Datenschutzerklärung

Wie wir Ihre Daten schützen

Stand: 7. September 2026 Version: 1.2

01 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist für diese Website sowie — soweit unter Nr. 4 nicht abweichend geregelt — für die Spoon-App:

ThePuffer (Einzelunternehmen, Gewerbe)
Inhaber: Ali Maad Hassan
Goebenstraße 27
65195 Wiesbaden, Deutschland

Telefon: +49 176 63062016
E-Mail: hallo@thespoon.ai
Website: thespoon.ai

Wir nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Diese Datenschutzerklärung informiert Sie darüber, welche Daten wir erheben, wie wir sie verwenden und welche Rechte Ihnen zustehen. Sie ist in zwei Teile gegliedert: Abschnitt 2(a) betrifft diese Marketing-Website, Abschnitt 2(b) betrifft die Spoon-App/SaaS-Anwendung.

02 Art und Umfang der Datenerhebung

Wir unterscheiden zwei getrennte Angebote: (a) diese Marketing-Website (thespoon.ai) und (b) die Spoon-App/SaaS-Anwendung, die Betriebe nach Vertragsschluss nutzen. Die Rollen- und Verantwortlichkeitsverteilung für (b) ist in Abschnitt 4 erläutert.

(a) Diese Website (thespoon.ai)

Hosting und Zugriffsprotokolle: Die Website wird bei Vercel Inc. gehostet. Beim Aufruf einer Seite verarbeitet Vercel automatisch technische Zugriffsdaten (u. a. IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Statuscode, Referrer, User-Agent) zur Auslieferung der Inhalte, für Sicherheitszwecke und zur Fehleranalyse. Näheres in Abschnitt 4.

Schriftarten: Alle Schriftarten (Bricolage Grotesque, Inter, Fira Code) werden selbst gehostet und von unseren eigenen Servern ausgeliefert. Es findet keine Verbindung zu Google Fonts oder einem anderen externen Schriftarten-CDN statt; beim Seitenaufruf wird daher keine IP-Adresse an Google übermittelt.

Cookies und Analyse-Tools: Diese Website setzt keine Cookies und keine Analyse-, Tracking- oder Werbedienste ein. Es findet keine Profilbildung statt. Sollte sich das künftig ändern, wird diese Erklärung vorab aktualisiert und, soweit erforderlich, eine Einwilligung eingeholt.

Kontakt- und Demo-Anfragen: Über das Kontaktformular erheben wir Name, E-Mail-Adresse, Name des Betriebs und optional eine Nachricht; zusätzlich wird ein aus Ihrer IP-Adresse gebildeter kryptographischer Hashwert (nicht die IP-Adresse selbst) zur Missbrauchsabwehr gespeichert. Diese Daten nutzen wir ausschließlich zur Bearbeitung der Anfrage und geben sie nicht an Dritte weiter. Ein verstecktes Formularfeld (Honeypot) sowie eine Begrenzung der Anfragenanzahl pro Zeitfenster dienen der Spam- und Missbrauchsabwehr. Zur Speicherdauer siehe Abschnitt 6.

(b) Die Spoon-App / SaaS-Anwendung

Je nach Nutzung von Spoon erheben und verarbeiten wir (als Auftragsverarbeiter des Betriebs, siehe Abschnitt 4) folgende Kategorien personenbezogener Daten:

