Datenschutz

Stand: November 2026

1. Verantwortlicher

Einen Datenschutzbeauftragten müssen wir nicht benennen. Fragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Wofür diese Erklärung gilt

Ordry ist eine Software, mit der Restaurants einen eigenen Bestellshop betreiben. Diese Erklärung beschreibt, welche Daten wir als Ordry verarbeiten: auf dieser Website, bei der Einrichtung eines Shops, in den Konten der Restaurants (Manager, Küche, Bestell-Terminal), im Vertriebsportal, im Ordry-Kundenkonto und in der Ordry-App.

Bestellungen in einem Restaurant-Shop verantwortet das jeweilige Restaurant. Wir verarbeiten diese Daten nur in seinem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO, Vertrag mit jedem Restaurant). Was dabei mit Ihren Daten geschieht, steht in der Datenschutzerklärung des jeweiligen Shops.

3. Besuch der Website

Hosting

Die Website und alle Ordry-Anwendungen werden über Google Firebase ausgeliefert (siehe Abschnitt 15). Beim Aufruf verarbeitet Google technisch notwendige Zugriffsdaten wie Ihre IP-Adresse, Zeitpunkt, aufgerufene Seite und Browserangaben, um die Seite auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und funktionierender Betrieb.

Keine Analyse, keine Werbung

Wir setzen keine Analyse- oder Werbedienste ein. Schriften, Symbole und Programmbibliotheken liefern wir von unserem eigenen Server aus; dabei werden keine Daten an weitere Anbieter übermittelt.

Einwilligungsverwaltung (Cookiebot)

Zur Verwaltung von Einwilligungen nutzen wir Cookiebot (Usercentrics A/S, Kopenhagen, Dänemark). Dabei werden Ihre Einwilligungsentscheidung, eine zufällige Kennung und Ihre gekürzte IP-Adresse verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 25 TDDDG.

Speicherung im Browser

Einige Einstellungen merkt sich Ihr Browser im Local Storage, zum Beispiel helles oder dunkles Erscheinungsbild, ob Mitteilungen eingeschaltet sind, ausgeblendete Hinweise und der Zwischenstand der Shop-Einrichtung. Diese Daten verlassen Ihr Gerät nicht; Sie können sie jederzeit in den Browsereinstellungen löschen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Fehlerprotokolle

Tritt ein technischer Fehler auf, speichern wir die Fehlermeldung, die aufgerufene Seite (ohne Parameter), den Browsertyp und gegebenenfalls Ihre Nutzerkennung für 30 Tage, um den Fehler zu beheben (Art. 6 Abs. 1 lit. f DSGVO).

4. Shop einrichten

Bei der Einrichtung unter /start.html geben Sie den Namen Ihres Restaurants, Postleitzahl und Ort an und laden Fotos oder ein PDF Ihrer Speisekarte hoch oder nennen den Link zu Ihrer Website. Ihr Browser erhält dafür eine zufällige, pseudonyme Sitzungskennung (Firebase Authentication).

Die Speisekarte wird zum Auslesen an einen KI-Dienst übermittelt (siehe Abschnitt 7). Die hochgeladenen Dateien selbst speichern wir dabei nicht; übernommen werden nur die ausgelesenen Angaben (Gerichte, Preise, Kategorien, Öffnungszeiten, Kontaktangaben des Restaurants). Nennen Sie eine Website, rufen wir diese Seite ab. Den Zwischenstand speichert Ihr Browser, bis Sie die Einrichtung abschließen oder neu beginnen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage).

5. Konto für Restaurants

Für ein Restaurant-Konto verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort (nur verschlüsselt, über Firebase Authentication) sowie die Angaben, die Sie im Manager hinterlegen: Name und Anschrift des Restaurants, Inhaber, Rechtsform, Steuerangaben, Kontaktdaten, Öffnungszeiten, Speisekarte, Bilder und Einstellungen. Aus der Anschrift ermitteln wir einmalig die Kartenposition des Restaurants über den Dienst Nominatim (OpenStreetMap Foundation, Cambridge, Vereinigtes Königreich); übermittelt wird nur die Anschrift. Für Küchen-Tablets und das Bestell-Terminal legen wir eigene Gerätezugänge an.

