Zum Inhalt springen
HepticDemo buchen
Rechtliches

Datenschutzerklärung (Web-App)

Alles, was du über Datenschutz bei der Nutzung der Heptic-Anwendung wissen musst.

Fassung vom 17.10.2026

1. Datenschutz, Verantwortlicher und Geltungsbereich

Wir respektieren die Privatsphäre unserer Kunden und aller Interessenten. Wir halten uns an die geltenden Datenschutzgesetze. Dazu gehören insbesondere die Datenschutz-Grundverordnung der Europäischen Union („DSGVO“) und das österreichische Datenschutzgesetz (DSG).

Diese Datenschutzerklärung gilt für folgenden Service:

  • B2B-Web-App Heptic (app.heptic.de) mit Beschaffungs-Hub, Analytics und KI-Harness für Gastronomiebetriebe

Diese Datenschutzerklärung betrifft folgende Personengruppen:

  • Beschäftigte, Auftragnehmer und andere berechtigte Nutzer unserer Kunden (Betreiber)
  • Ansprechpartner von Lieferanten und anderen Geschäftspartnern, soweit ihre Daten auf Weisung des Kunden im Service verarbeitet werden

Soweit wir personenbezogene Daten im Auftrag unserer Kunden als Auftragsverarbeiter nach Art. 28 DSGVO verarbeiten, gilt zwischen Heptic und dem Kunden der Auftragsverarbeitungsvertrag (AVV). Diese Datenschutzerklärung beschreibt die Verarbeitungen, für die die Tapgo GmbH Verantwortlicher ist. Außerdem schafft sie Transparenz über die Umgebung des Service.

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten im Rahmen dieser Datenschutzerklärung ist:

Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
FN 661744 d, Handelsgericht Wien
E-Mail: benedikt@heptic.de

Im Folgenden erklären wir dir:

  • zu welchem Zweck personenbezogene Daten erhoben und verarbeitet werden;
  • welche Kategorien personenbezogener Daten betroffen sind;
  • auf welcher Rechtsgrundlage wir personenbezogene Daten verarbeiten;
  • welche Dritten als Auftragsverarbeiter beteiligt sind;
  • an welche Dritten personenbezogene Daten übermittelt werden;
  • weitere Informationen, darunter Speicherdauer, Betroffenenrechte und weitere Hinweise zum Verständnis der beschriebenen Verarbeitung.

2. Rollen: Verantwortlicher und Auftragsverarbeiter

2.1 Kunde als Verantwortlicher

Nutzt ein Kundenunternehmen Heptic, um geschäftliche Inhalte zu speichern und zu verarbeiten, ist in der Regel der Kunde Verantwortlicher für diese Inhalte. Beispiele sind Lieferantenkontakte, Rechnungsdokumente mit Namen, E-Mail-Adressen von Mitarbeitenden, Lieferadressen oder Nutzerkonten seiner Beschäftigten. Heptic verarbeitet diese Daten als Auftragsverarbeiter nach dem AVV.

2.2 Heptic als Verantwortlicher

Heptic ist insbesondere Verantwortlicher für:

  • die Verwaltung von Konten und die Authentifizierung von Nutzer-Logins;
  • die Abrechnung und Verwaltung von Abonnements;
  • die Produktsicherheit, die Missbrauchsprävention und die Zuverlässigkeit des Service;
  • die direkte Kommunikation mit Nutzern über den Service;
  • die Produkt- und Nutzeranalyse (Telemetrie) zur Nutzung des Service;
  • interne Vertriebs-, Customer-Success- und B2B-Marketingaktivitäten;
  • die Erstellung k-anonymer bzw. aggregierter Kohorten-Benchmarks (als eigenständiger Verantwortlicher bzw. nach Anonymisierung, wie unten beschrieben);
  • anonymisierte Marktsignale für Produzenten und, nur nach Freigabe einer Verbindung durch den Kunden, identifizierbare Verbindungen zu Produzenten;
  • die Verbesserung des Service und der Modelle auf Grundlage aggregierter, anonymisierter oder (wo nötig) pseudonymisierter Signale.