• Kontodaten: Name, E-Mail-Adresse, Telefonnummer sowie Name und Standort des Betriebs — erhoben bei der Registrierung, erforderlich zur Vertragserfüllung.
• Schicht- und Personaldaten: Arbeitszeitdaten, Schichtzuweisungen, Rollenbezeichnungen und Schichtbestätigungen durch Mitarbeitende — Teil des Arbeitsverhältnisses zwischen Betreiber und Mitarbeitenden.
• Kommunikationsdaten: In-App-Nachrichten zwischen Betreibern und Mitarbeitenden (z. B. Schichtbestätigungen, Benachrichtigungen), gespeichert für 90 Tage.
• KI-Konversationen: Anfragen an KI-Funktionen der App (u. a. den Assistenten „Wozi") sowie die generierten Antworten, temporär verarbeitet zur Qualitätssicherung und zur Erstellung kontextbezogener Briefings. Näheres zu den eingesetzten KI-Diensten in Abschnitt 4.
• Belegscans / Zahlungsinformationen: Bei der Erfassung von Rechnungen und Quittungen werden Zahlungsinformationen (z. B. Kartentyp, letzte vier Ziffern) aus Belegscans extrahiert — nicht die vollständige Kartennummer, keine Zahlungsabwicklung.
• Fotos, Videos und sonstige Nutzerinhalte: Onboarding-Dokumente/Profilbilder, Rechnungs-, Inventar- und Speisekarten-Scans, Team-Chat-Inhalte, Bildanhänge in KI-Chats sowie Meldungen über die Whistleblower-Funktion.
• Audiodaten: Sprachnachrichten bzw. KI-Sprach-Eingabe, auf dem Gerät aufgezeichnet und über Apples Speech-Framework transkribiert.
• Nutzer-ID: Konto-UUID, app-weit verwendet und als Nutzerkontext an Diagnosedienste übermittelt.
• Gerätekennungen (Device Tokens): Für Push-Benachrichtigungen speichern wir den APNs-Geräte-Token des iOS-Endgeräts, bis zur Kontoauflösung oder Token-Invalidierung.
• Crash-, Performance- und sonstige Diagnosedaten: Absturz- und Performance-Diagnosen sowie Screenshots/View-Hierarchien im Fehlerfall, verarbeitet über den in Abschnitt 4 genannten Diagnosedienst.
• Protokolldaten: IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Statuscode, Browser/Betriebssystem — zur Systemsicherheit und Fehleranalyse.
• DSGVO-Einwilligung: Zeitstempel und IP-Adresse der bei der Erstregistrierung erteilten Einwilligung, protokolliert gemäß Art. 7 DSGVO.

App-Store-Datenkategorien (Apple „App Privacy"-Label): Die vorstehenden Kategorien entsprechen den 11 im App Store veröffentlichten Datentypen: Name, E-Mail-Adresse, Telefonnummer, Zahlungsinfo (aus Belegscans), Fotos/Videos, Audiodaten, sonstige Nutzerinhalte, Nutzer-ID, Crash-Daten, Performance-Daten und sonstige Diagnosedaten. Keiner dieser Datentypen wird zu Tracking-Zwecken (App Tracking Transparency) verwendet.

Pflicht zur Bereitstellung der Daten

Auf dieser Website ist die Angabe der Kontaktformular-Daten freiwillig; ohne sie kann Ihre Anfrage jedoch nicht bearbeitet werden. In der Spoon-App sind Kontodaten sowie die zur Schichtplanung notwendigen Personaldaten vertraglich bzw. gesetzlich (z. B. arbeitszeitrechtlich) erforderlich — ohne diese Daten kann der jeweilige Vertrag nicht durchgeführt werden bzw. die betreffende Funktion nicht genutzt werden. Alle übrigen, oben nicht als erforderlich gekennzeichneten Datenkategorien werden freiwillig bereitgestellt.

03 Verarbeitungszwecke und Rechtsgrundlagen

Zweck

Rechtsgrundlage

Website-Hosting und Zugriffsprotokolle (thespoon.ai)

Art. 6 Abs. 1 lit. f DSGVO

Vertragsdurchführung (Konto, Schichten, Benachrichtigungen)

Art. 6 Abs. 1 lit. b DSGVO

Legitimes Interesse: Systemsicherheit, Protokollierung, Missbrauchsverhinderung

Art. 6 Abs. 1 lit. f DSGVO

KI-Briefings (Betriebseinblicke, Wozi-Assistent)

Art. 6 Abs. 1 lit. b DSGVO

DSGVO-Einwilligungsprotokollierung

Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)

Push-Benachrichtigungen (Schichtupdates)

