Rechtliches

Datenschutzerklärung

Diese Erklärung gilt für die Website orderkick.com und für die Software OrderKick, mit der Restaurants Bestellungen und Reservierungen annehmen. Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb, die Sicherheit, die Erfüllung unserer Verträge und die Bearbeitung deiner Anfrage erforderlich ist. Analysedienste von Google bzw. Microsoft laden wir auf der Website nur, wenn du ihnen im Datenschutz-Dialog zustimmst; ohne Einwilligung zählen wir Seitenaufrufe nur in Tagessummen auf unserem eigenen Server. Es gibt kein Werbetracking, keine Social-Media-Plugins und keine Schriften von Drittanbietern. Auf Formularseiten verwenden wir den unten beschriebenen Sicherheitsdienst Cloudflare Turnstile. Wenn du bei einem Restaurant online bezahlst, lädt die Bestellseite das Skript des Zahlungsdienstes Stripe (Abschnitt 8). Stand: 20. Oktober 2026.

1. Verantwortlicher

N.Kilinc Werbetechnik, Inh. Necmettin Kilinc
Im Rudert 4, 35043 Marburg
E-Mail: info@orderkick.com
Telefon: 0172 7852428
Telefon: 0160 7594313

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und nicht benannt. Für alle Fragen zum Datenschutz erreichst du uns unter den oben genannten Kontaktdaten.

Wir sind verantwortlich für die Website, für die Konten von Restaurants und Partnern und für die Sicherheit der Plattform. Für die Daten, die Gäste bei einer Bestellung oder Reservierung eingeben, ist das jeweilige Restaurant verantwortlich; wir verarbeiten sie in dessen Auftrag (Abschnitt 8).

2. Bereitstellung der Website und Hosting

Die Website, die Software OrderKick und die zugehörige Datenbank werden bei der DigitalOcean, LLC, 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA, in einem Rechenzentrum in Frankfurt am Main betrieben. DigitalOcean verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Für einen etwaigen Zugriff aus den USA stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 zum EU-U.S. Data Privacy Framework, unter dem DigitalOcean zertifiziert ist; fällt diese Grundlage weg, gelten die EU-Standardvertragsklauseln des Auftragsverarbeitungsvertrags.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO) und, soweit Restaurants die Software nutzen, die Erfüllung unserer Verträge.

3. Server-Logdateien

Beim Aufruf der Website speichert unser Server automatisch Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Statuscode, übertragene Datenmenge, zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem. Die Daten dienen der Auslieferung der Website, der Fehlersuche und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Zugriffsprotokolle werden nach 14 Tagen gelöscht. Anwendungsprotokolle enthalten keine Formularinhalte und werden in ihrer Größe begrenzt und laufend überschrieben. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

3a. Reichweitenmessung ohne zusätzliche Cookies

Um zu verstehen, welche Inhalte unserer Website genutzt werden und welche zu Anfragen führen, zählen wir Aufrufe auf unserem eigenen Server in Tagessummen: aufgerufene Seite (als Seitenkategorie), Herkunft des Besuchs als Kategorie (z. B. Suchmaschine, direkter Aufruf, E-Mail oder eine Kampagne aus dem aufgerufenen Link), Gerätetyp (Desktop, Smartphone oder Tablet) und Sprache. Damit eine Seite je Besuch nur einmal zählt, merken wir uns diese Kategorien für die Dauer des Besuchs in der ohnehin bestehenden Sitzung (Abschnitt 4); zusätzliche Cookies oder Speicherungen in deinem Browser entstehen dadurch nicht. Lehnt unser Server eine Anfrage über das Kontaktformular ab (etwa wegen einer unvollständigen Eingabe oder der Sicherheitsprüfung), zählen wir ebenso nur das Thema der Anfrage, den Grund und die Namen der betroffenen Felder – nie deine Eingaben. In der Datenbank landen nur Zähler je Tag – keine IP-Adressen, Browserkennungen, Sitzungskennungen oder vollständigen Adressen.

Sendest du uns eine Anfrage oder registrierst du dich, speichern wir dazu dieselben Kategorien sowie die verweisende Website (nur deren Domain), die Einstiegsseite, die Zahl der aufgerufenen Seiten und den Beginn des Besuchs. So erkennen wir, welche Kanäle und Inhalte zu Anfragen führen. Diese Angaben werden mit der Anfrage gelöscht. Besuche angemeldeter Personen, Besuche aus unserem Team und automatisierte Abrufe zählen wir nicht. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung und Weiterentwicklung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Sendet dein Browser das Signal „Global Privacy Control“, zählen wir deinen Besuch nicht; im Übrigen kannst du jederzeit widersprechen (Abschnitt 15).