Wir bilden Monatszahlen (Umsatz, Bestellungen) für Abrechnung und Statistik. Ihre Zustimmung zum Vertrag zur Auftragsverarbeitung speichern wir mit Zeitpunkt als Nachweis.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Löschen Sie Ihr Konto, entfernen wir nach 30 Tagen Konto, Shop, Speisekarte, Bilder, Gutscheine, Bewertungen und Kundenliste. Bestelldaten bewahren wir wegen gesetzlicher Pflichten (§ 147 AO, § 257 HGB) bis zu 10 Jahre auf, aber ohne Namen und Kontaktdaten der Gäste.

6. Zahlungen und Abrechnung (Stripe)

Online-Zahlungen der Gäste laufen über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland) direkt auf das Stripe-Konto des Restaurants. Bei der Einrichtung dieses Kontos prüft Stripe Identität und Bankverbindung in eigener Verantwortung; wir erhalten nur den Status (zum Beispiel „Zahlungen aktiviert“) und die Kennung des Kontos.

Unsere Provision und gegebenenfalls die Monatsgebühr rechnen wir ebenfalls über Stripe ab. Dafür verarbeiten wir Name, Anschrift, E-Mail-Adresse, Tarif, Beträge und Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Rechnungen bewahren wir 10 Jahre auf (§ 147 AO, § 257 HGB). Eine Übermittlung in die USA ist möglich (siehe Abschnitt 15). Weitere Informationen: stripe.com/de/privacy.

7. KI-Funktionen

Für das Auslesen von Speisekarten und Websites, Textvorschläge, Treuebonus-Vorschläge und Produktbilder nutzen wir Gemini-Modelle über Google Cloud Vertex AI (Google Ireland Limited). Übermittelt werden die jeweiligen Inhalte: Fotos und PDFs der Speisekarte, Website-Inhalte, Namen und Beschreibungen von Gerichten sowie Fotos, die Sie für Produktbilder hochladen. Daten von Gästen geben wir nicht an die KI.

Die Verarbeitung erfolgt in Rechenzentren in der EU. Ausnahme: Wählen Sie für Produktbilder ausdrücklich das „Pro“-Modell, kann Google die Anfrage auch außerhalb der EU verarbeiten. Google verwendet die Inhalte nach seinen Vertragsbedingungen für Vertex AI nicht zum Training seiner Modelle. KI-Ergebnisse können Fehler enthalten; Sie prüfen und ändern sie vor der Veröffentlichung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. E-Mails

E-Mails wie Willkommensnachricht, Einrichtungshinweise, Rechnungshinweise, Einladungen und Benachrichtigungen versenden wir über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin). Verarbeitet werden E-Mail-Adresse, Name und Inhalt der E-Mail; die Verarbeitung erfolgt in der EU. Versandte E-Mails löschen wir nach 30 Tagen aus unserem Protokoll. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Mitteilungen (Push)

Schalten Sie im Manager, in der Küche oder im Vertriebsportal Mitteilungen ein, erzeugt Ihr Browser eine Push-Adresse mit Schlüsseln, die wir speichern, um Ihnen zum Beispiel neue Bestellungen zu melden. Zugestellt wird über den Push-Dienst Ihres Browser- oder Geräteherstellers (zum Beispiel Google, Apple, Mozilla, Microsoft); der Inhalt ist verschlüsselt. Eine Verarbeitung in den USA ist möglich. Sie können Mitteilungen jederzeit in der Anwendung oder in den Browsereinstellungen abschalten; die Push-Adresse wird dann gelöscht. Ein Protokoll der versandten Mitteilungen löschen wir nach 30 Tagen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

10. Support-Chat

Schreiben Sie uns im Manager, speichern wir Ihre Nachrichten und unsere Antworten zusammen mit Ihrem Restaurant-Konto und benachrichtigen uns per Mitteilung oder E-Mail darüber. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Nachrichten werden mit Ihrem Konto gelöscht.

11. Vertriebspartner

Für Vertriebspartner verarbeiten wir Name, E-Mail-Adresse, Zugangsdaten, die vereinbarte Provision, Umsatzsteuer-Angaben, die vermittelten Restaurants und die daraus berechneten Provisionen und Abrechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Abrechnungsunterlagen bewahren wir 10 Jahre auf (§ 147 AO, § 257 HGB).

