Wir, die Pandi Spielshop GmbH & Co. KG, Boschstr. 12, 76307 Karlsbad (im Folgenden "wir" oder "yRoute"), nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. Mit dieser Datenschutzerklärung möchten wir Sie darüber informieren, welche Daten wir erheben, wie wir sie verwenden und welche Rechte Ihnen zustehen.

Zusammengefasst erheben wir nicht mehr personenbezogene Daten, als für den Betrieb dieser Anwendung erforderlich ist. Wir geben Daten nur weiter, wenn dies zur Erfüllung unserer vertraglichen oder gesetzlichen Pflichten notwendig ist, und speichern Daten auf Servern in der EU, überwiegend in Deutschland.

Deine Daten sind dein Schatz, und wir gehen verantwortungsvoll mit ihnen um.

Verantwortlich für die Datenverarbeitung ist:

Pandi Spielshop GmbH & Co. KG
Boschstr. 12
76307 Karlsbad
E-Mail: info@yroute.de
Datenschutzbeauftragter: Dirk Schelling

Die App yRoute dient folgenden Zwecken:

• Anzeige von Firmenprofilen
• Verwaltung von Gutscheinen
• Anzeige von Veranstaltungen
• Betrieb eines Umfragesystems
• Warenwirtschaft und Kassensystem
• Marktplatzfunktion
• Entgegennahme und Veröffentlichung von Speisekarten und Tagesgerichten, die uns Unternehmen per WhatsApp senden

Wir verarbeiten insbesondere folgende personenbezogene Daten:

• Name
• Kontaktmöglichkeiten (z. B. E-Mail, Telefonnummer)
• Anschrift
• Standortdaten (nur zur Erfassung von Positionsangaben für Einträge/Unternehmen, z. B. Koordinaten eines Standorts/Eingangs; kein kontinuierliches Standort-Tracking)
• Unternehmensbezogene Daten
• Von dir hochgeladene Bilder (z. B. Profilbild, Fotos zu Tagebuch-Einträgen und Bewertungen, eingereichte Restaurantfotos)
• Inhalte, die du selbst anlegst (z. B. Tagebuch-Einträge, Bewertungen, Favoriten, persönliche Kalender und Termine, Support-Anfragen)
• Geräte- und Push-Kennungen, wenn du Benachrichtigungen aktivierst (Push-Token, Plattform)
• Inhalte von Nachrichten, die uns Unternehmen über WhatsApp senden (Texte sowie Fotos von Speisekarten), einschließlich der Absender-Telefonnummer
• Sonstige Daten, die für die jeweiligen Funktionen der App erforderlich sind

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist (z. B. Nutzung der App-Funktionen, Verwaltung von Kunden- und Nutzerkonten).
• Art. 6 Abs. 1 lit. f DSGVO, soweit wir ein berechtigtes Interesse an einer sicheren, stabilen und effizienten Bereitstellung unserer App und Dienste haben (z. B. Betrieb der Server, Auswertung technischer Logs, Missbrauchsverhinderung).
• Art. 6 Abs. 1 lit. a DSGVO, soweit Sie uns eine Einwilligung für bestimmte Verarbeitungen erteilen (z. B. optionale Funktionen, soweit genutzt). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Eine Weitergabe Ihrer Daten erfolgt nur in folgenden Fällen:

• Bei der Bezahlung von Produkten an den jeweiligen Zahlungsdienstleister (z. B. zur Durchführung von Zahlungen und Abwicklung von Kaufverträgen).
• Bei der Auslieferung von Produkten an den entsprechenden Versanddienstleister.
• An technische Dienstleister, die uns beim Betrieb der App und der zugrunde liegenden Infrastruktur unterstützen (siehe Abschnitt „Speicherung, Hosting und eingesetzte Dienstleister“).

• Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie es für die jeweiligen Zwecke der Verarbeitung erforderlich ist.
• Eine Löschung ist jederzeit möglich, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. handels- oder steuerrechtliche Pflichten) entgegenstehen.
• Standortdaten verarbeiten wir nur, wenn du beim Anlegen oder Bearbeiten eines Eintrags (z. B. eines Unternehmens) einen Standort festlegst, etwa um den Eingang zu markieren. Dabei kann die App deinen aktuellen Gerätestandort verwenden, um die Position vorzubelegen; ein kontinuierliches Tracking deines Aufenthalts findet nicht statt. Gespeichert werden ausschließlich die von dir bestätigten Koordinaten des jeweiligen Eintrags als Teil der unternehmensbezogenen Daten. Ein Standortverlauf wird nicht erstellt oder gespeichert.
• Nutzer können jederzeit Auskunft darüber erhalten, welche personenbezogenen Daten wir gespeichert haben und wie lange diese voraussichtlich gespeichert werden.