4. Cookies und lokaler Speicher

Wir setzen ausschließlich technisch notwendige Cookies: ein Sitzungscookie und ein Sicherheitstoken zum Schutz von Formularen vor missbräuchlichen Anfragen (CSRF-Schutz). Im Login-Bereich speichern wir zusätzlich die gewählte Sprache im lokalen Speicher deines Browsers. Diese Speicherungen sind für die von dir gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO. Sitzungscookies werden mit dem Ende der Sitzung gelöscht. Eine Einwilligung ist hierfür nicht erforderlich. Analyse-Cookies setzen wir nur mit deiner Einwilligung (Abschnitte 4a bis 4c). Deine Auswahl im Datenschutz-Dialog speichern wir für zwölf Monate im lokalen Speicher deines Browsers, damit wir dich nicht bei jedem Aufruf erneut fragen; danach fragen wir erneut.

4a. Statistik mit Google Analytics 4 (nur mit Einwilligung)

Wenn du der Kategorie „Statistik“ zustimmst, nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google setzt dann Cookies (_ga, _ga_*, Speicherdauer bei uns 13 Monate) mit einer zufälligen Kennung und verarbeitet: aufgerufene Seiten, die verweisende Seite, Kampagnenangaben aus dem Link, Klicks auf Schaltflächen und Links, Scrolltiefe, Formularschritte (nur dass ein Formular begonnen, abgesendet oder abgebrochen wurde und welche Felder betroffen waren – nie deine Eingaben), Gerät, Browser, Betriebssystem, Bildschirmgröße sowie den ungefähren Standort (Land, Region, Stadt), den Google aus der IP-Adresse ableitet. Google speichert nach eigenen Angaben keine IP-Adressen von Nutzern in der EU. Google-Signale, Werbefunktionen und personalisierte Werbung sind deaktiviert; die Einwilligung für Werbezwecke bleibt im Consent Mode stets abgelehnt. Ereignisdaten werden nach 14 Monaten gelöscht.

Google verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO). Eine Übermittlung an die Google LLC in den USA ist möglich; sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework, unter dem Google zertifiziert ist, und ergänzend auf EU-Standardvertragsklauseln. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: Datenschutzerklärung von Google.

4b. Nutzungsanalyse mit Microsoft Clarity (nur mit Einwilligung)

Wenn du der Kategorie „Nutzungsanalyse“ zustimmst, nutzen wir Microsoft Clarity der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA. Clarity erstellt Klick- und Scroll-Heatmaps und zeichnet die Nutzung unserer Seiten auf (Mausbewegungen, Klicks, Scrollen, Seitenaufbau), um Bedienprobleme wie wiederholte Klicks oder Abbrüche zu erkennen. Dabei setzt Clarity Cookies (_clck für bis zu 12 Monate, _clsk für einen Tag) und verarbeitet Gerät, Browser, Bildschirmgröße und den aus der IP-Adresse abgeleiteten ungefähren Standort. Formulare, Eingabefelder und unsere Anfragebestätigung werden bereits in deinem Browser verdeckt und nicht übertragen; Texteingaben zeichnen wir nicht auf. Aufzeichnungen werden nach Angaben von Microsoft in der Regel nach 30 Tagen gelöscht, von uns markierte Aufzeichnungen und Heatmap-Daten spätestens nach 13 Monaten.

Microsoft speichert die Daten in den USA und nutzt sie nach seinen Nutzungsbedingungen auch für eigene Zwecke, etwa zur Verbesserung seiner Produkte und für Werbung; insoweit ist Microsoft selbst verantwortlich. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, unter dem Microsoft zertifiziert ist. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: Datenschutzerklärung von Microsoft.

4c. Einwilligung ändern oder widerrufen

Du kannst deine Auswahl jederzeit über den Datenschutz-Button unten links, über „Datenschutz-Einstellungen“ im Seitenfuß jeder Website-Seite oder direkt über diesen Link ändern. Dort findest du auch die eingesetzten Dienste mit Anbieter, Zweck, Speicherdauer und Rechtsgrundlage sowie eine Übersicht deiner Rechte. Ein Widerruf wirkt für die Zukunft: Wir entfernen die Cookies der Dienste auf unserer Domain und laden die Dienste nicht mehr. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Sendet dein Browser das Signal „Global Privacy Control“, behandeln wir das als Ablehnung und zeigen den Dialog nicht von selbst an.

5. Anfrage- und Wartelistenformular

Wenn du uns über das Formular eine Anfrage sendest oder dich auf die Warteliste zum Start von OrderKick setzt, verarbeiten wir die von dir eingegebenen Angaben: Name, Restaurant bzw. Unternehmen, E-Mail-Adresse, Thema, Art des Betriebs und – falls angegeben – deine Nachricht. Wir verwenden die Daten ausschließlich, um deine Anfrage zu bearbeiten und dich zum Start von OrderKick bzw. zu deinem Anliegen zu kontaktieren. Eine Newsletter-Anmeldung findet nicht statt. Setzt du dich auf die Warteliste, senden wir dir eine E-Mail mit einem Bestätigungslink; erst nach deiner Bestätigung merken wir dich für die Nachricht zum Start vor. Zum Start von OrderKick senden wir bestätigten Einträgen einmalig eine E-Mail mit dem Link zur Registrierung. Rechtsgrundlage für diese E-Mails ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst. Bei einer anderen Anfrage kannst du zusätzlich das Häkchen „Zum Start benachrichtigen“ setzen; es ist voreingestellt aus. Dann legen wir zusätzlich einen eigenen Wartelisten-Eintrag mit denselben Angaben an, der wie ein Eintrag über das Wartelistenformular behandelt wird. Ohne Häkchen erhältst du zum Start keine E-Mail.

Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen kurzzeitig anhand technischer Merkmale der Verbindung; diese Zähler werden nach wenigen Minuten automatisch verworfen.

Die Anfragen werden in unserer Datenbank gespeichert. Über neue Anfragen werden berechtigte Mitarbeitende per E-Mail benachrichtigt; dafür nutzen wir unseren E-Mail-Dienstleister als Auftragsverarbeiter. Abgeschlossene Anfragen und Wartelisten-Einträge werden spätestens 180 Tage nach Abschluss anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen oder sich aus der Anfrage ein Vertragsverhältnis ergibt. Wartelisten-Einträge anonymisieren wir spätestens 180 Tage nach dem Start von OrderKick, auch wenn sie nicht abgeschlossen sind. Du kannst deinen Wartelisten-Eintrag jederzeit per E-Mail an uns zurückziehen oder dich über den Abmeldelink in unseren E-Mails abmelden.

Die Angabe der mit * gekennzeichneten Felder ist erforderlich, um deine Anfrage zu bearbeiten. Ohne sie können wir dir nicht antworten; eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

5a. Schutz vor automatisierten Anfragen: Cloudflare Turnstile

Auf Seiten mit aktiviertem Anfrageformular laden wir Cloudflare Turnstile von Cloudflare, Inc., USA. Der Dienst unterscheidet menschliche Besucher von automatisierten Anfragen. Dabei verarbeitet Cloudflare technische Signale wie IP-Adresse, TLS-Verbindungsmerkmale, Browserkennung sowie den Website-Schlüssel und die zugehörige Herkunftsadresse. Unsere Formularinhalte – etwa Name, E-Mail-Adresse und Nachricht – senden wir nicht an die CAPTCHA-Prüfung. Unser Server übermittelt ausschließlich den kurzlebigen Prüftoken und den geheimen Website-Schlüssel zur Verifikation; wir speichern den Prüftoken nicht dauerhaft.

Wir setzen die Prüfung aufgrund unseres berechtigten Interesses am Schutz des Formulars vor Spam und Missbrauch ein (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare verarbeitet die technischen Signale für den Schutz unserer Website als Auftragsverarbeiter und für die Verbesserung seiner Bot-Erkennung auch in eigener Verantwortung. Eine Verarbeitung außerhalb der EU ist möglich; sie stützt sich auf das Data Privacy Framework bzw. die Standardvertragsklauseln. Weitere Angaben zu dieser Verarbeitung und den Schutzmaßnahmen findest du in den Turnstile-Datenschutzhinweisen von Cloudflare. Die Funktion zur Vorabfreigabe weiterer Sicherheitsprüfungen (Pre-clearance) ist deaktiviert.

6. Kontakt per E-Mail oder Telefon

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Angaben zur Bearbeitung des Anliegens (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Wir löschen die Daten, sobald sie hierfür nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

6a. Kontakt über WhatsApp

Du kannst uns auch über WhatsApp schreiben (WhatsApp Business, +49 172 7852428). Auf unserer Website ist dafür nur ein Link gesetzt: Erst wenn du ihn anklickst, öffnet sich WhatsApp mit einem vorausgefüllten Begrüßungstext, und gesendet wird erst, wenn du die Nachricht selbst abschickst. Vorher werden keine Daten an WhatsApp übertragen.

Schreibst du uns über WhatsApp, verarbeiten wir deine Telefonnummer, deinen WhatsApp-Profilnamen, je nach deinen Einstellungen dein Profilbild sowie Inhalt und Zeitpunkt der Nachrichten, um dein Anliegen zu bearbeiten. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse, Anfragen über den von dir gewählten Kontaktweg zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Unterhaltung, sobald dein Anliegen erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen. Bitte sende uns über WhatsApp keine Passwörter, Gast- oder Zahlungsdaten.

Anbieter von WhatsApp ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. WhatsApp verarbeitet bei der Nutzung des Dienstes Daten in eigener Verantwortung, etwa deine Telefonnummer, Geräte- und Verbindungsdaten sowie Zeitpunkt und Häufigkeit der Kommunikation. Eine Übermittlung an die WhatsApp LLC und die Meta Platforms, Inc. in den USA ist möglich; sie stützt sich nach Angaben von WhatsApp auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework, unter dem beide Unternehmen zertifiziert sind. Weitere Informationen: Datenschutzrichtlinie von WhatsApp. Wenn du WhatsApp nicht nutzen möchtest, erreichst du uns ebenso per E-Mail oder über das Anfrageformular.

7. Konten von Restaurants und Partnern

Dieser Abschnitt betrifft dich, wenn du für ein Restaurant oder als Partner ein Konto bei OrderKick anlegst oder nutzt, auch als Mitarbeiterin oder Mitarbeiter eines Restaurants. Für diese Daten sind wir verantwortlich. Die Daten der Gäste, die bei einem Restaurant bestellen, behandelt Abschnitt 8.

