen), sicherheitsrelevante Ereignisse (z. B. fehlgeschlagene Anmeldungen) | Betrieb, Fehlersuche, Sicherheit | Art. 6 Abs. 1 lit. f DSGVO |
Gäste des Restaurants werden nicht identifiziert: Tischanfragen enthalten keine personenbezogenen Daten der Gäste.
Leistungsstatistik – wer sie sieht: Ihre eigene Übersicht (angenommene Anrufe, Verlauf) sehen nur Sie. Die Administratoren Ihres Unternehmens (Tenant Admin und Branch Admin für ihre Filialen) sehen je Mitarbeitende/r die Zahl der angenommenen Anrufe und die durchschnittliche Reaktionszeit.
Smartwatch
Unternehmen können Smartwatches (Apple Watch, Wear OS) bereitstellen, die mehrere Mitarbeitende nacheinander nutzen.
- Kopplung: Sie koppeln eine Uhr über Ihr Smartphone mit Ihrem Konto; ab dann ist die Uhr Ihnen zugeordnet. Die Zuordnung endet, wenn Sie die Uhr am Smartphone entkoppeln, sich auf der Uhr abmelden oder die Uhr auf das Ladegerät legen, wenn eine andere Person die Uhr koppelt, wenn ein Administrator die Uhr trennt, wenn die Anmeldung der Uhr abläuft oder wenn Ihr Konto gelöscht wird. Danach ist der Uhr niemand mehr zugeordnet; hinterlegt bleibt nur, wer sie zuletzt getragen hat – bis die nächste Person sie nutzt oder ein Administrator das Gerät entfernt.
- Anmeldung der Uhr: Die Uhr hat eine eigene Anmeldesitzung beim Anmeldedienst. Sie wird dort gespeichert, damit die Uhr bis zum Schichtende angemeldet bleibt, auch wenn Sie sich am Smartphone abmelden. Die Sitzung endet 12 Stunden nach der letzten Nutzung, spätestens 16 Stunden nach der Kopplung, und sofort beim Entkoppeln.
- Benachrichtigungen auf der Uhr: Anrufe erreichen die Uhr als Push-Benachrichtigung über Google bzw. Apple (Abschnitt 4). Das Push-Token der Uhr wird gelöscht, sobald die Zuordnung endet, wenn Sie die Benachrichtigungen auf der Uhr ausschalten oder wenn der Push-Dienst das Token als ungültig meldet.
- Für Administratoren sichtbar: Die Administratoren Ihres Unternehmens sehen für die Uhren ihrer Filiale, wer eine Uhr gerade trägt und wer sie zuletzt getragen hat, das Gerätemodell, die letzte Aktivität und die App-Version. Sie können eine Uhr umbenennen, trennen oder entfernen.
- Vom Betriebssystem gespiegelte Benachrichtigungen: Ist mit Ihrem Smartphone eine eigene Uhr verbunden (z. B. über die Apple-Watch- oder Wear-OS-App), kann das Betriebssystem die Service-Ding-Benachrichtigungen des Smartphones auf diese Uhr spiegeln. Diese Spiegelung steuert das Betriebssystem, nicht Service-Ding; angezeigt werden dieselben Inhalte wie auf dem Smartphone (Tisch, Etage, Anfrageart). Sie können sie in der Uhren-App Ihres Smartphones abschalten.
3. Berechtigungen der App
- Kamera: nur zum Scannen des Filial-QR-Codes und optional für das Profilfoto. Es werden keine Bilder gespeichert außer dem von Ihnen gewählten Profilfoto.
- Benachrichtigungen: Zustellung von Anrufen auf Smartphone, Tablet und Smartwatch; abschaltbar in den App-Einstellungen, auf der Uhr in deren Einstellungen.
- Fotos/Galerie: nur bei Auswahl eines Profilfotos. Es findet kein Standort-Tracking, kein Werbetracking und keine Weitergabe an Werbenetzwerke statt.
4. Empfänger und Auftragsverarbeiter
- Hosting: Hetzner Online GmbH, Gunzenhausen, Deutschland (Rechenzentren in Deutschland).
- SMS-Versand (Einmalcodes): seven communications GmbH & Co. KG, Kiel, Deutschland – erhält Ihre Mobilnummer und den Code.
