Datenschutzerklärung

Informationen nach Art. 13 und 14 DSGVO. Stand: 21. April 2026.

1. Verantwortlicher und Datenschutzbeauftragte:r

Verantwortlich für die Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO ist:
[Firmenname, z. B. Ordo GmbH]
[Straße Hausnummer]
[PLZ Stadt], Deutschland
E-Mail: datenschutz@getordo.de

Unser:e betriebliche:r Datenschutzbeauftragte:r ist unter folgender Adresse erreichbar: [Name / Kanzlei / Adresse], E-Mail: dsb@getordo.de. Solange eine Benennung nicht gesetzlich verpflichtend ist (Art. 37 DSGVO, § 38 BDSG), entfällt dieser Absatz vor Livegang.

2. Rollenverteilung: Ordo als Auftragsverarbeiter

Ordo stellt Gastronomiebetrieben eine Plattform für QR-Bestellung, Schichtplanung, Zeiterfassung, Beleg-Verwaltung und angrenzende Funktionen bereit. Für den überwiegenden Teil der verarbeiteten personenbezogenen Daten (Gastdaten, Mitarbeiterdaten, Bestellhistorie) handelt Ordo als Auftragsverarbeiter nach Art. 28 DSGVO im Auftrag des jeweiligen Restaurants. Verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO ist dann das Restaurant, das Ordo einsetzt. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV), den wir mit jedem Restaurant abschließen.

Für eigene Verarbeitungen (Account-Registrierung eines Restaurants, Abrechnung, Betrieb der Plattform, Supportkommunikation) sind wir eigenständig Verantwortlicher.

3. Verarbeitungen im Detail

3.1 Aufruf unserer Website (Logs)

Beim Aufruf unserer Website werden IP-Adresse, User-Agent, Referrer-URL und Zeitstempel verarbeitet (Cloudflare-Edge-Logs). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Betriebssicherheit und Missbrauchsabwehr. Speicherdauer: 14 Tage, Sicherheitsereignisse bis zu 30 Tage.

3.2 Registrierung und Login (Restaurant-Account)

Für die Einrichtung eines Restaurant-Accounts verarbeiten wir Name, E-Mail-Adresse und ein gehashtes Passwort (bcrypt, verwaltet über Supabase Auth). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung). Speicherdauer: Dauer des Vertragsverhältnisses, danach Löschung gemäß § 6 unseres Löschkonzepts.

3.3 QR-Bestellung durch Gäste

Wenn Ihr Gast einen QR-Code scannt und über Ordo bestellt, verarbeiten wir: Tischnummer, gewählte Speisen/Getränke, Gesamtbetrag, Zeitstempel; optional eine E-Mail-Adresse für den digitalen Beleg. Verantwortlicher ist das Restaurant; Ordo handelt als Auftragsverarbeiter (Art. 28 DSGVO). Rechtsgrundlage gegenüber dem Gast: Art. 6 Abs. 1 lit. b DSGVO (Vertrag zwischen Gast und Restaurant).

3.4 Reservierungen

Bei Reservierungen über die Ordo-Reservierungsfunktion verarbeiten wir Name, Kontaktkanal (Telefon/E-Mail), gewünschte Uhrzeit und Personenzahl. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Aufbewahrung endet 30 Tage nach dem Reservierungstermin, soweit keine handels- oder steuerrechtliche Aufbewahrungspflicht greift.

3.5 Loyalty-Programm

Nimmt ein Gast am Loyalty-Programm eines Restaurants teil, verarbeiten wir seine E-Mail-Adresse, Guthabenstand und Transaktionshistorie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme am Programm). Der Gast kann die Teilnahme jederzeit beenden; mit Beendigung wird der Account anonymisiert.