3. Zwecke der Verarbeitung in der Heptic-Web-App

3.1 Hosting und Infrastruktur der App

Wir betreiben den Service auf der Google Cloud Platform in der Europäischen Union (Region europe-west3, Frankfurt am Main, Deutschland).

Verarbeitete Daten

  • Technische Informationen wie die IP-Adresse
  • Geräte- und Browserinformationen
  • Anwendungslogs und technische Daten zu Fehlern
  • Nutzungsverhalten, soweit es für Fehleranalyse und Sicherheit relevant ist

Rechtsgrundlage

  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO
  • Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (sicherer und zuverlässiger Betrieb des Service)

Unsere Auftragsverarbeiter

  • Google Cloud EMEA Limited / Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Cloud Platform mit Cloud Run, Cloud SQL, Cloud Storage, BigQuery, Cloud Scheduler, Cloud Build, Secret Manager und verwandten Google-Cloud-Diensten)

Weitere Informationen

  • Ort der primären Verarbeitung für Produktiv-Workloads ist die Europäische Union (europe-west3).
  • Unser berechtigtes Interesse ist die Bereitstellung, Sicherheit und der Betrieb des Service.

3.2 Bereitstellung des angebotenen Service

Über unsere Anwendung erbringen wir folgende Leistung:

  • Einrichtung und Betrieb einer B2B-Plattform für Beschaffung und Analyse in der Gastronomie (Lieferanten- und Artikelstammdaten, Erfassung von Rechnungen mit OCR-Prüfung, Zuordnungen, Analysen und KI-gestützte Workflows)

Verarbeitete Daten (je nach Kontext als Verantwortlicher und/oder Auftragsverarbeiter)

  • Konto- und Profildaten (Name, E-Mail-Adresse, Organisationszugehörigkeit, Rollen)
  • Authentifizierungsdaten (Zugangsdaten, Sitzungstoken, Passkeys, Metadaten zu Einmalcodes und Magic Links)
  • Geschäftliche Inhalte, die im Service hochgeladen oder erzeugt werden (Rechnungen, Lieferantendaten, Artikeldaten, Konfigurationen, Chat-Eingaben und KI-Vorschläge)
  • Technische Zugriffs- und Protokolldaten

Rechtsgrundlage (Verarbeitung als Verantwortlicher)

  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO
  • Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Produktsicherheit und Support)

Unsere Auftragsverarbeiter

  • Google Cloud EMEA Limited / Google Ireland Limited (wie oben), einschließlich Vertex AI Gemini in europe-west3 für KI-Funktionen
  • Resend, Inc., 301 Howard Street, Suite 600, San Francisco, CA 94105, USA (Versand transaktionaler E-Mails über mail.heptic.de)

Weitere Informationen

  • Die KI-Modellinferenz für Produktfunktionen ist so konfiguriert, dass sie in der EU-Region europe-west3 läuft.
  • Bitte übermittle über Freitextfelder oder Dokumenten-Uploads nicht absichtlich besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), sofern dafür keine gesonderte Vereinbarung mit dem Kundenunternehmen besteht. Zu den besonderen Kategorien gehören zum Beispiel:
    • Rassische oder ethnische Herkunft
    • Politische Meinungen
    • Religiöse oder weltanschauliche Überzeugungen
    • Gewerkschaftszugehörigkeit
    • Genetische Daten
    • Biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person
    • Gesundheitsdaten
    • Daten zum Sexualleben oder zur sexuellen Orientierung einer natürlichen Person

3.3 Kundenregistrierung und Nutzerverwaltung

Verarbeitete Daten

  • Identifikationsdaten
  • Kontaktdaten
  • Authentifizierungsdaten
  • Zugehörigkeit zu Organisationen und Rollen

Rechtsgrundlage

  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO

Unsere Auftragsverarbeiter

  • Google Cloud EMEA Limited / Google Ireland Limited
  • Resend, Inc. (Einladungs- und Authentifizierungs-E-Mails)

Weitere Informationen

  • Region des Rechenzentrums, in dem der Service gehostet wird: EU (europe-west3).

3.4 Zahlungsabwicklung und Rechnungsstellung

Für Abonnementzahlungen nutzen wir Stripe über dessen europäische Gesellschaft.

