QR-Code-Speisekarte DSGVO-konform umsetzen: Der Leitfaden für Gastronomen

Die QR-Code-Speisekarte ist aus modernen Restaurants kaum noch wegzudenken. Gäste scannen den Code am Tisch, blättern durch die Karte und bestellen direkt – hygienisch, schnell, kontaktlos. Doch was viele Gastronomen erst bemerken, wenn der erste Abmahnbrief im Briefkasten liegt: Digitale Speisekarten sind datenschutzrechtlich kein Selbstläufer.

Die DSGVO macht auch vor dem Restaurant-Tisch nicht Halt. Wer eine QR-Code-Speisekarte einsetzt, muss genau wissen, welche Daten verarbeitet werden, ob eine Einwilligung nötig ist und wie die Rechtsgrundlage aussieht. Sonst drohen Abmahnungen durch findige Wettbewerber oder Datenschutzvereine. Dabei ist eine rechtssichere Umsetzung gar nicht so kompliziert – wenn man die Fallstricke kennt.

Dieser Artikel zeigt dir Schritt für Schritt, wie du deine QR-Code-Speisekarte DSGVO-konform umsetzt. Du erfährst, welche Daten überhaupt anfallen, wann du eine Einwilligung brauchst und wie du Tracking vermeidest. Los geht’s.

Warum die DSGVO auch für deine digitale Speisekarte gilt

Viele Gastronomen denken: „Ich zeige doch nur eine Karte an – da werden keine Daten verarbeitet.“ Das ist ein gefährlicher Irrglaube. Sobald ein Gast deine QR-Code-Speisekarte öffnet, passiert technisch einiges:

• Der Webserver, auf dem die Karte liegt, speichert die IP-Adresse des Gasts.
• Der Browser des Gasts sendet User-Agent-Daten (Gerätetyp, Betriebssystem, Browser-Version).
• Eventuell werden Cookies oder Local-Storage-Einträge gesetzt, um die Sitzung zu speichern.
• Wenn die Karte Bilder von externen Servern lädt (z. B. von Cloud-Diensten), kommt ein weiterer Dienst ins Spiel.

All das sind personenbezogene Daten im Sinne der DSGVO. Denn eine IP-Adresse gilt als personenbezogen, wenn sie einem bestimmten Nutzer zugeordnet werden kann – und das ist bei modernen, dynamischen IPs in der Regel der Fall.

Die gute Nachricht: Nicht jede Verarbeitung ist automatisch verboten. Die DSGVO erlaubt Verarbeitungen, die für die Bereitstellung eines Dienstes erforderlich sind. Das nennt sich „berechtigtes Interesse“ (Art. 6 Abs. 1 lit. f DSGVO). Für eine reine Anzeige der Speisekarte ohne Tracking, ohne Analyse, ohne Werbung reicht das in der Regel aus.

Die schlechte Nachricht: Sobald du Tracking-Tools wie Google Analytics, Facebook Pixel oder auch nur einen Zählpixel einsetzt, brauchst du eine aktive Einwilligung des Gasts. Und die ist in der Gastro-Praxis kaum umsetzbar – niemand will vor dem Essen erst ein Cookie-Banner wegklicken.

Fazit: Halte deine digitale Speisekarte technisch schlank. Verzichte auf Analytics-Tools ohne ausdrückliche Einwilligung und verknüpfe jede Auswertung mit einem aktiven Consent (Opt-in-Checkbox). Keine externen Skripte ohne Rechtsgrundlage, keine unnötigen Cookies.

Die drei größten DSGVO-Fallen bei QR-Code-Speisekarten

1. Tracking und Analyse-Tools

Der häufigste Fehler: Gastronomen setzen Google Analytics, Hotjar oder ähnliche Tools ein, um zu sehen, wie oft die Karte aufgerufen wird, welche Geräte genutzt werden oder wie lange Gästeblättern. Das klingt verlockend – und ist in vielen Fällen rechtswidrig, wenn keine Einwilligung vorliegt.