12. Vorschau-Shops für Restaurants

Um Restaurants Ordry vorzustellen, erstellen wir für einzelne Betriebe einen Vorschau-Shop und schicken ihnen per Post einen Brief oder eine Karte mit QR-Code. Dafür verwenden wir öffentlich zugängliche Geschäftsangaben aus der Website des Restaurants oder aus Branchenverzeichnissen: Name des Restaurants, Anschrift, Telefonnummer, Öffnungszeiten und Speisekarte. Zum Auslesen nutzen wir die KI-Dienste aus Abschnitt 7.

Rufen Sie den Vorschau-Shop über den QR-Code auf, speichern wir Zeitpunkt, Herkunft (zum Beispiel Brief oder Karte) und Gerätetyp (Handy, Tablet oder Computer), aber keine IP-Adresse. Bitten Sie um einen Rückruf, speichern wir Ihren Namen, Ihre Telefonnummer und das gewünschte Zeitfenster. Nicht übernommene Vorschau-Shops löschen wir nach 30 Tagen; bei einem Rückrufwunsch bleibt die Vorschau mindestens bis zum Gespräch bestehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Vorstellung unseres Angebots bei Gewerbetreibenden. Sie können dem jederzeit formlos widersprechen (Art. 21 DSGVO), zum Beispiel per E-Mail an support@ordry.de; wir löschen die Vorschau dann sofort und schreiben Sie nicht erneut an.

13. Ordry-Kundenkonto für Gäste

Gäste können ohne Konto bestellen. Wer ein Kundenkonto anlegt, kann es in allen Shops nutzen, die über Ordry laufen. Für das Konto selbst sind wir verantwortlich; für die Bestellungen das jeweilige Restaurant.

Wir speichern Ihre E-Mail-Adresse, Ihr Passwort (nur verschlüsselt, über Firebase Authentication) und die Angaben in Ihrem Profil (Name, Adresse, Telefon und gegebenenfalls ein Profilbild, das nur Sie sehen), damit Sie diese nicht bei jeder Bestellung neu eingeben müssen. Werden Sie Kunde eines Restaurants, sieht dieses Restaurant Ihren Namen, Ihre E-Mail-Adresse, gegebenenfalls Ihre Telefonnummer und Ihre Bestellungen bei ihm, nicht aber Ihre Adresse oder Ihr Profilbild. Andere Restaurants sehen davon nichts.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie können das Konto jederzeit im Profil unter „Konto löschen“ entfernen; Ihre Bestellungen werden dabei anonymisiert. Einzelheiten zu Kundschaft, Treuebonus und Angeboten per E-Mail stehen in der Datenschutzerklärung des jeweiligen Shops.

14. Ordry-App

Die Ordry-App für das iPhone zeigt Restaurants in Ihrer Nähe, wenn Sie den Zugriff auf Ihren Standort erlauben. Dafür übermittelt die App einen auf etwa 100 Meter gerundeten Standort an unseren Server, der daraus nur die Entfernungen berechnet; der Standort wird nicht gespeichert. Karten zeigt die App über Apple Karten (Apple Distribution International Ltd., Cork, Irland). QR-Codes liest die App mit der Kamera direkt auf dem Gerät; Bilder werden dabei nicht übertragen. Bestellungen und Kundenkonto funktionieren wie im Web-Shop. Rechtsgrundlage für den Standort ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit in den iPhone-Einstellungen widerrufen können.

15. Dienstleister und Drittländer

Wir setzen folgende Dienstleister ein, mit denen wir Verträge zur Auftragsverarbeitung geschlossen haben, soweit erforderlich:

• Google Firebase und Google Cloud (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Hosting, Datenbank, Dateispeicher, Anmeldung, Serverfunktionen (Region Belgien) und KI (Vertex AI). policies.google.com/privacy
• Stripe (Stripe Payments Europe, Ltd., Dublin, Irland): Zahlungen und Abrechnung.
• Brevo (Sendinblue GmbH, Berlin): E-Mail-Versand.
• Cookiebot (Usercentrics A/S, Kopenhagen, Dänemark): Einwilligungsverwaltung.
• OpenStreetMap Foundation (Cambridge, Vereinigtes Königreich): Kartenposition aus der Anschrift eines Restaurants.

Bei Google, Stripe und den Push-Diensten der Browserhersteller ist eine Übermittlung in die USA möglich. Sie erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission für das EU-US Data Privacy Framework, bei dem diese Unternehmen zertifiziert sind, ergänzend auf Grundlage von Standardvertragsklauseln. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss.

16. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Wenden Sie sich dazu an die in Abschnitt 1 genannte Adresse.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, datenschutz.hessen.de.

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.