Verarbeitete Daten

  • Zahlungsdaten (vorrangig durch Stripe als eigenständigen Verantwortlichen bzw. Zahlungsdienstleister verarbeitet)
  • Rechnungs- und Abrechnungsdaten
  • Technische Informationen
  • Cookies und ähnliche Technologien im Checkout, soweit zutreffend

Rechtsgrundlage

  • Erfüllung einer rechtlichen Verpflichtung nach Art. 6 Abs. 1 lit. c DSGVO
  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO
  • Für Übermittlungen, soweit relevant, das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln

Unsere Auftragsverarbeiter bzw. Zahlungspartner

  • Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland

Weitere Informationen

3.5 Fehlererkennung, Sicherheit sowie Produkt- und Nutzeranalyse

Verarbeitete Daten

  • Technische Daten zu Fehlern
  • Anwendungslogs
  • Nutzungsereignisse im Produkt (Nutzung von Funktionen, Navigationsabläufe, Leistungszeiten, Engagement auf Organisationsebene)
  • Kennungen authentifizierter Nutzer und Organisationen, soweit nötig, um Ereignisse zuzuordnen
  • Signale zur Sicherheit und Missbrauchsprävention

Rechtsgrundlage

  • Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO
  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO, soweit Analysen nötig sind, um einen sicheren und funktionierenden Service zu erbringen
  • Soweit optionale, nicht notwendige Messwerkzeuge eingesetzt werden, Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO

Unsere Auftragsverarbeiter

  • Google Cloud EMEA Limited / Google Ireland Limited
  • Etwaige Unterauftragsverarbeiter für Produktanalyse, die in der jeweils aktuellen Anlage B des AVV aufgeführt sind

Weitere Informationen

  • Unser berechtigtes Interesse ist es, Fehler zu erkennen und zu beheben, den Service abzusichern, die Produktnutzung zu verstehen sowie Zuverlässigkeit und Bedienbarkeit zu verbessern.
  • Wir verkaufen keine Nutzeranalysen. Detaillierte Rechnungsinhalte verwenden wir nicht als Telemetrie-Daten.

3.6 Kohorten-Benchmarks und Vergleichskennzahlen

Zweck

Wir berechnen aggregierte Statistiken über mehrere Kundenorganisationen hinweg (zum Beispiel durchschnittliche Preise in EUR/kg für eine Warengruppe innerhalb einer regionalen Kohorte). Diese Statistiken zeigen wir anderen Kunden im Service. Die Daten eines Kunden können eine Verteilung beeinflussen, ohne als Daten dieses Kunden angezeigt zu werden.

Verarbeitete Daten

  • Geschäfts- und Beschaffungsdaten, die in Aggregate einfließen (Preise, Mengen, Warengruppen, grobe Angaben zu Region und Segment)
  • Kennungen von Organisationen, die nur in der Berechnung verwendet werden, um k-Anonymität durchzusetzen, und danach aus den veröffentlichten Ergebnissen entfernt werden

Rechtsgrundlage (soweit vor der Anonymisierung noch personenbezogene Daten betroffen sind)

  • Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung von Vergleichswerten als Kernbestandteil des B2B-Service)
  • Vertragliche Lizenz im SaaS-Vertrag (AGB, Punkt 4.17.1)

Weitere Informationen

  • Veröffentlichte Ergebnisse sind als anonyme Statistiken angelegt (k-Anonymitäts-Schwelle für beitragende Organisationen; Unterdrückung von Zellen, wenn Schwellen nicht erreicht werden).
  • Rohe Rechnungen und Einkaufspositionen mit Kundennamen geben wir nicht an andere Kunden weiter.
  • Kunden können dem Einbezug ihrer Daten in Kohorten widersprechen, wie im SaaS-Vertrag geregelt.

3.7 Services für Lieferanten und Produzenten

Zweck

Wir können Services für Lieferanten, Produzenten und Großhändler anbieten.

Phase A (Standard): nur anonymisierte oder aggregierte Marktsignale, die keinen Gastronomiekunden, seine Standorte oder natürliche Personen identifizieren.

