Ein Restaurant, das auf seiner eigenen Software läuft

Alsafi ist ein familiengeführtes irakisch-levantinisches Restaurant in der Hertzstraße in Heidelberg. Vorher hieß Bestellen: ein Lieferportal. Eine Provision auf jeden Teller, eine Kundenbeziehung, die jemand anderem gehörte, und eine Küche, die Bons aus einem System las, das dort niemand ausgesucht hatte.

Jetzt laufen sie auf ihrem eigenen.

Was „das Ganze“ tatsächlich heißt

Eine Codebasis trägt vier verschiedene Aufgaben, und bei jeder sitzt eine andere Person auf der anderen Seite.

• Der Gast, der überlegt, ob er kommt. Karte, Mittagstisch, Geschichte, Öffnungszeiten und Bewertungen, zuerst fürs Telefon, denn so prüfen Menschen, ob ein Restaurant den Weg wert ist.
• Der Gast, der bestellt. Eine Strecke mit Zusatzoptionen und Vorschlägen, Kasse, Stripe-Zahlung, Trinkgeld und Live-Verfolgung mit echter Zeitschätzung. Das ist der Weg des Geldes, und er ist gebaut, um Unsicherheit zu nehmen, nicht um den Warenkorb zu maximieren.
• Der Gast mit einem Konto. Selten genutzt, viel daran gelegen: rein, holen, raus.
• Die Leute, die den Service fahren. Sechsundsechzig Personalbildschirme, ein Küchendisplay, das aus Entfernung und unter Zeitdruck gelesen wird, und die Druckflächen, die die Fläche wirklich benutzt.

Es installiert sich aus dem Browser auf ein Telefon, ein Tablet, einen Mac, einen Windows-PC oder einen Linux-Desktop. Eine Codebasis, kein App-Store, keine getrennten Builds, die man im Gleichschritt halten muss.

Die Karte ist eine Datenbank, kein PDF

Einhundertdrei Gerichte liegen in fünfzehn Kategorien, jedes mit eigenen Varianten und Preisen und eigenen Optionsgruppen für die Entscheidungen, die ein Gast tatsächlich trifft — die Größe, die Beilage, die Garstufe. Die Küche pflegt das alles. Niemand zeichnet ein Dokument neu.

Unter jedem Gericht liegt der Teil, der das deutsche Recht interessiert. Vierzehn EU-geregelte Allergene und sechzehn Zusatzstoffkennzeichnungen werden je Gericht erfasst statt je Karte, geprüft gegen dieselbe Matrix, aus der die Küche kocht, statt gegen ein PDF, das niemand zu aktualisieren erinnert. Ein Gast kann ein Allergen ausblenden oder die ganze Karte auf vegan, vegetarisch oder halal eingrenzen, bevor er bestellt statt danach.

Der Mittagstisch läuft in eigenem Rhythmus, mit eigenen Gerichten und eigener Woche. Ein ausverkauftes Gericht verschwindet mit einem Tippen von der Karte und kommt zurück, sobald es wieder da ist — der Gast sieht es, die Kasse sieht es, und niemand muss daran denken, es dem anderen zu sagen.

Bestellen, bezahlen, und wissen, wo die Bestellung ist

Die Lieferung ist als Zonen gezeichnet, nicht als Radius, denn eine Straße ist entweder ein Ort, an dem das Essen heiß ankommt, oder nicht. Abholung ist eine erste Option, kein Notbehelf. Ein wiederkehrender Gast behält seine Adressen; ein Erstbesteller wird nicht gezwungen, ein Konto anzulegen, um zu essen, und kann die Bestellung hinterher in eines übernehmen, wenn er die Historie will.

Bezahlt wird mit Stripe, Trinkgeld als eigene Zeile statt in die Summe eingefaltet. Sobald die Bestellung drin ist, bekommt der Gast einen Live-Status mit echter Schätzung und — wenn er es erlaubt — eine Push-Nachricht, sobald die Küche ihn ändert, damit niemand eine Seite neu lädt, um herauszufinden, ob das Essen kommt.

Erstattungen sind der Teil, der beim ersten Mal stimmen muss. Eine Erstattungszeile wird geschrieben, bevor Stripe gerufen wird, und ihre eigene ID ist der Idempotenzschlüssel, damit ein erneuter Versuch, ein Doppelklick oder eine abgerissene Verbindung dieselbe Bestellung nicht zweimal erstatten kann. Die erstattete Summe der Bestellung wird aus diesen Zeilen abgeleitet, statt irgendwo eingetippt zu werden.