3.6 Zeiterfassung und Schichtplanung (Mitarbeiter)

Für Mitarbeitende des Restaurants werden Name, Rolle, geplante und tatsächliche Arbeitszeiten, sowie Stundenlohn/Abrechnungssatz verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag) bzw. Art. 88 DSGVO i. V. m. § 26 BDSG (Beschäftigtendatenschutz). Aufbewahrung: mindestens 2 Jahre (§ 16 Abs. 2 ArbZG) sowie je nach Zweck länger (Lohnabrechnung: 6 Jahre gemäß § 257 HGB; steuerliche Daten: 10 Jahre gemäß § 147 AO). Verantwortlicher ist das Restaurant; Ordo handelt als Auftragsverarbeiter.

3.7 Lohn-Export

Das Restaurant kann aus Ordo einen Lohn-Export erzeugen (CSV/DATEV-Format). Ordo speichert diesen Export temporär (maximal 30 Tage), damit das Restaurant ihn mehrfach herunterladen kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 28 DSGVO.

3.8 Belegverwaltung und OCR

Hochgeladene Belege werden in Supabase Storage (EU-Region) gespeichert. Zur automatischen Texterkennung wird der Beleg an Mistral AI (Paris, FR) übermittelt. Mistral agiert als Auftragsverarbeiter (EU-Anbieter, keine Drittlandübermittlung im Sinne des Kap. V DSGVO). Belege werden entsprechend § 147 AO 10 Jahre aufbewahrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht) i. V. m. Art. 28 DSGVO.

3.9 Steuerberater-Portal (Magic-Link)

Auf Anforderung des Restaurants erzeugt Ordo einen zeitlich begrenzten Magic-Link, über den die Steuerberatung ausschließlich lesend auf Belege und DATEV-Export zugreifen kann. Der Link enthält ein kryptografisches Token, wird serverseitig protokolliert und kann vom Restaurant jederzeit widerrufen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/c DSGVO i. V. m. Art. 28 DSGVO.

3.10 Zahlungsabwicklung

Zahlungen werden durch Stripe Payments Europe, Ltd. (Dublin, IE) abgewickelt. Stripe ist für die Verarbeitung der Zahlungsdaten eigenständig Verantwortlicher (Art. 4 Nr. 7 DSGVO); Ordo erhält nur Statusmeldungen (bezahlt, fehlgeschlagen, Rückerstattung) sowie eine maskierte Zahlartkennung. Details: Datenschutzerklärung von Stripe.

3.11 Transaktionale E-Mails und Push-Benachrichtigungen

Für transaktionale E-Mails (z. B. Bestellbestätigung, Magic-Link-Mails) setzen wir Resend (San Francisco, USA ein; die Übermittlung erfolgt auf Basis der EU-Standardvertragsklauseln, Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Maßnahmen im Sinne der EDSA-Empfehlungen 01/2020). Push-Benachrichtigungen werden über Web-Push (VAPID) ausgeliefert; es erfolgt keine Drittlandübermittlung, da die Endpoints Browser-eigene Push-Services sind.

4. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an folgende Empfänger weiter:

Supabase, Inc. / Supabase GmbH — Hosting, Datenbank, Auth, Storage (EU-Region: Frankfurt). Auftragsverarbeiter gemäß Art. 28 DSGVO.
Cloudflare, Inc. — Edge-Netzwerk und DDoS-Schutz; EU-Only-Datenverarbeitung aktiviert. Auftragsverarbeiter gemäß Art. 28 DSGVO.
Stripe Payments Europe, Ltd. — Zahlungsabwicklung (eigenständig Verantwortliche).
Mistral AI SAS, Paris, Frankreich — OCR-Texterkennung von Belegen. Auftragsverarbeiter, EU-Sitz.
Resend, Inc., San Francisco, USA — transaktionaler E-Mail-Versand. Auftragsverarbeiter, Übermittlung auf Basis der EU-Standardvertragsklauseln.
Lexware / Haufe-Lexware GmbH & Co. KG, Freiburg, Deutschland — optionale Buchhaltungs-Integration (nur wenn das Restaurant die Verbindung aktiv koppelt).
Steuerberatung — Empfänger ausschließlich auf Weisung des Restaurants über das Steuerberater-Portal.
Behörden / Gerichte — ausschließlich bei gesetzlicher Verpflichtung.