Konkrete Speicherdauern und was beim Löschen des Kontos geschieht:

• Kontodaten und selbst angelegte Inhalte (Profil, Tagebuch, Bewertungen, Favoriten, persönliche Kalender und Termine, Login-Tags, Geräte- und Push-Kennungen, Mitgliedschaften und Rollen): bis zur Löschung des Kontos. Beim Löschen werden sie entfernt, ebenso deine Anmeldung selbst.
• Deine Bilder: Profilbild sowie Fotos aus Tagebuch, Bewertungen und noch nicht freigegebenen Beiträgen werden beim Löschen des Kontos mit entfernt — nicht nur die Datenbankeinträge, sondern auch die Bilddateien. Ausnahme: Fotos, die du zu einem Restaurant beigesteuert hast und die wir freigegeben haben, bleiben Teil des jeweiligen Eintrags im Katalog; sie sind dann nicht mehr mit deinem Konto verknüpft.
• Support-Anfragen werden beim Löschen nicht gelöscht, sondern anonymisiert: Name und Kontaktdaten werden entfernt, der Vorgang selbst bleibt als Nachweis der Bearbeitung erhalten. Umfrage-Antworten bleiben ohne Personenbezug als anonyme Auswertung bestehen.
• Gutschein-Buchungen bleiben als Wertbelege unverändert bestehen; sie sind nachträglich nicht änderbar.
• Rechnungen sowie Kassen- und Kassensicherungsdaten (TSE) unterliegen gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB, GoBD) und werden für die Dauer dieser Fristen — in der Regel bis zu 10 Jahre — aufbewahrt. Sie können deshalb nicht vorzeitig gelöscht werden.
• Ist eine Löschung wegen solcher Aufbewahrungspflichten nicht möglich (typischerweise bei Konten mit Betriebsbezug), lehnen wir sie nicht einfach ab: Wir schränken stattdessen die Verarbeitung nach Art. 18 DSGVO ein. Die Daten werden dann nur noch zur Erfüllung der gesetzlichen Aufbewahrung vorgehalten und nicht mehr aktiv genutzt. Die Einschränkung wird an deinem Konto vermerkt und die Löschung nach Ablauf der Fristen nachgeholt.
• Nachrichten über WhatsApp werden automatisch 90 Tage nach Eingang gelöscht (siehe Abschnitt 9).
• Sicherungskopien und technische Protokolle: Eine Löschung wirkt sofort auf unseren aktiven Systemen. Sicherungskopien der Datenbank bewahren wir aus betrieblichen Gründen längerfristig auf; darin können gelöschte Daten weiterhin enthalten sein. Diese Kopien dienen ausschließlich der Wiederherstellung im Störungsfall und werden nicht für den laufenden Betrieb ausgewertet. Muss eine Sicherung eingespielt werden, führen wir zwischenzeitlich erfolgte Löschungen im Anschluss erneut aus. Technische Protokolldateien werden turnusmäßig überschrieben.

Für den technischen Betrieb der App und die Speicherung der Daten setzen wir externe Dienstleister ein:

• Hetzner Online GmbH: Die Server-Infrastruktur, über die die App und das Backend bereitgestellt werden, wird in Rechenzentren der Hetzner Online GmbH in Deutschland betrieben. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
• Datenbank (MongoDB) und Cache (Redis): Unsere Datenbank (MongoDB) sowie ein Cache (Redis) werden von uns selbst auf der oben genannten Hetzner-Infrastruktur in Deutschland betrieben. Eine Auslagerung der Datenbank an einen externen Datenbank-Dienstleister findet nicht statt.
• Keycloak (Authentifizierungsdienst): Für die Anmeldung und Verwaltung von Nutzerkonten (Identitäts- und Zugriffsverwaltung) nutzen wir die Software „Keycloak“, die wir selbst auf der oben genannten Hetzner-Infrastruktur in Deutschland betreiben. Dabei werden u. a. Anmeldedaten (z. B. E-Mail-Adresse, Name, technische Kennungen) verarbeitet.
• Meta Platforms Ireland Ltd. (WhatsApp Business Platform): Für den Empfang von Nachrichten über WhatsApp nutzen wir die WhatsApp Business Platform der Meta Platforms Ireland Ltd. Beim Versand und Empfang von WhatsApp-Nachrichten werden Daten (u. a. Telefonnummer und Nachrichteninhalte) über die Systeme von WhatsApp/Meta übertragen; insoweit gelten zusätzlich die Datenschutzbestimmungen von WhatsApp/Meta.
• Anthropic, Inc. (KI-gestützte Auswertung): Zur automatischen Auswertung und Strukturierung übermittelter Speisekarten (Texte und Fotos) setzen wir den KI-Dienst „Claude“ der Anthropic, Inc. ein. Die Verarbeitung kann dabei in den USA erfolgen; sie wird auf Grundlage geeigneter Garantien (insbesondere EU-Standardvertragsklauseln) abgesichert.
• Strato GmbH (E-Mail-Versand): Systemnachrichten wie Einladungen, Bestätigungen und dein persönlicher Datenexport werden über den Mailserver der Strato GmbH (Deutschland) versendet. Dabei werden Empfängeradresse, Betreff und Inhalt der Nachricht verarbeitet; beim Anbieter können Versandprotokolle für einen begrenzten Zeitraum anfallen.
• Google Ireland Ltd. (Push-Benachrichtigungen): Wenn du Benachrichtigungen aktivierst, werden Push-Nachrichten über Firebase Cloud Messaging zugestellt. Dabei werden die Geräte-Kennung (Push-Token) und der Nachrichteninhalt übertragen; eine Verarbeitung in Drittländern ist möglich und über geeignete Garantien abgesichert. Deaktivierst du Benachrichtigungen oder löschst dein Konto, entfernen wir die gespeicherten Push-Token.