Diese Tools setzen in der Regel Cookies oder Fingerprinting-Techniken ein, die eine Wiedererkennung des Nutzers ermöglichen. Das ist keine erforderliche Verarbeitung mehr, sondern eine Analyse – und die braucht eine aktive, informierte Einwilligung nach Art. 7 DSGVO.

Praxistipp: Falls du wissen willst, wie oft deine Karte aufgerufen wird, nutze eine serverbasierte Log-Analyse ohne Cookies (z. B. mit Matomo in der datenschutzkonformen Konfiguration ohne Tracking-Code). Oder frag deinen Dienstleister, ob er anonymisierte Zugriffszahlen liefert, die keine Personenidentifikation zulassen.

2. Externe Dienste für Bilder oder Schriftarten

Viele QR-Code-Speisekarten laden Bilder von Cloud-Diensten wie Cloudinary, Unsplash oder Google Fonts. Gerade Google Fonts sind ein bekanntes DSGVO-Problem: Wenn der Browser die Schriftart von Googles Servern lädt, wird die IP-Adresse des Gasts an Google übermittelt – ohne Rechtsgrundlage.

Das Gleiche gilt für Bild-CDN-Dienste, die in den USA hosten. Der EuGH hat mit dem „Schrems-II“-Urteil klargestellt, dass eine Datenübermittlung in die USA nur mit geeigneten Garantien (z. B. Standardvertragsklauseln) zulässig ist. Viele kleine Gastronomen haben solche Garantien nicht.

Praxistipp: Hoste alle Inhalte deiner digitalen Speisekarte auf einem Server in Deutschland oder der EU. Verwende keine externen Fonts – oder binde sie lokal ein. Lade Bilder ebenfalls lokal hoch, nicht über externe URLs.

3. Fehlende oder falsche Datenschutzerklärung

Deine QR-Code-Speisekarte ist ein digitaler Dienst. Deshalb brauchst du eine Datenschutzerklärung, die für den Gast leicht zugänglich ist. Am besten verlinkst du sie direkt auf der Speisekarten-Seite – zum Beispiel als Fußzeilenlink.

Viele Gastronomen kopieren einfach die Datenschutzerklärung von ihrer Website. Das reicht oft nicht, denn sie muss spezifisch auf die Verarbeitungen durch die Speisekarte eingehen: Welcher Dienst hostet die Karte? Werden Logs gespeichert? Gibt es Cookies? Welche Rechte hat der Gast?

Praxistipp: Lass deine Datenschutzerklärung von einem Fachanwalt für IT-Recht prüfen. Das kostet einmalig etwas – aber eine Abmahnung kostet schnell mehrere hundert Euro.

So setzt du eine DSGVO-konforme QR-Code-Speisekarte um – Schritt für Schritt

Schritt 1: Wähle einen europäischen Hosting-Anbieter

Deine QR-Code-Speisekarte sollte auf einem Server liegen, der in der EU steht (z. B. Region „eu-north-1“ oder „eu-central-1“). Das stellt sicher, dass die DSGVO uneingeschränkt gilt und du im Zweifel einen europäischen Ansprechpartner hast.

Viele Gastronomen nutzen Lösungen wie Speisekärtle, die speziell für die Gastro entwickelt wurden und Server in der EU betreiben. Achte bei der Auswahl darauf, dass der Anbieter eine Auftragsverarbeitungsvereinbarung (AVV) für jeden eingesetzten Auftragsverarbeiter vorweisen kann — inklusive Cloud-Provider, Datenbank, Zahlungs- und E-Mail-Dienst, sowie aller KI-Dienstleister. Ohne AVV ist die Datenverarbeitung rechtswidrig.

Schritt 2: Tracking nur mit ausdrücklicher Einwilligung

Wenn du wissen willst, wie oft deine Speisekarte aufgerufen wird, welche Sprache die Gäste nutzen oder wie lange sie verweilen: Das ist erlaubt — aber nur mit aktiver Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Konkret heißt das:

• Opt-in-Cookie-Banner: Gäste müssen durch eine aktive Handlung zustimmen (z. B. "Alle akzeptieren"). Vorher darf nichts getrackt werden.
• Granular aufteilbar: Trenne notwendige Cookies (Theme, Sprache) von Analyse-Cookies. Gäste müssen die Wahl haben, nur das Nötige zu erlauben.
• Transparenz: Gib in der Datenschutzerklärung an, welche Daten erhoben werden (z. B. Gerätetyp, Sprache, Verweildauer, Referrer) und an welche Dienstleister sie weitergegeben werden.

