Datenschutzerklärung

Stand: 7. Oktober 2026

1. Verantwortlicher

2. Was diese Erklärung abdeckt

Sie gilt für drei Dinge, die technisch zusammengehören:

Die App ist eine App mit zwei Türen. Wer sich nicht anmeldet, kommt nur an das Spiel; wer sich anmeldet, an den Dienstplan. Beides ist getrennt: das Spiel weiß nichts von einer Anmeldung, und der Dienstplan nichts vom Spiel.

Für Instagram gilt sie nicht. Wir verlinken unser Profil, betreiben aber das Netzwerk nicht; dort gelten die Bestimmungen von Meta. Ebenso wenig gilt sie für den Bezug der App aus dem Google Play Store oder dem App Store: was Google und Apple dabei über Sie erheben, entscheiden sie selbst und nicht wir.

3. Rechtsgrundlagen im Überblick

Wir nennen bei jeder Verarbeitung unten die Rechtsgrundlage. Kurz zusammengefasst:

4. Die öffentliche Website

4.1 Server-Protokolle

Die Seite liegt bei Vercel. Bei jedem Aufruf fallen dort technische Daten an, die für die Auslieferung nötig sind und die wir nicht abschalten können: IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, übertragene Datenmenge, Statuscode, verweisende Seite und die Kennung von Browser und Betriebssystem.

Wir nutzen das nicht, um Besucher zu erkennen oder zu zählen, und führen es mit nichts zusammen. Es dient dem Betrieb und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine erreichbare und sichere Seite.

4.2 Die Speisekarte und das Programm

Die Karte steht nicht in der Seite, sondern in unserer Datenbank — so können wir einen Preis ändern, ohne die Seite neu zu bauen. Ihr Browser holt sie deshalb beim Aufruf direkt bei unserem Datenbank-Anbieter Supabase ab (Server in Frankfurt am Main). Dabei wird Ihre IP-Adresse an Supabase übertragen, technisch unvermeidlich bei jedem Abruf im Internet.

Übertragen wird nur die Anfrage nach der Karte. Gelesen werden drei Ansichten, die ausschließlich Gruppen, Gerichte, Preise, die Tagessuppe und die kommenden Veranstaltungstermine enthalten — keine Personendaten. Ein Zugang ist dafür nicht nötig und auch nicht möglich: der verwendete Schlüssel darf nur lesen, und nur diese drei Ansichten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — eine Kneipenseite ohne aktuelle Karte verfehlt ihren Zweck. Antwortet die Datenbank nicht, zeigt die Seite eine mitgelieferte Fassung der Karte; dann findet dieser Abruf nicht statt.

4.3 Keine Cookies, kein Zählen, keine Einwilligung

Die öffentliche Website speichert nichts auf Ihrem Gerät: keine Cookies, kein Local Storage, keine Kennungen. Es gibt keine Reichweitenmessung, kein Analysewerkzeug, keine Werbe- oder Social-Media-Skripte und keine eingebetteten Karten oder Videos von Dritten. Eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich, und ein Banner, das nach ihr fragt, wäre irreführend.

4.4 Schriften, Skripte und Bilder

Alle Schriften (Caprasimo, Figtree), Skripte, Bilder und das Video der Bär-Animation liegen auf unserem eigenen Server. Es wird nichts von fremden Adressen nachgeladen — insbesondere nicht von Google Fonts, dessen Einbindung fremde Server über die IP-Adresse jedes Besuchers informieren würde.

4.5 Links nach außen

Die Seite verlinkt unser Instagram-Profil und eine Route bei Google Maps. Beides sind gewöhnliche Links: es wird nichts eingebettet und nichts im Hintergrund geladen. Erst wenn Sie klicken, erreicht Ihre Anfrage den jeweiligen Anbieter, und ab dort gelten dessen Bestimmungen.

5. Schichtwerk — der Dienstplan für unser Team

Unter /app und in unserer App liegt der Dienstplan. Er ist nur nach Anmeldung erreichbar und geht Gäste nichts an. Für unsere Mitarbeitenden steht hier, was wir über sie verarbeiten.

5.1 Was dort steht

5.2 Wer was sieht

Das ist nicht Höflichkeit, sondern in der Datenbank festgelegt: die Zugriffsregeln liegen an den Tabellen selbst, nicht erst im Bildschirm.

• Kolleginnen und Kollegen sehen vom Plan nur Kurznamen, Tag, Zeit und Bereich — und beim Tauschen, wer an einem Tag abwesend ist. Nicht den Grund einer Abwesenheit, keine Stunden, keine Löhne, keine Dokumente.
• Die Leitung sieht den ganzen Plan ihres Betriebs samt Stunden und Entgeltdaten.
• Sie selbst sehen alles, was zu Ihnen gehört.