Phase B (Opt-in): Verbindet sich ein Gastronomiekunde im Produkt mit einem Produzenten, können wir identifizierbare Geschäftsdaten mit diesem Produzenten teilen, soweit dies für Bestellungen, Produzentenanalysen und Kundenanalysen für diese Geschäftsbeziehung nötig ist.

Verarbeitete Daten

  • Phase A: aggregierte bzw. anonymisierte Statistiken zu Warengruppen, Preisen und Nachfrage
  • Phase B (nur nach Verbindung): Identität der verbundenen Kundenorganisation sowie die mit der Verbindung vereinbarten Lieferanten-, Artikel- und Bestellanalysen

Rechtsgrundlage

  • Phase A: berechtigtes Interesse bzw. vertragliche Lizenz nach Anonymisierung; Art. 6 Abs. 1 lit. f DSGVO nur, solange vor der Anonymisierung noch personenbezogene Daten vorliegen
  • Phase B: Art. 6 Abs. 1 lit. b DSGVO (vom Kunden angeforderte Schritte) und/oder Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, soweit die Verbindungsoberfläche als Einwilligung gestaltet ist. Der verbindende Kunde autorisiert die Offenlegung gegenüber dem gewählten Produzenten.

Weitere Informationen

  • Die Weitergabe in Phase B gilt jeweils für einen bestimmten Produzenten und ist im Service mit Wirkung für die Zukunft widerrufbar.

3.8 Interner Vertrieb, Customer Success und Marketing

Zweck

Betrieb von B2B-Vertrieb, Onboarding, Customer Success, Ausbau bestehender Kundenbeziehungen und Marketing.

Verarbeitete Daten

  • Geschäftliche Kontaktdaten von Vertretern des Kunden
  • Konto- und Abrechnungsmetadaten
  • Organisationsprofil (Region, Anzahl der Standorte, Tarif)
  • Aggregierte Nutzungs- und Adoptionskennzahlen sowie Support-Historie
  • Bandbreiten des Einkaufsvolumens (keine vollständigen Rechnungsinhalte)

Rechtsgrundlage

  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO für Kontoverwaltung und Service-Kommunikation
  • Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO für B2B-CRM, Customer Success und relevantes Produktmarketing an bestehende Kundenkontakte
  • Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, soweit für elektronisches Marketing nach ePrivacy-Recht bzw. nationalen Vorschriften erforderlich

Weitere Informationen

  • Du kannst der Direktwerbung jederzeit widersprechen.
  • Rechnungsbilder und detaillierte Lieferantenpreislisten verwenden wir nicht für Werbemittel.

3.9 Kundensupport und betriebliche Kommunikation

Verarbeitete Daten

  • Identifikations- und Kontaktdaten
  • Inhalt von Supportanfragen
  • Technische Diagnoseinformationen, die du uns gibst

Rechtsgrundlage

  • (Vor)vertragliche Pflichten nach Art. 6 Abs. 1 lit. b DSGVO
  • Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO

Weitere Informationen

  • Unser berechtigtes Interesse ist es, Fragen zu beantworten und Störungen zu beheben.

4. Kategorien personenbezogener Daten (Überblick)

Je nach Nutzung des Service können folgende Kategorien verarbeitet werden:

  • Identifikationsdaten (Name, Nutzerkennung innerhalb der Organisation)
  • Kontaktdaten (E-Mail-Adresse, Telefonnummer, falls angegeben)
  • Authentifizierungs- und Sicherheitsdaten
  • Beruflicher Kontext (Rolle, Zugehörigkeit zu Standort oder Organisation)
  • Geschäftsdokumente, die nebenbei personenbezogene Daten enthalten können (zum Beispiel Namen von Lieferantenkontakten auf Rechnungen)
  • Technische Daten (IP-Adresse, Gerät, Logs)
  • Kommunikationsinhalte (Supportanfragen, In-App-Nachrichten)

5. Empfänger und Übermittlungen

Personenbezogene Daten werden offengelegt gegenüber:

  • den in dieser Datenschutzerklärung und in der Anlage des AVV genannten Auftragsverarbeitern (Unterauftragsverarbeitern) auf Grundlage von Verträgen nach Art. 28 DSGVO;
  • Behörden, soweit wir gesetzlich dazu verpflichtet sind;
  • zur Verschwiegenheit verpflichteten Beratern (Recht, Steuern, Prüfung), soweit nötig.

