Diese Datenschutzerklärung gilt für das Thunderhub-OrderHub-Dashboard. Für die Bestellvorgänge in den Online-Shops der angeschlossenen Restaurants gilt die dort abrufbare Datenschutzerklärung des jeweiligen Restaurants.
1. Verantwortliche Stelle
clouddish UG (haftungsbeschränkt)
Schultenweg 35, 45279 Essen
E-Mail: info@clouddish.de
Für Bestell- und Endkundendaten der angeschlossenen Restaurants ist das jeweilige Restaurant Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; die clouddish UG (haftungsbeschränkt) verarbeitet diese Daten als Auftragsverarbeiter (Art. 28 DSGVO) ausschließlich weisungsgebunden und nicht zu eigenen Zwecken.
2. Hosting und Zugriffsdaten
Diese Anwendung wird über Cloudflare (Cloudflare, Inc., USA) bereitgestellt. Beim Aufruf werden technisch notwendige Zugriffsdaten verarbeitet (IP-Adresse, Zeitpunkt, abgerufene Ressource), um die Anwendung auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in Drittländer erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework. Zugriffs- und Fehlerdaten werden spätestens nach 6 Monaten gelöscht.
Zusätzlich Datensicherung: Zum Schutz vor Datenverlust legen wir regelmäßig vollständige Sicherungskopien der Datenbank im Speicherdienst Cloudflare R2 ab. Diese Kopien enthalten auch Ihre Konto- und Zugriffsdaten sowie das Änderungsprotokoll. Der Speicherort ist technisch auf die Europäische Union beschränkt, und die Kopien werden nach spätestens 30 Tagen gelöscht. Rechtsgrundlage: Art. 32 Abs. 1 lit. c DSGVO (Verfügbarkeit und Belastbarkeit der Systeme). Anbieter: Cloudflare Germany GmbH, Rosental 7, 80331 München; Mutterunternehmen Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.
Erzeugt werden diese Sicherungskopien durch automatisierte Abläufe bei GitHub, Inc. (88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA), einem Tochterunternehmen der Microsoft Corporation. Die Sicherungsdatei selbst wird dort ausschließlich für die Dauer des jeweiligen Laufs verarbeitet und nicht dauerhaft gespeichert. Im Protokoll eines Laufs wird zusätzlich eine Übersicht der offenen Fehlermeldungen abgelegt (Titel, Anzahl, Zeitpunkt), aus der Mailadressen, Telefonnummern und Adressparameter vor dem Schreiben automatisiert entfernt werden; diese Protokolle bewahrt GitHub für höchstens 90 Tage auf. Eine Übermittlung in die USA findet dabei statt. Grundlage sind die EU-Standardvertragsklauseln (Art. 46 DSGVO). Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 Abs. 1 lit. c DSGVO.
3. Anmeldung und Konto
Die Anmeldung erfolgt per E-Mail-Einmalcode. Dazu verarbeiten wir Ihre E-Mail-Adresse und Anmeldezeitpunkte (Art. 6 Abs. 1 lit. b DSGVO). Authentifizierung und Datenhaltung laufen über Supabase (EU-Region Frankfurt); mit dem Anbieter bestehen EU-Standardvertragsklauseln (Art. 46 DSGVO) für etwaige Drittlandzugriffe. Im Browser wird ein Sitzungs-Token gespeichert — technisch notwendig, kein Tracking.
Zu jeder Sitzung speichert Supabase außerdem die IP-Adresse und die Browser-Kennung (User-Agent) des anfragenden Geräts sowie die Zeitpunkte von Anmeldung und Verlängerung und die Sicherheitsstufe der Sitzung. Zweck ist der Betrieb und die Absicherung der Anmeldung (Art. 6 Abs. 1 lit. b DSGVO, ergänzend lit. f in Verbindung mit Art. 32 DSGVO). IP-Adresse und Browser-Kennung werten wir nicht aus; auch der Wartungslauf aus Abschnitt 7 liest sie nicht. Sie werden mit der Sitzung gelöscht: bei der Abmeldung, wenn die Plattform die Sitzungen eines Kontos beendet, mit dem Konto, oder durch den Wartungslauf aus Abschnitt 7, in der Regel spätestens acht Stunden nach der Anmeldung.