Registrierung und Vertrag

Bei der Registrierung verarbeiten wir Kontotyp und Tarif, Namen des Unternehmens und des Restaurants, Anschrift, Telefonnummer und E-Mail-Adresse des Restaurants sowie Name, E-Mail-Adresse und Passwort der Inhaberin oder des Inhabers. Das Passwort speichern wir nur als kryptografischen Hashwert. Mit dem Häkchen bei der Registrierung bestätigst du unsere AGB und unseren Auftragsverarbeitungsvertrag; wir speichern, welche Fassung du wann bestätigt hast (ohne IP-Adresse), um den Vertragsschluss nachweisen zu können. Außerdem bestätigst du gesondert, dass du als Unternehmer handelst; auch diese Bestätigung speichern wir mit Zeitpunkt (ohne IP-Adresse). Zusätzlich speichern wir, über welchen Kanal du zu uns gekommen bist (z. B. Suchmaschine oder Kampagne, verweisende Domain, Einstiegsseite, Gerätetyp, Zahl der besuchten Seiten), um unser Angebot und unsere Kanäle auszuwerten. Rechtsgrundlage ist der Vertrag bzw. seine Anbahnung (Art. 6 Abs. 1 lit. b DSGVO), für den Nachweis der Bestätigung und für die Herkunftsangaben unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Laden wir dich als Pilotkunden ein, erhältst du einen persönlichen Einladungslink. Für die Einladung speichern wir nur Hashwerte (HMAC/SHA-256) deiner E-Mail-Adresse und des Links, die Gültigkeit und den Stand (offen, eingelöst, widerrufen oder abgelaufen); nach der Einlösung ist die Einladung mit deinem Konto verknüpft. Beendete Einladungen löschen wir 30 Tage nach ihrem Ende. Rechtsgrundlage ist die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung, Zwei-Faktor-Anmeldung und Sicherheitsprotokoll

Für die Anmeldung verarbeiten wir E-Mail-Adresse, Passwort-Hash, Rolle und Rechte sowie, wenn eine Zwei-Faktor-Anmeldung eingerichtet ist, ein verschlüsselt gespeichertes Geheimnis und Wiederherstellungscodes. Zum Schutz vor Missbrauch und zur Nachvollziehbarkeit protokollieren wir Anmeldungen und Anmeldeversuche mit IP-Adresse, Browserangaben und Zeitpunkt sowie Änderungen, die im Restaurantbereich oder über eine Bestell-App vorgenommen werden. Bei Änderungen speichern wir die betroffenen Felder und nicht personenbezogene Werte; Zahlungs-, Kontakt- und Gastdaten sowie Passwörter und Zugangsschlüssel werden dabei geschwärzt. Rechtsgrundlage ist unser berechtigtes Interesse an Sicherheit und Nachvollziehbarkeit (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen sie, sobald sie für diese Zwecke nicht mehr erforderlich sind und keine Aufbewahrungspflichten bestehen; Protokolle zu Rechnungen, Buchhaltungsexporten und zur Kontoprüfung folgen den Aufbewahrungsfristen unten (Abschnitt 11). Im Browser angemeldeter Mitarbeitender von OrderKick setzen wir zusätzlich ein Cookie (ok_internal, 400 Tage), damit Besuche aus unserem Team nicht in die Reichweitenmessung einfließen.

Im Restaurantbereich speichert dein Browser außerdem die gewählte Sprache und Einstellungen der Darstellung und der Bestellannahme (z. B. Darstellungsmodus, Ton, automatischer Druck, Schriftgröße) im lokalen Speicher. Das ist für die von dir gewünschten Funktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Partner

Partner legen Restaurants und deren Inhaberkonten an und rechnen sie über ihr Partnerkonto ab. Dabei verarbeiten wir die Angaben, die der Partner zum Restaurant und zur Inhaberin oder zum Inhaber eingibt. Der Partner ist dafür verantwortlich, dass er dazu befugt ist und die Betroffenen über die Anlage des Kontos informiert; unsere Bedingungen dafür stehen in den AGB.

Prüfung der Unternehmensangaben

Bevor ein Restaurant für Gäste freigeschaltet wird, prüfen wir die Angaben zum Unternehmen: Firma, Rechtsform, Anschrift, Kontaktdaten, Registernummer und Steuer-Identifikationsnummern, außerdem den Prüfstatus, die prüfende Person und – bei Ablehnung – die Begründung. Wir laden dafür keine Ausweisdokumente hoch. Rechtsgrundlage sind der Vertrag (Art. 6 Abs. 1 lit. b DSGVO), unsere gesetzlichen Pflichten, soweit die Angaben auf Rechnungen und Belegen stehen (Art. 6 Abs. 1 lit. c DSGVO), und unser berechtigtes Interesse an korrekten Rechnungen und an der Verhinderung von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Wir bewahren die Prüfnachweise so lange auf, wie gesetzliche Aufbewahrungspflichten bestehen oder die Nachweise zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