Der Raum, so wie er wirklich ist

Der Grundriss steckt im System: zwei Häuser, einundzwanzig Bereiche, dreihundertdreiundfünfzig Tische. Reservierungen landen auf echten Tischen statt auf einer abstrakten Kapazität, und das ist der Unterschied zwischen einem Reservierungssystem und einer Tabelle mit einem hübscheren Formular.

Die Fläche und die Menschen darauf

Terminals koppeln sich an das System, statt dadurch Vertrauen zu genießen, dass sie im Netz sind — die Kasse, die Kellnertelefone und der Küchenbildschirm halten je einen Gerätetoken, und Kopplungscodes und Token liegen als Hashes, die kein Client zurücklesen kann. Das Personal meldet sich mit einer PIN an, bcrypt-gehasht, mit Sperre nach wiederholten Fehlversuchen — denn eine Kasse im laufenden Service ist die am wenigsten private Tastatur im Haus.

Rollen sind echt. Ein Inhaberkonto und ein Servicekonto sind nicht dieselbe Tür, und das Küchendisplay zeigt Bons in einer Größe, die man quer über eine heiße Linie lesen kann, statt eines auf Passform geschrumpften Dashboards.

Arbeitszeiten, geführt, wie das Gesetz es will

Der Dienstplan trennt den Entwurf der Leitung von dem, was dem Team tatsächlich mitgeteilt wurde, sodass eine Schicht entweder veröffentlicht ist oder nicht. Daneben steht die Arbeitszeitaufzeichnung, die das Arbeitszeitgesetz verlangt: Beginn, Ende, Dauer und Pause, zwei Jahre aufbewahrt.

Korrekturen sind der interessante Teil. Eine Zeit zu ändern überschreibt sie nicht — das Original bleibt neben dem neuen Wert stehen, mit Urheber und Grund. Eine Aufzeichnung, die sich still umschreiben lässt, ist keine Aufzeichnung, und ein Prüfer weiß das.

Der Teil, den die meisten Agenturen stillschweigend auslassen

Deutschland lässt ein Restaurant nicht einfach Geld annehmen. Jeder Vorgang muss von einer zertifizierten technischen Sicherheitseinrichtung signiert werden, und die Finanzverwaltung kann einen DSFinV-K-Export über zehn Jahre Geschäftstätigkeit verlangen.

Das ist eingebaut. Die Plattform spricht mit einem BSI-zertifizierten TSE-Anbieter, setzt das fiskalische Schema aus der ausgelieferten Spezifikation zusammen statt aus dem Gedächtnis, und exportiert das vollständige DSFinV-K-Bündel auf Verlangen — mit einem Protokoll darüber, wer welchen Zeitraum wann exportiert hat, samt Hash dessen, was genau herausgegeben wurde.

Der Rest des fiskalischen Bildes ist da, weil ein Betriebsprüfer danach fragen wird. Jeder Tag schließt in einen Kassenabschluss, die Z-Nummer, zu der jeder Vorgang im System gehört. Bargeldbewegungen, die keine Umsätze sind — Wechselgeld zu Beginn, Einlagen, Entnahmen, Transit, gezählte Differenzen, Trinkgeld, Pfand, Gutscheine — werden als eigene Art von Ereignis erfasst, statt in den Umsatz geschmuggelt zu werden. Und wenn die TSE selbst ausfällt, wird der Ausfall mit Zeit und Ursache protokolliert und auf jedem währenddessen ausgegebenen Beleg vermerkt, was genau das ist, was der AEAO verlangt, und genau das, woran niemand beim Bauen denkt.

Ein signierter Umsatz lässt sich ein Jahrzehnt lang nicht löschen, also ist der Code, der einen erzeugt, so geschrieben, dass ein Prüfer ihn lesen kann — nicht nur so, dass er einen Test besteht.

Dieselbe Arbeit machen wir in Ägypten für die Fakturierung der ägyptischen Steuerbehörde und in Saudi-Arabien für ZATCA. Die Länder unterscheiden sich; die Disziplin nicht.

Sprechen Sie mit uns über einen Bau, bei dem Compliance zählt

Nichts passiert mit einer Bestellung ohne einen Namen daran

Jede Bestellung trägt ein Ereignisprotokoll, an das nur angehängt wird, und die Ereignisse werden nicht von dem geschrieben, der gerade die Verbindung hält. Jedes hält fest, wer gehandelt hat, in welcher Rolle, von welcher Oberfläche und warum — eine Statusänderung vom Küchenbildschirm, eine Änderung aus dem Büro, eine Erstattung mit angehängtem Grund.