Wichtig: Auch cookieless-Tracking (z. B. Vercel Analytics, Plausible, Umami) ist eine Verarbeitung personenbezogener Daten. Für reine, aggregierte Reichweitenmessung kann das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO) genügen — für detaillierte Gästeanalyse brauchst du Einwilligung. Verknüpfe solche Dienste sicherheitshalber ebenfalls mit dem Consent-Banner.

Cookies für die reine Funktionalität (Theme, Sprachwahl, Sitzung) sind hingegen erforderlich und dürfen ohne Einwilligung gesetzt werden.

Schritt 3: Binde alle Ressourcen lokal ein

Lade Bilder, Schriftarten und Skripte von deinem eigenen Server oder einem europäischen CDN. Vermeide Aufrufe von Google Fonts, externe Bild-URLs oder JavaScript-Bibliotheken von Drittanbietern. Jeder externe Aufruf ist eine potenzielle Datenübermittlung.

Konkretes Beispiel: Wenn du ein Foto deines Signature-Gerichts auf deiner Speisekarte zeigst und das Bild von einem Cloud-Service wie Cloudinary lädtst, dann wird die IP-Adresse des Gasts an Cloudinary übermittelt. Cloudinary sitzt in den USA. Das ist ohne Einwilligung nicht zulässig. Also: Bild lokal hochladen.

Schritt 4: Erstelle eine transparente Datenschutzerklärung

Deine Datenschutzerklärung muss mindestens folgende Punkte abdecken:

• Wer ist Verantwortlicher (dein Restaurant mit voller Adresse)?
• Welche Daten werden verarbeitet (IP-Adresse, Log-Daten, ggf. Cookies)?
• Zu welchem Zweck (Bereitstellung der Speisekarte)?
• Auf welcher Rechtsgrundlage (berechtigtes Interesse oder Einwilligung)?
• Wer sind Empfänger der Daten (Hosting-Anbieter, ggf. Zahlungsdienstleister)?
• Wie lange werden die Daten gespeichert (z. B. Logs 7 Tage)?
• Welche Rechte hat der Gast (Auskunft, Löschung, Widerspruch)?
• Wie kann der Gast diese Rechte ausüben (E-Mail, Telefon)?

Die Erklärung muss leicht zugänglich sein – ein Link im Footer der Speisekarten-Seite reicht. Kein Pop-up, kein Cookie-Banner nötig.

Schritt 5: Prüfe, ob du eine Einwilligung brauchst

Wenn deine QR-Code-Speisekarte nur die Karte anzeigt, keine nicht-erforderlichen Cookies setzt, kein Tracking betreibt und alle Inhalte lokal hostet: Dann brauchst du keine Einwilligung. Die Verarbeitung der IP-Adresse zur Auslieferung ist für die Bereitstellung erforderlich (berechtigtes Interesse). Sobald du jedoch Analytics, Sprach-Detection oder ähnliche Auswertungen anbietest, brauchst du eine Einwilligung — Ausnahme: rein aggregierte, cookieless-Reichweitenmessung kann unter bestimmten Voraussetzungen über berechtigtes Interesse laufen.

Sobald du aber zusätzliche Funktionen anbietest – z. B. eine Bestellfunktion mit Speicherung von Namen und Adresse, ein Newsletter-Anmeldeformular oder ein Gästebuch – dann brauchst du für diese spezifischen Verarbeitungen eine Einwilligung. Die muss freiwillig, informiert und widerrufbar sein. In der Praxis heißt das: Checkbox vor Absenden, Verweis auf Datenschutzerklärung, Möglichkeit zum Widerruf.