Abonnement, Testphase und Abrechnung

Das Abonnement rechnen wir über Stripe ab (Abschnitt 10). Kartendaten und Rechnungsanschrift gibst du direkt bei Stripe ein; wir erhalten nur Kunden- und Abonnementkennungen, den Status und die Zeiträume. Die Rechnungen stellt Stripe für uns aus. Stripe verarbeitet die Daten teils in unserem Auftrag, teils in eigener Verantwortung, etwa zur Betrugsbekämpfung und zur Erfüllung eigener gesetzlicher Pflichten. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und, für Rechnungen und Buchführung, unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

Auszahlungskonto bei Stripe

Damit Gäste online bezahlen können, verbindet das Restaurant ein eigenes Konto bei Stripe mit OrderKick. Dafür schließt das Restaurant einen Vertrag direkt mit Stripe; Stripe führt die Identitätsprüfung auf eigenen Seiten und in eigener Verantwortung durch. Wir übermitteln an Stripe E-Mail-Adresse, Land und unsere Kennung des Restaurants und erhalten die Kontenkennung sowie den Hinweis, ob Zahlungen und Auszahlungen freigeschaltet sind. Ausweisdokumente und Kontonummern erhalten wir nicht. Die Gästezahlungen gehen direkt an das Stripe-Konto des Restaurants.

Buchhaltung und Rechnungen

Für Rechnungen, Exporte und E-Rechnungen speichern wir auf Wunsch des Restaurants Beraternummer, Mandantennummer, IBAN, BIC und Kontoinhaber. Die Dateien lädt das Restaurant herunter; wir übertragen sie nicht an Dritte.

Support

Wenn du uns über das Support-Portal oder per E-Mail kontaktierst, verarbeiten wir Name, E-Mail-Adresse, Betreff, Nachrichten und, falls Anhänge aktiviert sind, deine Dateien. E-Mails an unsere Support-Adressen gehen in unseren Postfächern bei mailbox.org ein und werden über den E-Mail-Eingang von Amazon Web Services in unser Ticketsystem übernommen; bei Amazon liegen sie nur kurz zwischen. Rechtsgrundlage ist der Vertrag bzw. die Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer wirksamen Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO). Unsere Support-Fälle löschen wir, wenn sie abgeschlossen sind und keine Aufbewahrungspflichten oder offenen Ansprüche bestehen. Wir setzen im Support derzeit keine KI-Dienste ein, die Support-Texte verarbeiten.

Speisekarte, Import und Liefergebiete

Die Speisekarte pflegt das Restaurant selbst. Auf Wunsch des Restaurants importieren wir eine Speisekarte aus GloriaFood: Der Server sendet dann den Menüschlüssel, den das Restaurant eingibt, an den Betreiber von GloriaFood und liest das Menü des Restaurants; den Schlüssel speichern wir nicht. Für Liefergebiete übermitteln wir die Anschrift des Restaurants an den Geocoding-Dienst der OpenCage GmbH (Abschnitt 10); im Liefergebiet-Editor lädt dein Browser außerdem Kartenkacheln von OpenStreetMap, wobei die Foundation deine IP-Adresse erhält. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

Vertragsende und Löschung

Endet der Vertrag, sperren wir das Konto und die Zugänge. Auf Verlangen stellen wir dir nach dem Ende noch mindestens 30 Tage lang einen Export deiner Daten bereit (AGB, Anbieterwechsel). Bei Restaurants, die ihren Vertrag direkt mit uns haben, anonymisieren wir 90 Tage nach dem Ende die Zugänge (Name, E-Mail-Adresse, Passwort, Zwei-Faktor-Daten, Zugriffsschlüssel), die Kontaktdaten des Unternehmens und die Stammdaten der Standorte (Name, Anschrift, Telefonnummer, E-Mail-Adresse, Koordinaten, Adresse der Bestellseite, Logo und Bilder). Bei Partnern und von Partnern betreuten Restaurants tun wir das auf Verlangen in Textform, spätestens sobald wir die Daten für den Vertrag nicht mehr brauchen und keine Aufbewahrungspflicht besteht. Die vom Restaurant eingegebenen Inhalte (Speisekarte, Öffnungszeiten, Liefergebiete, Gutscheine, Einstellungen, hinterlegte Rechtstexte) löschen wir nach dem Abrufzeitraum innerhalb von 30 Tagen; personenbezogene Angaben von Gästen in Bestellungen und Reservierungen anonymisieren wir nach den Fristen in Abschnitt 11. Nicht gelöscht werden Daten, die wir nach Handels- und Steuerrecht (HGB, AO) aufbewahren müssen, insbesondere Rechnungen und Belege, und Daten, die bereits ohne Personenbezug anonymisiert sind, insbesondere Positionen und Beträge von Bestellungen. Rechnungen, Belege und sonstige Unterlagen, die wir aufbewahren müssen, bleiben bis zum Ende ihrer Aufbewahrungsfrist erhalten (Abschnitt 11).