Die Bestelltabelle selbst ist für die Verwaltungsoberfläche nur lesbar. Jeder Schreibvorgang läuft über eine Serverfunktion, denn nur die können feststellen, wer handelt. Ein direkter Schreibvorgang auf die Tabelle würde als „das System war es“ protokolliert, und „das System war es“ ist keine Antwort, die man einem Betriebsprüfer geben möchte.

Das eigene Marketing des Restaurants, in eigener Hand

Die Inhalte der Website — Aufmacher, Textblöcke, Galerie, Veranstaltungen — werden in derselben Verwaltung gepflegt wie alles andere und dann als Auftrag veröffentlicht statt live geändert, damit ein halbfertiger Satz nie eine Aktualisierung von einem Gast entfernt ist.

Drumherum sitzt alles, was ein Restaurant sonst mietet: ein Blog, Stellenanzeigen mit Bewerbungen, Gästefeedback, Support-Anfragen und nachverfolgbare Kurzlinks für Druck und QR, damit ein Flyer von einer Tischkarte zu unterscheiden ist. Googles eigene Bewertungen laufen in dieselbe Verwaltung, in der die fiskalischen Exporte liegen. Ein wöchentlicher Newsletter wird aus den tatsächlichen Mittagsangeboten dieser Woche zusammengesetzt statt aus dem Nichts geschrieben, mit Double-Opt-in, Abmeldung per Klick und einem Versandprotokoll.

Gäste, die einen Menschen wollen, bekommen einen: Live-Chat mit Tippanzeige und Sprachnachrichten, geführt als Gespräch statt als Ticket.

Auswertungen, die die Gäste nicht verkaufen

Das Restaurant sieht, wie der heutige Tag aussah — Umsatz, Bestellungen, durchschnittlicher Bestellwert, welches Gericht die meiste Aufmerksamkeit bekommt, welche Stunden in der eigenen Zeitzone voll sind, woher die Besuche kommen und wo aus einem Besuch etwas wird.

Nichts davon ist bei Dritten eingekauft, und nichts davon folgt jemandem. Eindeutige Besucher werden mit kurzlebigen, gesalzenen Hashes gezählt, die nach zwei Tagen gelöscht werden; Länder kommen von der Edge statt von einem Tracker. Keine Schriften, Symbole oder Skripte werden von fremden Servern geholt. Das ist eine Entscheidung für DSGVO und Content Security, bevor es eine für die Geschwindigkeit ist, und sie bedeutet, dass ein Gast, der eine Karte liest, nicht nebenbei einem Werbenetz vorgestellt wird.

Das Dashboard zieht auch seine eigene Linie sorgfältig: Es zählt Bestellungen zur Planung und sagt das ausdrücklich, denn die rechtlich verbindliche Zahl steht im Z-Bericht, nicht hier.

Dreisprachig, und Arabisch richtig

Deutsch ist maßgeblich. Englisch und Arabisch werden für jede einzelne Zeichenkette ausgeliefert, und Arabisch läuft vollständig von rechts nach links: gespiegeltes Layout, logische Eigenschaften, ein eigener Schriftsatz. Nicht am Ende angeschraubt — und genau das ist der Unterschied zwischen einer Seite, die eine arabischsprachige Person benutzen kann, und einer, die sie nur lesen kann.

Nichts gilt als fertig, bevor es in Hell und Dunkel hält, von links nach rechts und von rechts nach links, und vom 375-Pixel-Telefon bis zum Desktop.

Gebaut, um geprüft zu werden

Vierhundertsechsundsechzig Testdateien. Barrierefreiheit mit automatisierten Prüfungen belegt statt nach Augenmaß. WCAG AA als Vorgabe statt als Absicht, mit 44 Pixel großen Berührungszielen und durchgängig beachteter Bewegungsreduktion.

Was es kostet, das nicht selbst zu besitzen

Ein Lieferportal kann eine Karte kopieren. Es kann die Gastfreundschaft der Familie nicht kopieren, und es wird die Kundenbeziehung nicht zurückgeben. Jede Entscheidung in diesem Bau wurde an einer Frage gemessen: Hätte ein Marktplatz es so gemacht? Wo die Antwort ja lautete, haben wir etwas anderes getan.