5.3 Keine Krankmeldungen in der App

Die App nimmt keine Krankmeldungen entgegen. Im Antrag stehen Urlaub, unbezahlte Freistellung und Sonstiges zur Auswahl — „krank" nicht. Wer krank ist, meldet sich wie bisher telefonisch; die Bescheinigung geht auf dem üblichen Weg an die Leitung und nicht durch dieses System.

Damit verarbeiten wir hier keine Gesundheitsdaten im Sinne des Art. 9 DSGVO. Das ist eine bewusste Entscheidung und nicht bloß der heutige Stand: was man nicht erhebt, kann man auch nicht verlieren.

Aus der Zeit davor können in der Datenbank noch einzelne Anträge mit diesem Grund stehen. Sie bleiben lesbar, damit der Verlauf stimmt, sind für Kolleginnen und Kollegen nicht sichtbar und fallen mit der Frist in Abschnitt 8 weg. Neue kommen keine dazu.

5.4 Keine automatische Entscheidung über Menschen

Schichtwerk kann einen Plan vorschlagen. Dieser Vorschlag ist ein Entwurf: er wird erst wirksam, wenn die Leitung ihn freigibt, und sie kann jede Zuteilung vorher ändern. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt, und ein Profiling zur Bewertung von Leistung oder Verhalten ebenso wenig. Die Qualifikationsstufen je Bereich sind eine Einschätzung des Betriebs für die Einteilung — keine Leistungsbewertung und keine Grundlage für arbeitsrechtliche Maßnahmen.

5.5 Standort und Kamera spielen hier keine Rolle

Der Dienstplan fragt nie den Standort ab. Es gibt kein Ein- und Ausstempeln per Ortung, keine Wegstrecken, keine Prüfung, ob jemand im Haus ist. Die Standortberechtigung der App gehört allein zum Gästespiel (6.3).

6. Die App für Handy und Tablet

Dieselbe App enthält zwei Dinge. Wer sie öffnet, ohne sich anzumelden, landet beim Spiel; wer sich anmeldet, beim Dienstplan.

6.1 Was die App von sich aus tut

Sie fragt beim Start nichts ab: keine Berechtigung, kein Konto, keine Kennung für Werbung. Es gibt in der App kein Analysewerkzeug, keinen Absturzberichts-Dienst und kein Tracking. Jede Berechtigung wird erst dann erfragt, wenn Sie die Funktion benutzen, für die sie nötig ist.

Auch die Schriften liegen in der App selbst (Caprasimo, Figtree) und werden nicht von Google nachgeladen — wie auf der Website oben. Das ist seit dem 24.09.2026 so; davor holte die App sie beim ersten Start von einem Google-Server, der dabei die IP-Adresse des Geräts gesehen hätte.

6.2 Benachrichtigungen (nur für das Team)

Wer im Dienstplan angemeldet ist, kann sich benachrichtigen lassen — wenn der Plan freigegeben wurde, eine eigene Schicht sich ändert, ein Antrag beantwortet ist oder die Schicht bald anfängt. Der Schalter dafür steht im Profil und ist von Haus aus aus.

Schalten Sie ihn ein, hinterlegt die App eine Gerätekennung in unserer Datenbank. Sie kommt von Googles Dienst Firebase Cloud Messaging (auf dem iPhone über Apples Push-Dienst) und ist die Adresse, an die eine Meldung geschickt wird. Der Text der Meldung läuft über diesen Dienst und ist dabei für ihn lesbar. Deshalb steht in einer Meldung nie mehr, als auf dem Sperrbildschirm stehen darf: kein Entgelt, kein Grund einer Abwesenheit, keine Gesundheitsangabe.

Schalten Sie ihn wieder aus oder melden Sie sich ab, nehmen wir die Kennung aus dem Verkehr. Meldet das Gerät sich nie wieder, fällt sie beim ersten Fehlversuch heraus.

6.3 Tower Escape — das Spiel für Gäste

Ein Rätsel für zwischendurch, zu zweit am Tisch. Ohne Konto, ohne Anmeldung, ohne Namen. Die App fragt weder Name noch E-Mail noch Telefonnummer ab; es gibt kein Feld, in das man so etwas eintragen könnte.

Verarbeitet wird dabei:

Die Spielzüge werden nicht gespeichert. Sie laufen zwischen den beiden Geräten und sind nach der Partie weg. Es gibt keinen Verlauf, keine Bestenliste, kein Archiv.

Der Standort

Das Spiel geht nur in der Nähe des Honigtopfs auf — es ist für Gäste gedacht, die da sind. Dafür fragt die App die Standortberechtigung, nur während der Nutzung und erst dann, wenn Sie den Knopf drücken; nie beim Start und nie im Hintergrund.