8. Bestellungen und Reservierungen bei Restaurants (Gäste)

Wer verantwortlich ist

Wenn du bei einem Restaurant über OrderKick bestellst oder reservierst, ist das Restaurant für deine Daten verantwortlich. Name und Kontaktdaten des Restaurants findest du auf der Bestellseite und im Bestellvorgang. OrderKick verarbeitet deine Daten in dessen Auftrag (Art. 28 DSGVO) und nur nach seinen Weisungen. Für die technische Sicherheit der Plattform, etwa Zugriffsprotokolle und Missbrauchsabwehr, sind wir selbst verantwortlich. Fragen und Anträge zu deinen Bestelldaten richtest du an das Restaurant; erreichen sie uns, leiten wir sie an das Restaurant weiter. Die Datenschutzhinweise des Restaurants findest du im Bestellvorgang. Hat ein Restaurant keine eigenen hinterlegt, verweist der Bestellvorgang auf diese Erklärung, soweit sie die Verarbeitung durch die Plattform beschreibt.

Deine Bestellung

Verarbeitet werden Name und Telefonnummer, optional deine E-Mail-Adresse, bei Lieferung die Lieferanschrift, deine Notiz an das Restaurant, die bestellten Positionen, Zahlart, Zeitpunkt, Trinkgeld und ein Gutscheincode. Bitte trage in die Notiz keine Angaben zu deiner Gesundheit ein, die nicht nötig sind; Hinweise zu Allergien sind für das Restaurant gedacht, und es entscheidet, wie es sie verwendet. Das Restaurant erhält die Angaben im Dashboard, in der Bestell-App, auf dem Bon, per E-Mail und, falls angebunden, in seinem Kassensystem; es kann sie außerdem exportieren. Hast du eine E-Mail-Adresse angegeben, bekommst du eine Bestätigung und Statusmeldungen mit einem Statuslink, der 30 Tage gilt; Absender ist OrderKick im Auftrag des Restaurants. Der Versand läuft über unseren E-Mail-Dienstleister (Abschnitt 10). Rechtsgrundlage für das Restaurant ist die Durchführung des Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO). Ohne Name und Telefonnummer kann das Restaurant deine Bestellung nicht bearbeiten.

Lieferanschrift

Um Liefergebiet und Liefergebühr zu bestimmen, sendet unser Server die Lieferanschrift (Straße, Postleitzahl, Ort) ohne deine IP-Adresse an den Geocoding-Dienst der OpenCage GmbH, Berlin, und speichert nur die zurückgegebenen Koordinaten. OpenCage verarbeitet die Anschrift in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) in Rechenzentren in Deutschland und Finnland; wir fordern OpenCage mit jeder Anfrage auf, sie nicht zu protokollieren. Koordinaten gleicher Anschriften speichern wir bis zu 1 Tag unter einem Schlüsselwert (HMAC) der Anschrift und ohne den Anschriftstext, damit wir nicht erneut anfragen müssen; danach verwenden wir sie nicht mehr und löschen sie spätestens eine Stunde später. Die Prüfung der Anschrift sendet dein Browser per POST, die Anschrift steht deshalb nicht in der Adresszeile oder in unseren Zugriffsprotokollen.

Online-Zahlung mit Stripe

Zahlst du online, gibst du deine Zahlungsdaten direkt bei Stripe ein; sie erreichen weder das Restaurant noch uns. Die Zahlung geht an das Stripe-Konto des Restaurants; wir erhalten Betrag, Zahlungsstatus und die Zahlungskennung. Stripe Payments Europe, Ltd. ist für die Zahlungsabwicklung, die Betrugsprävention und die Erfüllung eigener rechtlicher Pflichten selbst verantwortlich. Das Skript von Stripe lädt dein Browser erst, wenn du Stripe als Zahlart wählst oder eine Anzahlung zahlst, nicht schon beim Öffnen der Bestellseite. Stripe kann dabei Cookies (nach Angaben von Stripe __stripe_mid für ein Jahr, __stripe_sid für 30 Minuten und m für zwei Jahre) setzen und Geräteinformationen zur Betrugsprävention erheben; ohne diese ist eine sichere Kartenzahlung nicht möglich, und sie werden erst durch deine Wahl der Online-Zahlung ausgelöst (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Informationen: Datenschutzerklärung von Stripe. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Gutscheine und Stammkunden

Damit Gutscheine für Neu- oder Stammkunden und Treueaktionen funktionieren, bildet die Software aus deiner Telefonnummer je Restaurant einen pseudonymisierten Schlüsselwert und speichert dazu Zahl, Umsatz und Datum deiner Bestellungen bei diesem Restaurant. Das geschieht für jede Bestellung mit Telefonnummer, auch wenn du keinen Gutschein nutzt. Wir löschen diese Angaben 400 Tage nach deiner letzten Bestellung bei dem Restaurant. Rechtsgrundlage für das Restaurant ist sein berechtigtes Interesse an Kundenbindung (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem Restaurant gegenüber widersprechen (Abschnitt 15).