Wir wählen die von uns eingesetzten Dienstleister sorgfältig aus und schließen mit ihnen – soweit erforderlich – Verträge über eine Auftragsverarbeitung gemäß Art. 28 DSGVO. Soweit Daten in Ausnahmefällen in Drittländer (insbesondere in die USA) übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien (z. B. EU-Standardvertragsklauseln) und zusätzlicher technischer und organisatorischer Maßnahmen.

Unternehmen (z. B. Restaurants) können uns über WhatsApp Speisekarten und Tagesgerichte als Text oder Foto senden. Wir verarbeiten dabei die Telefonnummer des Absenders sowie den Inhalt der Nachricht (Texte und Bilder).

• Übertragungsweg: Der Versand erfolgt über die WhatsApp Business Platform der Meta Platforms Ireland Ltd. (siehe Abschnitt 8). Zusätzlich gelten die Datenschutzbestimmungen von WhatsApp/Meta.
• Zweck: Entgegennahme, automatische (KI-gestützte) Auswertung und Veröffentlichung der übermittelten Speisekarten.
• KI-gestützte Auswertung: Zur Extraktion der Speisedaten werden die Inhalte an den KI-Dienst „Claude“ der Anthropic, Inc. übermittelt (siehe Abschnitt 8); die Verarbeitung kann in den USA erfolgen und ist über EU-Standardvertragsklauseln abgesichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der effizienten Pflege und Aktualisierung von Speisekarten).
• Registrierung und Abmeldung: Eine Telefonnummer wird einer Speisekarte über einen Kopplungs-Code zugeordnet. Die Verknüpfung kann jederzeit durch Senden des Wortes „logout“ beendet werden; die Nummer wird dann aus der Zuordnung entfernt.
• Speicherung: Eingegangene und versendete Nachrichten samt Bildern werden auf Servern in Deutschland (Hetzner) gespeichert und automatisch 90 Tage nach Eingang gelöscht. Diese Daten sind der Telefonnummer zugeordnet und nicht mit einem Nutzerkonto verknüpft; sie werden daher von einer Kontolöschung nicht erfasst. Eine frühere Löschung kannst du jederzeit unter info@yroute.de verlangen.

Als betroffene Person haben Sie folgende Rechte:

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO): Bereitstellung der Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format samt einer lesbaren Übersicht.
  Daten einsehen & anfordern
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
  Berichtigung senden
• Löschung der Daten, sofern keine gesetzlichen Verpflichtungen entgegenstehen (Art. 17 DSGVO). Vor dem endgültigen Schritt zeigen wir dir an, was gelöscht, was anonymisiert wird und was bestehen bleibt. Steht der Löschung eine gesetzliche Aufbewahrungspflicht entgegen, schränken wir die Verarbeitung stattdessen nach Art. 18 DSGVO ein (siehe Abschnitt 7).
  Löschen
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
  Einschränkung senden
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht.
  Widerspruch senden

„Daten einsehen & anfordern" sendet dir einen persönlichen Datenexport an die in deinem Konto hinterlegte E-Mail-Adresse: eine lesbare Übersicht (Auskunft, Art. 15) samt vollständiger JSON-Datei (Übertragbarkeit, Art. 20). „Löschen" führt zum Konto-Löschvorgang. Berichtigung, Einschränkung und Widerspruch werden als Anliegen an deinem Konto erfasst und von unserem Team bearbeitet. Für alle Vorgänge ist eine Anmeldung erforderlich.

Wir behalten uns das Recht vor, diese Datenschutzerklärung zu ändern, um sie an geänderte rechtliche oder technische Rahmenbedingungen anzupassen oder neue Dienste in der App zu berücksichtigen. Für Ihren erneuten Besuch gilt dann die jeweils aktuelle Fassung.

Stand: 16.08.2026