- Push-Benachrichtigungen: Google Firebase Cloud Messaging (Google Ireland Ltd.) und Apple Push Notification Service (Apple Distribution International Ltd.) – erhalten das Push-Token des Smartphones, Tablets oder der Smartwatch und den Benachrichtigungsinhalt (Tisch, Etage, Anfrageart; auf der Apple Watch bei angenommenen Anrufen zusätzlich den Namen der annehmenden Person). Für Google/Apple gelten die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.
- E-Mail-Versand: Mailjet SAS, 4 rue Jules Lefebvre, 75009 Paris, Frankreich (Hosting in der EU) – Systemmails (Bestätigungscodes, Kontoinformationen, Sicherheitshinweise). Ihr Arbeitgeber (das Unternehmen) sieht die in Abschnitt 2 genannten Konto- und Betriebsdaten seiner Mitarbeitenden, einschließlich der angemeldeten Geräte und der gekoppelten Smartwatches.
5. Speicherdauer
- Kontodaten: bis zur Löschung des Kontos (durch Sie oder Ihr Unternehmen), anschließend Löschung binnen 30 Tagen aus Backups.
- Einmalcodes: SMS-Anmeldecode 2 Minuten; Codes zur Änderung von E-Mail-Adresse oder Telefonnummer und zur Bestätigung einer Registrierung 10 Minuten. Änderungsanträge (neue E-Mail-Adresse bzw. Telefonnummer, Code nur gehasht): Löschung 7 Tage nach Ablauf des Codes.
- Anmeldesitzungen: bis zur Abmeldung. Geräteregistrierungen von Smartphones und Tablets (Push-Token, Gerätemodell): bis zur Abmeldung des Geräts, spätestens nach 60 Tagen ohne Aktivität; sofort, wenn der Push-Dienst das Token als ungültig meldet.
- Registrierungsanfragen (Name, E-Mail-Adresse, Telefonnummer): 30 Tage nach Eingang; angenommene Anfragen 30 Tage nach der Annahme (das Konto fällt dann unter „Kontodaten").
- Betriebsdaten (Anfragen): 90 Tage.
- Gäste-Feedback: Freitext 90 Tage; die Bewertung bleibt danach ohne Text für Statistiken erhalten.
- Server-Logs: 90 Tage. Sicherheits-Benachrichtigungen (Versanddatum): 30 Tage.
- Audit-Protokoll: 12 Monate (pseudonym; bleibt nach einer Kontolöschung für diesen Zeitraum bestehen).
- Smartwatch: Zuordnung und Push-Token der Uhr bis zum Ende der Zuordnung (siehe „Smartwatch"); Anmeldesitzung der Uhr 12 Stunden nach der letzten Nutzung, höchstens 16 Stunden; Vermerke über beendete Uhr-Sitzungen 30 Tage.
- Persönlicher Anruffilter: solange das Konto besteht.
- Anrufergebnisse (angenommene/abgebrochene Anrufe): 30 Tage.
- Tägliche Leistungsstatistik je Mitarbeitende/r: 13 Monate; bei Löschung des Kontos sofort.
6. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie auf Beschwerde bei einer Aufsichtsbehörde (für uns: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit). Richten Sie Anfragen an office@service-ding.de oder an Ihr Unternehmen.
Konto löschen: In der App unter Einstellungen → Konto löschen (siehe auch Konto löschen). Der letzte Administrator eines Unternehmens kann sein Konto erst löschen, nachdem ein weiterer Administrator benannt wurde. Mit der Löschung entfallen sofort die Zuordnung Ihrer Smartwatch samt Push-Token, die Push-Token Ihrer Geräte, Ihr Anruffilter und Ihre tägliche Leistungsstatistik. Anrufergebnisse werden spätestens nach 30 Tagen gelöscht; das Audit-Protokoll enthält nur eine pseudonyme Kennung und wird nach 12 Monaten gelöscht.
7. Sicherheit
Transportverschlüsselung (TLS), Zwei-Faktor-Anmeldung per SMS, gehashte Passwörter, rollenbasierte Zugriffsrechte, getrennte Datenhaltung je Unternehmen, tägliche verschlüsselte Backups.
8. Änderungen
Wir aktualisieren diese Erklärung bei Änderungen der App. Die jeweils aktuelle Fassung finden Sie unter https://service-ding.de/privacy.