Auswertung für das Restaurant

Auf der Bestellseite zählen wir, wie oft Speisekarte, Warenkorb und die Bestellschritte aufgerufen werden. Dazu sendet die Seite je Seitenaufruf und Stufe höchstens eine Zählanfrage an unseren Server, die nur die Stufe nennt und keine Kennung enthält; im Browser wird dafür nichts gespeichert, und es gibt keine Zufallskennung. Der Server erhöht je Restaurant, Stufe und Stunde einen Zähler, der keine IP-Adresse und keine Kennung enthält (die Zugriffsprotokolle des Servers, Abschnitt 3, bleiben davon unberührt). Die Zähler löschen wir nach 400 Tagen. Kommt es zur Bestellung, speichert die Bestellung, über welchen Link und welchen QR-Code die Seite geöffnet wurde und in welcher Sprache; die Aufrufe vor der Bestellung werden ihr nicht zugeordnet. Analysedienste von Drittanbietern und Werbetracking gibt es auf Bestellseiten nicht. Das Restaurant sieht daraus nur Zahlen, keine Einzelpersonen. Rechtsgrundlage ist das berechtigte Interesse des Restaurants an der Auswertung seines Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Cookies, lokaler Speicher und Bilder

Die Bestellseite setzt ein Sitzungscookie und ein Sicherheitstoken (CSRF-Schutz); zur Sitzung speichern wir IP-Adresse und Browserangaben, die Sitzung endet nach 120 Minuten ohne Aktivität. Sprache und das Ausblenden des Hinweises zur Gäste-App merkt sich dein Browser im lokalen Speicher. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO. Bilder der Speisekarte kann das Restaurant von eigenen oder fremden Anbietern einbinden; dein Browser ruft sie dann direkt dort ab, und der Anbieter erhält deine IP-Adresse.

Bestellstatus

Die Statusseite deiner Bestellung erreichst du nur über den Statuslink, der dir nach der Bestellung angezeigt und, falls du eine E-Mail-Adresse angegeben hast, geschickt wird. Er ist 30 Tage gültig; danach liefert er nichts mehr. Das Restaurant kann auf der Statusseite einen Link zu seiner Google-Bewertung einblenden; erst wenn du ihn anklickst, wirst du zu Google weitergeleitet, vorher werden keine Daten an Google übertragen.

Reservierungen

Für Tischreservierungen verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, Notiz, Personenzahl und Zeit; bei einer Anzahlung läuft die Zahlung über Stripe (siehe oben). Reservierungsdaten anonymisieren wir 90 Tage nach dem Termin, sobald keine Erstattung mehr offen ist. Rechtsgrundlage für das Restaurant ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Rechnungen

Verlangst du eine Rechnung, verarbeitet das Restaurant Name, Anschrift, E-Mail-Adresse und gegebenenfalls Steuer-ID und bewahrt sie so lange auf, wie das Steuer- und Handelsrecht es vorschreibt (Art. 6 Abs. 1 lit. c DSGVO).

Speicherdauer bei Bestellungen

Personenbezogene Angaben einer Bestellung (Name, Kontaktdaten, Anschrift, Koordinaten, Notizen) anonymisieren wir 90 Tage nach ihrem Eingang. Positionen, Beträge, Zahlungskennung und Gutscheinnutzung bleiben für Abrechnung, Steuer und Auswertungen ohne Personenbezug erhalten. Rechnungen, Exporte, die das Restaurant selbst erstellt hat, und Protokolle folgen eigenen Fristen (Abschnitt 11).

9. Apps

Gäste-App (installierbare Web-App)

Die Gäste-App ist die Bestellseite eines Restaurants, die du auf deinem Startbildschirm installieren kannst. Sie braucht kein Konto, und die installierbare Web-App sendet keine Benachrichtigungen. Dein Browser speichert nur eine Offline-Seite, damit eine Meldung erscheint, wenn du keine Verbindung hast. Es gilt Abschnitt 8.