Die aktuelle, vollständige Liste unserer Subprozessoren stellen wir im AVV bereit und aktualisieren sie bei jeder Änderung.

5. Übermittlung in Drittländer

Eine Übermittlung in Drittländer (außerhalb EU/EWR) erfolgt nur bei Resend (USA) auf Basis der EU-Standardvertragsklauseln 2021/914 (Art. 46 Abs. 2 lit. c DSGVO). Wir haben die nach der EDSA-Empfehlung 01/2020 erforderliche Transfer-Impact-Analyse durchgeführt und ergänzende Maßnahmen (Transportverschlüsselung TLS 1.3, Zweckbindung, Protokollierung von Behördenersuchen) dokumentiert.

6. Speicherdauer und Löschkonzept

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Unsere zentralen Fristen:

Rechnungs- und Belegdaten: 10 Jahre (§ 147 Abs. 3 AO, § 257 HGB).
Lohnabrechnungsdaten: 6 Jahre (§ 257 HGB), bei steuerlicher Relevanz 10 Jahre (§ 147 AO).
Zeiterfassungsdaten: mindestens 2 Jahre (§ 16 Abs. 2 ArbZG).
Gastdaten aus QR-Bestellung ohne Beleg-E-Mail: 90 Tage.
Logs / Sicherheitsereignisse: 30 Tage.
Inaktive Benutzerkonten: Anonymisierung nach 36 Monaten Inaktivität.

Das vollständige Löschkonzept stellen wir auf Anfrage bereit.

7. Cookies und vergleichbare Technologien

Wir verwenden ausschließlich technisch notwendige Cookies für Login und Session-Verwaltung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Es findet kein Tracking, kein Profiling und kein Einsatz von Werbe-Cookies statt. Eine Einwilligung ist daher nicht erforderlich.

8. Ihre Rechte

Sie haben uns gegenüber folgende Rechte bezüglich der Sie betreffenden personenbezogenen Daten:

Recht auf Auskunft (Art. 15 DSGVO)
Recht auf Berichtigung (Art. 16 DSGVO)
Recht auf Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO)
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Recht auf Widerspruch (Art. 21 DSGVO)
Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an datenschutz@getordo.de. Wenn Sie Gast eines Restaurants sind und Ihre Rechte bezüglich Daten ausüben wollen, die im Auftrag dieses Restaurants verarbeitet werden, leiten wir Ihre Anfrage unverzüglich an das Restaurant weiter bzw. unterstützen das Restaurant bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).

Ihnen steht zusätzlich ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig für uns ist [zuständige Landesdatenschutzbehörde einsetzen].

9. Datensicherheit (Art. 32 DSGVO)

Wir setzen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein: Transportverschlüsselung (TLS 1.3), Zugriffsprotokollierung, Row-Level-Security je Restaurant in der Datenbank, gehashte Passwörter (bcrypt), verschlüsselte Speicherung sensibler Tokens, Mehr-Faktor-Authentifizierung für Admin-Zugänge, regelmäßige Backups und strukturierte Incident-Response-Prozesse. Eine detaillierte Übersicht finden Sie in unseren Technisch-Organisatorischen Maßnahmen.

10. Automatisierte Entscheidungen und Profiling

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die in Ordo eingesetzten Automatisierungen (z. B. automatisches Matching von Kategorien für Belege) dienen nur als Vorschlag; die abschließende Entscheidung trifft stets das Restaurant.

11. Änderungen dieser Datenschutzerklärung

Wir überprüfen diese Erklärung regelmäßig und passen sie an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Den aktuellen Stand finden Sie stets unterhalb der Überschrift.

Stand: 21. April 2026. Vor Livegang: Platzhalter ersetzen, Aufsichtsbehörde einsetzen und durch eine Fachanwält:in für IT-Recht oder eine:n externe:n Datenschutzbeauftragte:n prüfen lassen.