Übermittlungen in Drittländer außerhalb des EWR erfolgen nur, wenn ein Angemessenheitsbeschluss besteht oder geeignete Garantien (insbesondere EU-Standardvertragsklauseln) vorliegen, bei Bedarf mit ergänzenden Maßnahmen.

Die primäre Produktivverarbeitung der Heptic-Anwendung findet in der Europäischen Union statt (Google Cloud europe-west3). Bestimmte Anbieter für Support oder E-Mail-Versand können Daten unter geeigneten Übermittlungsgarantien in den USA verarbeiten.

6. Speicherdauer

  • Konto- und Vertragsdaten speichern wir für die Dauer der Vertragsbeziehung und danach für die gesetzlichen Aufbewahrungsfristen für Handels- und Steuerunterlagen (nach österreichischem Recht in der Regel bis zu sieben oder zehn Jahre, je nach Anwendungsfall).
  • Anwendungs- und Sicherheitslogs speichern wir für einen begrenzten Zeitraum, der für Sicherheit und Fehlersuche nötig ist (in der Regel bis zu 90 Tage, sofern nicht eine Untersuchung eines Vorfalls einen längeren Zeitraum erfordert).
  • Kundeninhalte, die wir als Auftragsverarbeiter verarbeiten, speichern wir nach den Weisungen des Kunden und dem AVV. Nach Vertragsende werden sie innerhalb der im AVV bzw. SaaS-Vertrag genannten Fristen gelöscht oder zurückgegeben (Exportfenster, danach Löschung).
  • Sicherungskopien löschen wir rollierend entsprechend unseren Richtlinien zur Aufbewahrung von Backups.

7. Deine Rechte

Nach der DSGVO hast du unter den gesetzlichen Voraussetzungen folgende Rechte:

  • Recht auf Auskunft (Art. 15 DSGVO)
  • Recht auf Berichtigung (Art. 16 DSGVO)
  • Recht auf Löschung (Art. 17 DSGVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
  • Recht auf Widerspruch (Art. 21 DSGVO)
  • Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO), soweit die Verarbeitung auf einer Einwilligung beruht

Um deine Rechte gegenüber Heptic als Verantwortlichem auszuüben, schreib uns an benedikt@heptic.de. Verarbeiten wir deine Daten, weil dein Arbeitgeber oder eine andere Organisation Heptic-Kunde ist, wende dich bitte zuerst an diese Organisation. Wir unterstützen sie als Auftragsverarbeiter.

Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren. Für die Tapgo GmbH zuständig ist:

Österreichische Datenschutzbehörde
Barichgasse 40 bis 42
1030 Wien
Österreich
www.dsb.gv.at

8. Keine automatisierte Entscheidung mit Rechtswirkung

Der Service kann KI-gestützte Vorschläge machen (zum Beispiel Zuordnungen von Rechnungen oder betriebliche Empfehlungen). Diese Vorschläge sind keine automatisierte Entscheidung mit Rechtswirkung gegenüber dir im Sinne von Art. 22 DSGVO. Betriebliche Bestätigungen bleiben bei den menschlichen Bedienern der Kundenorganisation.

9. Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen ein. Dazu gehören Verschlüsselung bei der Übertragung, Zugriffskontrollen, Administration nach dem Prinzip der minimalen Rechte, Protokollierung und Hosting der zentralen Produktivsysteme in der EU. Einzelheiten zu den Maßnahmen für unsere Tätigkeit als Auftragsverarbeiter stehen im AVV.

10. Änderungen

Wir können diese Datenschutzerklärung von Zeit zu Zeit anpassen. Das Fassungsdatum zeigt die aktuelle Version. Über wesentliche Änderungen informieren wir in geeigneter Weise (zum Beispiel per E-Mail oder im Produkt).

11. Kontakt

Tapgo GmbH
Hillerstraße 7/32
1020 Wien
Österreich
E-Mail: benedikt@heptic.de

Weitere Dokumente