Art. 6 Abs. 1 lit. b DSGVO

Kontakt- und Demo-Anfragen (Marketing-Website)

Art. 6 Abs. 1 lit. b, f DSGVO

04 Auftragsverarbeiter, Drittanbieter und Rollenverteilung (Spoon-App)

Rollenverteilung in der Spoon-App

Für die Spoon-App gilt: der jeweilige Betrieb (Venue) ist Verantwortlicher für die Personal- und Betriebsdaten, die er in der App verarbeitet (z. B. Schicht- und Mitarbeiterdaten). ThePuffer verarbeitet diese Daten als Auftragsverarbeiter des Betriebs gemäß Art. 28 DSGVO; Betrieb und ThePuffer schließen hierzu im Rahmen des Onboarding-Prozesses einen Auftragsverarbeitungsvertrag (AVV). Für die vom Betrieb selbst bei der Registrierung angegebenen Kontaktdaten (Name, E-Mail, Telefonnummer des Betriebsverantwortlichen) verarbeitet ThePuffer zusätzlich als eigener Verantwortlicher (Vertragsverwaltung, Abrechnung, Support).

Von ThePuffer eingesetzte Auftragsverarbeiter

Für jeden der folgenden Anbieter ist ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO vorgesehen; der Abschluss wird laufend extern geprüft und dokumentiert.

Hetzner Online GmbH (Deutschland)

Hosting unserer Server und Datenbankinfrastruktur (Website und App-Backend). Serverstandort: Deutschland. Datenschutzinformationen ↗

Google Cloud — Vertex AI, Region europe-west3 (Frankfurt)

KI-Funktionen der App (u. a. Texterkennung/OCR, Entwurfserstellung, der Wozi-Assistent). Die Verarbeitung erfolgt in der Google-Cloud-Region Frankfurt (europe-west3). Datenschutzinformationen ↗

Functional Software, Inc. — Sentry (EU-Region)

Fehler- und Absturzerfassung zur Systemstabilität. Verarbeitung über die EU-Region (de.sentry.io); personenbezogene Daten werden vor der Übermittlung serverseitig bereinigt. Datenschutzinformationen ↗

Apple Inc. (USA) — APNs, App-Distribution

Push-Benachrichtigungsdienst (Apple Push Notification service) für iOS-Endgeräte sowie App-Vertrieb über den App Store. Der APNs-Geräte-Token wird zur Zustellung von Schichtbenachrichtigungen an Apple übermittelt. Datenschutzinformationen ↗

Vercel Inc. (USA) — Website-Hosting

Hosting dieser Marketing-Website (thespoon.ai) einschließlich Zugriffsprotokollen (siehe Abschnitt 2(a)). Datenschutzinformationen ↗

Hinweis: Wir geben Daten nicht an Dritte zu Werbezwecken weiter. Eine Weitergabe erfolgt ausschließlich im Rahmen der Vertragserfüllung und der oben genannten Auftragsverarbeitung. Diese Liste nennt ausschließlich tatsächlich eingesetzte Dienste; frühere Fassungen dieser Erklärung nannten weitere Anbieter (u. a. für allgemeine KI-Verarbeitung und CDN), die zum Stand dieser Fassung nicht mehr im Einsatz sind.

05 Datenübermittlung in Drittländer

Unsere primäre Infrastruktur befindet sich in Deutschland (Hetzner). Folgende Dienste übermitteln Daten in Länder außerhalb der EU/EWR bzw. werden von dort aus betrieben:

• Google Vertex AI (Google Cloud): Die Verarbeitung ist auf die EU-Region Frankfurt (europe-west3) konfiguriert; der Anbieter Google gehört jedoch einem US-Konzern an. Rechtsgrundlage für eine etwaige Übermittlung: Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Apple APNs (USA): Push-Benachrichtigungen und App-Distribution. Rechtsgrundlage: Standardvertragsklauseln.
• Vercel (USA): Website-Hosting; Auslieferung kann über ein globales Edge-Netzwerk erfolgen. Rechtsgrundlage: Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Alle Übermittlungen erfolgen auf Basis der in der EU genehmigten Standardvertragsklauseln, die ein angemessenes Schutzniveau gewährleisten.

