Datenschutzerklärung

culinu GmbH
Am Steinernen Stock 1
60320 Frankfurt am Main, Deutschland
E-Mail: contact@culinu.eu · Telefon: +49 177 5510578

Ansprechpartner für Datenschutzfragen: Julian Obermeier, julian.obermeier@culinu.eu

Wird die Anwendung im Rahmen eines Vertrags zwischen Ihrem Arbeitgeber (z. B. Einrichtung oder Träger) und culinu genutzt, verarbeitet culinu die in der Anwendung anfallenden Daten überwiegend als Auftragsverarbeiter im Auftrag des Arbeitgebers (Art. 28 DSGVO). Verantwortlicher für diese Verarbeitung ist dann Ihr Arbeitgeber; die Einzelheiten regelt der Auftragsverarbeitungsvertrag.

In der Anwendung werden ausschließlich die folgenden Kategorien personenbezogener Daten verarbeitet. Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) und Daten von Bewohnerinnen und Bewohnern werden nicht verarbeitet.

• Account- und Anmeldedaten (Name, dienstliche E-Mail-Adresse, Rolle, Passwort-Hash): zur Anmeldung und Rechtevergabe. Konten werden durch den Arbeitgeber bzw. culinu angelegt, eine Selbstregistrierung findet nicht statt. Löschung spätestens 90 Tage nach Vertragsende bzw. Account-Deaktivierung.
• Sitzungsdaten (Session-Token, IP-Adresse, Browserkennung): zur sicheren Anmeldung. Abgelaufene Sitzungen werden durch einen täglichen automatisierten Löschlauf endgültig gelöscht, spätestens nach 30 Tagen.
• Nutzungs- und Planungsdaten (Speisepläne, Bestellungen, Zuordnungen zu Wohnbereichen, Freigaben): zur Leistungserbringung. Speicherung für die Vertragslaufzeit; Löschung bzw. Rückgabe spätestens 90 Tage nach Vertragsende.
• Geschäftliche Kontaktdaten (Liefer- und Rechnungsanschriften, Kontakt-E-Mail-Adressen, Lieferantenkennungen): zur Bestellabwicklung. Rohdaten versandter Bestellungen werden nach 90 Tagen automatisiert gekürzt; handels- und steuerrechtliche Aufbewahrungspflichten (6 bzw. 10 Jahre) bleiben unberührt.
• Technische Protokolle (Server- und Anwendungslogs: 30 Tage; technische API-Protokolle: 90 Tage mit automatisiertem Löschlauf): für Betriebssicherheit und Fehleranalyse.
• Feedback aus der Anwendung (Nachricht, Name und E-Mail-Adresse der absendenden Person, aufgerufene Seite, Zeitpunkt, Browserkennung; auf Wunsch ein Screenshot der angezeigten Seite, eine Sprachnotiz und die letzten Browser-Konsolenmeldungen): zur Bearbeitung von Rückmeldungen und Fehlerberichten, ausgelöst ausschließlich durch Klick auf die Feedback-Schaltfläche. Screenshots und Sprachnotizen werden nach 90 Tagen automatisiert gelöscht und sind nur für Administratoren von culinu einsehbar; die Textnachricht wird für die Vertragslaufzeit gespeichert.

Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), im Rahmen der Auftragsverarbeitung nach Weisung des Arbeitgebers (Art. 28 DSGVO) sowie auf Grundlage berechtigter Interessen an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO, technische Protokolle).

Die Anwendung setzt ausschließlich technisch erforderliche Cookies zur Sitzungsverwaltung (Anmeldung). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt; eine Einwilligung ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Betrieb und Datenhaltung erfolgen bei Google Cloud (Google Cloud EMEA Ltd.) in der Region Frankfurt am Main, Deutschland; Datenbank-Backups der Produktionsumgebung werden in Berlin gespeichert. Daneben setzen wir folgende Dienstleister ein:

• Sentry (Functional Software, Inc., EU-Instanz): Fehlerdiagnose; personenbezogene Standardfelder sind deaktiviert, Inhalte werden gefiltert. Aufbewahrung 90 Tage.
• Resend, Inc.: E-Mail-Versand für zwei Zwecke: Bestell-E-Mails an Lieferanten (geschäftliche Kontaktdaten, Bestellinhalte) sowie Benachrichtigungen zu Sonderbestellungen an die anfragenden und freigebenden Nutzerinnen und Nutzer (E-Mail-Adresse der empfangenden Person, Namen der anfragenden, freigebenden und entscheidenden Personen, Funktion der entscheidenden Person, Name des Hauses, Titel, Beschreibung, Artikel und Budget der Anfrage, Freigabefrist und ggf. Ablehnungsgrund). Übermittlung in Drittländer auf Grundlage der EU-Standardvertragsklauseln.
• Microsoft Ireland Operations Ltd. (Microsoft 365 / Exchange Online): E-Mail-Postfächer von culinu. Die Anwendung liest über die Schnittstelle Microsoft Graph das Postfach für Lieferanten-Importe aus (E-Mails von Lieferanten mit Preislisten, einschließlich Absenderadresse). Datenspeicherung in der EU.
• Slack Technologies (Salesforce): interne Betriebsbenachrichtigungen von culinu (Job-Berichte, Fehlermeldungen). Diese können Namen von Häusern und Lieferanten, Bestellbezeichnungen und in Einzelfällen Name oder E-Mail-Adresse der culinu-Administratorin bzw. des culinu-Administrators enthalten, die bzw. der einen Import freigegeben hat. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-U.S. Data Privacy Framework.
• Selly (Bestellplattform, sellyorder.de): Bei Lieferanten, die über Selly angebunden sind (z. B. EDEKA Foodservice), übermitteln wir Kundennummer und Einkäuferkennung des Hauses, die Bestellpositionen, den Wunschliefertermin und die Lieferanschrift einschließlich Bestell-E-Mail-Adresse und Telefonnummer des Hauses sowie die in der Produktsuche eingegebenen Suchbegriffe. Selly versendet eine Bestellbestätigung per E-Mail an das bestellende Haus.
• OpenAI, L.L.C. („culinu AI“): An die LLM-Schnittstelle werden ausschließlich nicht-personenbezogene Planungsdaten (z. B. Rezepttitel, Zutaten, Mengen) übermittelt — keine personenbezogenen Daten.

Eine vollständige, aktuelle Liste der Unterauftragsverarbeiter stellen wir Vertragskunden als Anlage zum Auftragsverarbeitungsvertrag bereit.

Sie haben nach Art. 15–21 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Soweit culinu als Auftragsverarbeiter tätig ist, richten Sie Ihre Anfrage bitte an Ihren Arbeitgeber als Verantwortlichen; wir unterstützen ihn bei der Beantwortung. Im Übrigen erreichen Sie uns unter julian.obermeier@culinu.eu. Sie haben zudem das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO); für culinu zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert; maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben angegebenen Stand.