Praxistipp: Trenne die reine Speisekarten-Anzeige strikt von interaktiven Funktionen. Die Karte selbst läuft ohne Einwilligung. Alles andere (Bestellung, Reservierung, Kontaktformular) bekommt ein eigenes Formular mit Einwilligungshaken.

Was tun bei einer Abmahnung?

Trotz aller Vorsicht kann es passieren: Ein Wettbewerber oder ein Datenschutzverein mahnt dich ab, weil deine QR-Code-Speisekarte nicht DSGVO-konform ist. Typische Vorwürfe sind:

• Fehlende Datenschutzerklärung
• Einsatz von Google Fonts ohne Einwilligung
• Tracking ohne Einwilligung
• Fehlende AVV mit dem Hosting-Anbieter

Erste Schritte:

1. Nicht in Panik verfallen. Viele Abmahnungen sind berechtigt, aber die geforderten Summen oft überhöht.
2. Prüfe die Abmahnung genau. Ist der Vorwurf sachlich richtig? Fehlt wirklich eine Datenschutzerklärung?
3. Reagiere schnell. In der Regel hast du nur wenige Tage Zeit, eine Unterlassungserklärung abzugeben.
4. Hole dir anwaltliche Hilfe. Ein Fachanwalt für IT-Recht kann die Abmahnung prüfen, eine modifizierte Unterlassungserklärung aufsetzen und die geforderte Summe oft drastisch reduzieren.
5. Behebe den Mangel. Mach deine QR-Code-Speisekarte DSGVO-konform – sonst droht die nächste Abmahnung.

Prävention ist besser als Reaktion: Investiere lieber einmalig 500 Euro in eine rechtssichere Lösung, als später 2000 Euro Abmahnkosten zu zahlen.

DSGVO-konforme Tools und Dienstleister

Nicht jeder Anbieter einer digitalen Speisekarte hat die DSGVO auf dem Schirm. Achte bei der Auswahl auf folgende Kriterien:

• Hosting in der EU – Server in einer EU-Region (z. B. eu-north-1, eu-central-1), keine Drittlandtransfers ohne geeignete Garantien.
• AVV für alle Auftragsverarbeiter – der Anbieter muss eine Auftragsverarbeitungsvereinbarung für jeden eingesetzten Dienst vorweisen können (Hosting, Datenbank, Zahlungs- und E-Mail-Dienst, ggf. KI-Dienstleister).
• Kein Tracking ohne Einwilligung – die reine Speisekarte setzt keine Tracking-Pixel (Google Analytics, Meta Pixel). Analytics findet ausschließlich über ein Opt-in-Cookie-Banner statt; vor Zustimmung wird nichts aufgezeichnet.
• Externe Ressourcen nur mit AVV – Bilder, Schriftarten und Skripte werden idealerweise lokal gehostet; externe CDN/Dienste nur mit AVV und nicht für direkte Gäste-Aufrufe.
• Datenschutzerklärung inklusive – der Anbieter liefert eine Vorlage oder integriert eine DSGVO-konforme Erklärung.

Ein Beispiel für einen solchen Dienst ist Speisekärtle. Die digitale Speisekarte wird auf Servern in der Europäischen Union (Vercel EU-Region, Supabase eu-north-1) gehostet. Gäste-Analyse (Gerätetyp, Sprache, Verweildauer, Filternutzung) wird ausschließlich über ein Opt-in-Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO) freigegeben — vor Zustimmung wird nichts aufgezeichnet. Für KI-gestützte Zusatzfunktionen (z. B. Foto-Import, Übersetzung) kommen Drittanbieter ausschließlich mit Auftragsverarbeitungsvereinbarung (AVV) zum Einsatz. Zudem gibt es eine AVV und eine Datenschutzerklärung, die du direkt übernehmen kannst. Der Demo-Zugang zeigt, wie eine DSGVO-konforme Speisekarte aussieht – ohne Cookie-Banner, ohne Abmahnrisiko.