Die Koordinate verlässt Ihr Gerät nicht. Das Gerät rechnet selbst aus, ob es nahe genug ist, und gibt nur das Ergebnis dieses Vergleichs weiter — ja oder nein. Wir speichern keinen Standort, wir übertragen keinen und wir sehen keinen.

Wer die Berechtigung verweigert, kann die App weiter benutzen: es gibt daneben „Trotzdem allein spielen". Dasselbe gilt, wenn die Ortung aus ist oder der Empfang nicht reicht.

Das Foto am Ende

Nach gelöstem Rätsel bietet die App ein gemeinsames Foto an — freiwillig, „Ohne Foto" steht daneben und beendet die Partie genauso. Auf Android übernimmt das die Kamera-App des Systems, auf dem iPhone fragt das System einmal nach der Kamera-Freigabe. Auf Ihre Fotomediathek greift die App in keinem Fall zu.

Das Bild geht als Nachricht durch dieselbe Leitung wie die Spielzüge an das andere Gerät dieser Partie. Es wird nirgends abgelegt — nicht bei uns, nicht auf dem Server, nicht in der App. Es lebt im Arbeitsspeicher der beiden Geräte und ist weg, sobald weitergetippt wird. Die Aufnahme-Daten im Bild — unter anderem die Koordinate, die Kameras hineinschreiben — werden vorher entfernt.

Und das, was ehrlich dazugehört: „nur einmal ansehen" lässt sich technisch nicht erzwingen. Gegen ein Bildschirmfoto hilft niemand. Was wir zusagen, ist deshalb genau das, was wir halten können: einmal hinüberschicken, einmal zeigen, danach vergessen.

Wenn Ihnen jemand etwas Anstößiges schickt, steht unter dem empfangenen Bild „Melden". Der Knopf tut zweierlei: er beendet den Austausch mit diesem Gerät sofort — es kann Ihnen danach nichts mehr schicken — und er bereitet eine E-Mail an info@honigtopf-aachen.de vor, die Sie selbst abschicken. Darin stehen die Uhrzeit und zwei zufällige Kennungen (die der Partie und die der anderen Seite), damit wir den Vorgang zuordnen können, solange die Partie bei uns liegt — 24 Stunden. Das Bild selbst ist nicht dabei: es liegt ja nirgends. Rechtsgrundlage ist unser berechtigtes Interesse an einem Angebot, das sich nicht missbrauchen lässt (Art. 6 Abs. 1 lit. f DSGVO).

Eine geräteübergreifende Sperrliste führen wir nicht. Sie müsste Kennungen von Gästen aufbewahren, und genau das tun wir über Gäste nicht. Eine Verbindung entsteht ohnehin nur, wenn beide Geräte im Lokal sind und sich neu zusammenfinden.

6.4 Die Berechtigungen im Überblick

Keine dieser Berechtigungen wird im Hintergrund genutzt. Es gibt keinen Zugriff auf Kontakte, Kalender, Mikrofon, Telefonbuch oder Bewegungsdaten.

6.5 Löschen in der App

Im Spiel gibt es den Knopf „Alles löschen". Er löscht die Partien dieses Geräts und meldet es vom anonymen Konto ab; danach ist die App wie frisch installiert. Neben dem Knopf steht die Kennung — da es keinen Namen und keine E-Mail gibt, ist sie das Einzige, womit sich eine Löschung auch schriftlich zuordnen lässt.

Im Dienstplan steht unter Profil → Konto der Knopf „Konto kündigen". Nach einer Rückfrage löscht er sofort die Anmeldung (E-Mail-Adresse und Passwort), die Telefonnummer, die Gerätekennung für Benachrichtigungen, die Meldungen, die Verfügbarkeit und hochgeladene Dokumente der Art „Sonstiges". Was wir aufbewahren müssen, bleibt: Schichten und Arbeitszeitnachweise (§ 16 Abs. 2 ArbZG, Abschnitt 8) und die Urlaubsanträge bis zu ihrer Frist. Archiviert werden Name, Qualifikation und Merkmale, die Vertrags- und Lohnangaben (Stundenlohn, Vertragsart, Wochen- und Monatsstunden, Urlaubsanspruch, Eintrittsdatum) und das Urlaubskonto. Schichten, die schon im Plan stehen, bleiben dort, bis die Leitung sie neu besetzt. Lohnabrechnungen, Verträge und Bescheinigungen (etwa nach § 43 IfSG, die der Arbeitgeber vorhalten muss) löscht der Knopf nicht sofort; sie laufen in ihrer üblichen Frist ab (Abschnitt 8). Das Arbeitsverhältnis berührt der Knopf nicht — gekündigt wird nur das Konto in der App. Denselben Knopf gibt es auch auf dem Hinweis, den die App zeigt, wenn zur Anmeldung kein Profil (mehr) gehört oder der Zugang zum Betrieb beendet ist.