Bestellannahme-App „OrderKick Bestellannahme“

Mit der App, dem Windows-Programm oder dem Browser nehmen Restaurants auf einem Tablet, Smartphone oder Computer Bestellungen und Reservierungsanfragen an. Sie richten sich an Inhaberinnen und Inhaber und Mitarbeitende eines Restaurants; ein Konto legst du auf orderkick.com an. Bei der Anmeldung überträgt die App E-Mail-Adresse und Passwort verschlüsselt an unseren Server und speichert das Passwort nicht. Das Gerät erhält einen eigenen Geräteschlüssel, der es an einen Standort bindet. In der App liegt er im Schlüsselspeicher des Betriebssystems; im Browser an einem Arbeitsplatz liegt er im lokalen Speicher (localStorage) des Browsers, bis du dich abmeldest oder der Schlüssel gesperrt wird. Deshalb sollte ein Browser-Arbeitsplatz nur berechtigten Personen zugänglich sein. Solange die App geöffnet ist, meldet sie sich regelmäßig bei unserem Server und übermittelt Gerätename, App-Kanal, Funktionen des Geräts (z. B. Druck), ob Benachrichtigungen erlaubt sind und den Status des Bondruckers; wir speichern außerdem den Zeitpunkt der letzten Verbindung und die zuletzt genutzte IP-Adresse des Geräts. Die Verbindungshistorie löschen wir nach 180 Tagen. Die App zeigt die Bestellungen deines Restaurants einschließlich der Gastdaten; wir verarbeiten sie im Auftrag des Restaurants (Abschnitt 8). Den Bon sendet die App direkt an den Drucker im lokalen Netz des Restaurants; diese Daten gehen nicht über unseren Server. Bei einer neuen Bestellung zeigt die App eine Benachrichtigung ohne Gastdaten. Die App nutzt kein Mikrofon, keine Kamera und keine Standortdaten und enthält keine Werbung und keine Analyse- oder Absturzwerkzeuge von Drittanbietern. Auf dem Gerät speichert sie Einstellungen, eine zufällige Installationskennung und die Druckerkonfiguration; Meldest du dich ab, deaktiviert unser Server den Geräteschlüssel sofort. Rechtsgrundlage ist der Vertrag mit dem Restaurant (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Beziehst du die App über Google Play, verarbeitet Google eigene Daten in eigener Verantwortung.

10. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein. Soweit nicht anders angegeben, verarbeiten sie Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Dienste, die nur mit einer bestimmten Funktion oder auf Wunsch eines Restaurants zum Einsatz kommen, sind entsprechend gekennzeichnet. Die vollständige Liste der Unterauftragsverarbeiter für unsere Kunden steht in der Anlage zum Auftragsverarbeitungsvertrag.

Für die Website (Abschnitte 2 bis 6a) erhalten personenbezogene Daten nur die oben genannten Dienstleister (Hosting und Datenbank, E-Mail-Versand für interne Benachrichtigungen, WhatsApp, sofern du uns darüber schreibst, Sicherheitsprüfung durch Cloudflare Turnstile, mit deiner Einwilligung Google (Google Analytics 4), mit deiner Einwilligung Microsoft (Clarity)). Darüber hinaus erhält Daten das jeweilige Restaurant (Abschnitt 8) und, soweit gesetzlich vorgeschrieben, Behörden. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

11. Speicherdauer im Überblick

12. Übermittlung in Drittländer

Wir speichern Daten in der Europäischen Union (Frankfurt am Main). Soweit einer unserer Dienstleister Daten in die USA oder ein anderes Land außerhalb der EU übermitteln kann, geschieht das auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework, wenn der Anbieter dort zertifiziert ist, im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), und ergänzt um Schutzmaßnahmen wie die Verschlüsselung der Daten. Für das Vereinigte Königreich gilt der Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2025/2574, gültig bis 27. Dezember 2031). Bei Better Stack und Apple verlassen wir uns nicht auf das Data Privacy Framework, sondern auf die Standardvertragsklauseln bzw. die eigenen Bedingungen des Anbieters. Eine Kopie der Garantien kannst du bei uns anfordern.

13. Datensicherheit

Die Verbindung zur Website und zu den Apps ist per TLS verschlüsselt. Zugänge zu Verwaltung und Servern sind auf berechtigte Personen beschränkt und durch Zwei-Faktor-Anmeldung bzw. kryptografische Schlüssel geschützt; Zugangsdaten zu Zahlungsanbietern und ähnlich sensible Angaben speichern wir zusätzlich verschlüsselt. Die Daten verschiedener Restaurants sind technisch voneinander getrennt. Wir erstellen täglich Datensicherungen, verschlüsseln sie vor dem Speichern (AES-256) und bewahren sie lokal 14 Tage und in einer externen Kopie in der EU auf. Stellen wir eine Sicherung wieder her, wiederholen wir vor dem Weiterbetrieb die Lösch- und Anonymisierungsläufe. Weitere Maßnahmen beschreibt die Anlage zum Auftragsverarbeitungsvertrag.

14. Externe Links

Unsere Website verweist auf Websites anderer Anbieter (z. B. von Bestellplattformen, die wir vergleichen). Erst wenn du einem solchen Link folgst, werden Daten an den jeweiligen Anbieter übertragen; für dessen Verarbeitung ist dieser selbst verantwortlich.

15. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine Nachricht an die oben genannte E-Mail-Adresse genügt. Betrifft dein Anliegen eine Bestellung oder Reservierung, wende dich bitte an das Restaurant; es kann Auskunft und Löschung selbst in seinem Bereich erledigen. Erreicht uns dein Anliegen, leiten wir es weiter und unterstützen das Restaurant dabei. Nenne uns dazu bitte das Restaurant und, wenn du sie hast, die Bestellnummer.

Widerspruchsrecht: Soweit wir oder ein Restaurant Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, es liegen zwingende schutzwürdige Gründe vor oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerruf einer Einwilligung: Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wilhelmstraße 7, 65185 Wiesbaden, datenschutz.hessen.de. Du kannst dich auch an die Aufsichtsbehörde an deinem Wohnort wenden.

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

17. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, die Software oder die eingesetzten Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.