Häufige Fragen zur DSGVO-konformen QR-Code-Speisekarte

Muss ich ein Cookie-Banner einblenden? Pflicht ist es nur, wenn du nicht-erforderliche Cookies oder Analyse-Tools einsetzt. Eine reine, statische Speisekarte ohne Cookies kommt ohne Banner aus. Sobald du aber Analytics, personalisierte Sprachwahl oder externe Dienste (z. B. Karten-Embeds) nutzt, brauchst du ein Opt-in-Banner. Moderne Lösungen wie vanilla-cookieconsent oder Cookiebot lassen sich so konfigurieren, dass das Banner nur bei Bedarf erscheint und die Einwilligung revisibel ist.

Darf ich die IP-Adresse der Gäste speichern? Ja, aber nur für die Dauer der Bereitstellung und in Logs für maximal 7–14 Tage. Längere Speicherung oder Analyse ist nicht zulässig ohne Einwilligung.

Brauche ich eine Datenschutzerklärung auf der Speisekarte? Ja. Die Datenschutzerklärung muss für den Gast leicht erreichbar sein – ein Link im Footer der Speisekarten-Seite genügt.

Was ist mit externen Bildern von Cloud-Diensten? Für die Speisekarte selbst gilt: Lade alle Bilder lokal hoch, vermeide externe Aufrufe. Für Redaktion und Betrieb (z. B. Stock-Fotos für den eigenen Blog, KI-gestützte Texterstellung) dürfen externe Dienste eingesetzt werden — dann aber mit Auftragsverarbeitungsvereinbarung (AVV) und nur für Inhalte, die nicht im Gäste-Browser der Speisekarte nachgeladen werden.

Kann ich Google Analytics für die Speisekarte nutzen? Google Analytics speichert eine pseudonymisierte Client-ID in einem Cookie und übermittelt Daten in die USA — die Rechtsgrundlage "berechtigtes Interesse" reicht dafür nicht aus. Du brauchst eine aktive, informierte Einwilligung je Gast (Art. 6 Abs. 1 lit. a DSGVO), am besten über ein Opt-in-Cookie-Banner. Wenn du datenschutzfreundliche Alternativen wie Vercel Analytics, Plausible oder Umami einsetzt, gelten niedrigere Hürden — wir empfehlen trotzdem, diese an ein Consent-Banner zu koppeln, weil auch cookieless-Tracking personenbezogene Daten verarbeitet (User-Agent, IP zur Geo-Auflösung, Referrer).

Deine Checkliste für die DSGVO-konforme Umsetzung

Bevor du deine QR-Code-Speisekarte live schaltest, geh diese Punkte durch:

• Hosting in der EU (z. B. Schweden, Irland, Deutschland — Region „eu-*“)
• Auftragsverarbeitungsvereinbarung mit dem Anbieter abgeschlossen
• Tracking nur mit Opt-in-Einwilligung (Cookie-Banner mit aktivem "Alle akzeptieren")
• Keine externen Ressourcen (Google Fonts, externe Bilder, CDN)
• Datenschutzerklärung auf der Speisekarten-Seite verlinkt
• Datenschutzerklärung deckt alle Verarbeitungen ab
• Nur notwendige Cookies ohne Consent (Theme, Sprache); Analyse-Cookies nur nach Opt-in
• Falls Bestellfunktion: Einwilligung für personenbezogene Daten einholen
• Logging auf das Nötigste beschränkt (max. 7 Tage Speicherung)
• Impressum auf der Speisekarte oder leicht erreichbar

Wenn du alle Punkte abhaken kannst, bist du auf der sicheren Seite. Deine Gäste genießen eine schnelle, hygienische Speisekarte – und du hast keine rechtlichen Sorgen.

Die DSGVO ist kein Feind der Digitalisierung. Sie schützt die Privatsphäre deiner Gäste – und damit auch dein Restaurant vor Imageschäden und Abmahnungen. Mit einer schlanken, datenschutzkonformen QR-Code-Speisekarte zeigst du, dass du Verantwortung übernimmst. Und das kommt bei Gästen gut an.

PS: Falls du noch auf der Suche nach einer passenden Lösung bist: Wirf einen Blick auf die Preise von Speisekärtle. Kein Tracking, deutsches Hosting, AVV inklusive – und du kannst dich auf das konzentrieren, was du am besten kannst: gutes Essen und großartigen Service.