06 Speicherfristen

(a) Website

Datenkategorie

Speicherdauer

Kontakt- und Demo-Anfragen (Formulardaten)

Bis zur abschließenden Bearbeitung der Anfrage bzw. bis zur Löschung auf Anfrage. Eine automatisierte Löschfrist ist zum Stand dieser Fassung noch nicht konfiguriert — Anfragen können jederzeit unter Abschnitt 10 zur Löschung angefragt werden.

IP-Hash (Missbrauchsabwehr Kontaktformular)

Wie die zugehörige Anfrage (siehe oben)

Zugriffsprotokolle (Vercel-Hosting)

Gemäß den Aufbewahrungsfristen des Hosting-Anbieters (siehe Abschnitt 4)

(b) Spoon-App

Datenkategorie

Speicherdauer

Kontodaten, Profildaten

Aktive Vertragslaufzeit + 30 Tage nach Kontolöschung

Schichtdaten, Arbeitszeitdaten

Aktive Vertragslaufzeit + 30 Tage — mit gesetzlichen Ausnahmen (siehe unten)

Nachrichten und Kommunikation

90 Tage

KI-Konversationen (Briefings)

90 Tage (nur Caching für Performance)

Protokolldaten (Logs)

30 Tage

DSGVO-Einwilligungsnachweis

Dauer der Geschäftsbeziehung + 3 Jahre

Gerätekennungen (APNs Token)

Bis zur Kontoauflösung oder Token-Invalidierung

Nach Ablauf der jeweiligen Speicherfrist werden die Daten automatisch gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Insbesondere folgende gesetzliche Aufbewahrungspflichten gehen der regulären Löschung vor und können — soweit einschlägig — eine längere Speicherung erfordern:

• Buchungsbelege, Rechnungen, Belegscans: 6–10 Jahre gemäß § 147 AO und § 257 HGB.
• Arbeitszeit- und Lohndaten: 2 Jahre gemäß § 16 Abs. 2 ArbZG bzw. § 17 MiLoG.

07 Ihre Rechte als betroffene Person

Gemäß der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können eine Kopie Ihrer bei uns gespeicherten Daten anfordern.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können unrichtige Daten berichtigen lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Verarbeitung Ihrer Daten unter bestimmten Voraussetzungen einschränken lassen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten auf Basis von Art. 6 Abs. 1 lit. f DSGVO widersprechen.
• Widerruf der Einwilligung: Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren:

Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI)
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 611 1408-0
datenschutz.hessen.de ↗

Zur Geltendmachung Ihrer Rechte wenden Sie sich bitte an: hallo@thespoon.ai

08 Datensicherheit

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten zu schützen:

• Verschlüsselte Datenübertragung via TLS/HTTPS
• Passwörter werden ausschließlich als gesaltete Hashes gespeichert
• Datenbankserver befinden sich in deutschen Rechenzentren ohne öffentliche Erreichbarkeit
• Zugriff auf Produktionssysteme ausschließlich über SSH-Keys
• Regelmäßige Sicherheitsupdates der Server-Infrastruktur

Bei einer Datenschutzverletzung informieren wir die zuständige Aufsichtsbehörde unverzüglich, spätestens binnen 72 Stunden (Art. 33 DSGVO), sowie betroffene Personen, sofern ein hohes Risiko vorliegt (Art. 34 DSGVO).

09 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslage oder bei Änderungen unserer Dienste zu aktualisieren. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail. Das Datum der letzten Aktualisierung ist am Seitenanfang vermerkt.

10 Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

ThePuffer — Datenschutz
Ali Maad Hassan
Goebenstraße 27, 65195 Wiesbaden
Telefon: +49 176 63062016
hallo@thespoon.ai
Website: thespoon.ai

Wir beantworten Anfragen in der Regel innerhalb von 30 Tagen gemäß Art. 12 DSGVO.