Statt des Knopfs können Sie sich für Auskunft und Löschung auch an die Adresse in Abschnitt 1 wenden; dann antworten wir innerhalb von 30 Tagen.

Schritt für Schritt — und auch dann erreichbar, wenn die App schon vom Gerät geworfen ist — steht beides auf einer eigenen Seite: Konto und Daten löschen. Dort steht auch, was nach einer Löschung bleiben muss und warum.

7. Wer die Daten außer uns verarbeitet

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein (Art. 28 DSGVO). Sie verarbeiten Daten nur auf unsere Weisung.

Weiter gibt niemand etwas. Wir verkaufen keine Daten, geben sie nicht zu Werbezwecken weiter und übermitteln sie nicht an Dritte, außer wo wir gesetzlich dazu verpflichtet sind.

Nicht in dieser Liste stehen die App-Stores. Google und Apple verarbeiten beim Herunterladen und Aktualisieren der App Daten über Sie — als eigene Verantwortliche, nach ihren eigenen Bestimmungen und ohne unsere Weisung. Darauf haben wir keinen Einfluss.

7.1 Übermittlung in die USA

Vercel und Supabase sind Unternehmen mit Sitz in den USA. Auch wenn die Verarbeitung technisch in Europa stattfindet, ist ein Zugriff aus den USA nicht ausgeschlossen — der US-amerikanische CLOUD Act erlaubt Behörden dort, Daten auch von Servern außerhalb der USA zu verlangen. Wir stützen die Übermittlung auf die Standarddatenschutzklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO und, soweit die Anbieter dort zertifiziert sind, auf das EU-US Data Privacy Framework nach Art. 45 DSGVO. Ergänzend sind die Daten auf dem Transportweg und im Ruhezustand verschlüsselt.

Das benennen wir hier so deutlich, weil es ein Restrisiko bleibt und nicht weggeschrieben werden sollte.

8. Wie lange wir speichern

Eine Frist, die niemand einhält, wäre keine Zusage, sondern eine falsche Auskunft. Deshalb steht hier auch, wer sie einhält:

• Von selbst laufen die Fristen für Meldungen, das Protokoll über Änderungen am Plan, hochgeladene Dokumente und die Partien des Spiels ab: Aufträge in der Datenbank räumen regelmäßig auf, was älter ist — für den Dienstplan einmal täglich, für das Spiel alle paar Minuten.
• Von Hand löschen wir Schichten, Arbeitszeitnachweise, Urlaubs- und Abwesenheitsanträge und archivierte Stammdaten, sobald ihre Frist abgelaufen ist. Diese Daten fasst der Auftrag bewusst nicht an: an ihnen hängen gesetzliche Aufbewahrungspflichten, und wie lange, hängt am Einzelfall — etwa daran, ob etwas in die Lohnabrechnung eingegangen ist.

9. Ihre Rechte

Sie haben uns gegenüber das Recht auf

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art. 15 DSGVO),
• Berichtigung falscher Daten (Art. 16 DSGVO),
• Löschung, soweit wir sie nicht aufbewahren müssen (Art. 17 DSGVO) — im Dienstplan auch selbst in der App (6.5),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO).

Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie sie jederzeit widerrufen; das Zurückliegende bleibt davon unberührt. Wenden Sie sich für alles davon an die Adresse in Abschnitt 1. Wir antworten innerhalb der Frist des Art. 12 Abs. 3 DSGVO.

Unabhängig davon können Sie sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

10. Sicherheit

Die Verbindung ist durchgehend verschlüsselt (HTTPS). Was der Browser eines Gastes aus unserer Datenbank liest, ist auf wenige Ansichten ohne Personendaten beschränkt; der dafür verwendete Schlüssel darf nichts anderes und darf nur lesen.

Im Dienstplan entscheidet die Datenbank selbst, wer welche Zeile sehen darf — nicht der Bildschirm davor. Wer angemeldet ist, bekommt die Daten anderer also auch dann nicht, wenn er an der App vorbei fragt. Dokumente liegen in einem nicht öffentlichen Ablageort und werden nur über kurzlebige Links ausgeliefert. Fotos zur Speisekarte liegen bewusst öffentlich lesbar, weil die Website sie ohne Anmeldung zeigen muss; dorthin gehören ausschließlich Bilder von Speisen und keine Aufnahmen von Personen.

11. Änderungen

Ändert sich, was wir verarbeiten oder wen wir dafür einsetzen, ändern wir diese Erklärung mit. Das Datum oben sagt, welche Fassung Sie gerade lesen.