Zweiter Faktor: Jedes Konto, das einem Restaurant oder dem Plattform-Team zugeordnet ist, braucht für das Dashboard zusätzlich einen Code aus einer Authenticator-App (TOTP). Bei der Einrichtung wird dazu ein geheimer Schlüssel erzeugt, aus dem Ihre App die Codes berechnet, und Ihnen als QR-Code angezeigt. Gespeichert werden dieser Schlüssel, die Bezeichnung des Faktors („Thunderhub Dashboard“), Typ und Status sowie die Zeitpunkte von Einrichtung, letzter Änderung und letzter Verwendung. Zu jeder Code-Eingabe wird außerdem ein Prüfvorgang mit Zeitpunkt und der IP-Adresse festgehalten, von der er ausging. Zweck ist der Schutz Ihres Kontos und der darüber erreichbaren Daten vor unbefugtem Zugriff. Rechtsgrundlage ist wie bei der übrigen Anmeldung Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Sicherheit der Verarbeitung). Ohne eingerichteten zweiten Faktor lässt sich das Dashboard nicht nutzen.
Diese Angaben liegen wie die übrigen Anmeldedaten bei Supabase (EU-Region Frankfurt), das sie als unser Auftragsverarbeiter speichert; auch die Sicherungskopien aus Abschnitt 2 enthalten sie. Gespeichert werden sie, solange der Faktor besteht: Ein eingerichteter Faktor wird gelöscht, wenn er zurückgesetzt wird (Abschnitt 7) oder Ihr Konto gelöscht wird; eine begonnene, aber nicht abgeschlossene Einrichtung wird spätestens beim nächsten Einrichtungsversuch gelöscht. Die Prüfvorgänge werden jeweils mit dem Faktor gelöscht.
Stammdaten Ihres Unternehmens: Zu jedem Betreiber speichern wir Angaben zu dem Unternehmen, das Vertragspartner der Plattform ist, darunter — soweit angegeben — Rechtsform, Registergericht und Registernummer sowie die Wirtschafts-Identifikationsnummer nach § 139c AO. Wir verwenden sie, um das Unternehmen, mit dem der Vertrag besteht, eindeutig zu bezeichnen (Art. 6 Abs. 1 lit. b DSGVO); die Wirtschafts-Identifikationsnummer nur zu diesem Geschäftszweck (§ 139c Abs. 2 Satz 2 AO) und ohne sie an Dritte zu übermitteln. Einsehen können die Angaben die Plattform und alle Konten, die Ihrem Betreiber zugeordnet sind. Registergericht und Registernummer erscheinen außerdem im Impressum Ihrer Webshops. Die Angaben sind freiwillig; nennt der Firmenname eines Webshops eine eingetragene Rechtsform, lässt er sich ohne Registereintrag jedoch nicht freischalten. Ihre persönliche steuerliche Identifikationsnummer erheben wir nicht. Gespeichert werden die Angaben, solange Ihr Betreiber-Datensatz besteht. Änderungen an Rechtsform und Registereintrag halten wir mit altem und neuem Wert im Audit-Protokoll fest (Abschnitt 7), wo sie für dessen Frist auch über den Betreiber-Datensatz hinaus erhalten bleiben; bei der Wirtschafts-Identifikationsnummer nur, ob sie angegeben ist und ob sie geändert wurde, nicht die Nummer selbst.
4. Betriebs- und Bestelldaten
Das Dashboard zeigt Bestell-, Kunden- und Umsatzdaten des Restaurants, dem Ihr Konto zugeordnet ist. Diese Daten werden im Auftrag des Restaurants verarbeitet (Art. 28 DSGVO) und in der EU gespeichert (Supabase, Region Frankfurt).
5. Zahlungsanbindung (Stripe Connect)
Wenn Sie im Dashboard „Stripe verbinden“ starten, richten wir für Ihren Betrieb ein Stripe-Connect-Konto ein und leiten Sie zur Identitäts- und Kontoprüfung an Stripe weiter. Übermittelt werden dabei Ihre Stammdaten als Betreiber — Firmierung, Anschrift, gesetzliche Vertretung, Kontakt- und Bankverbindungsdaten sowie die von Stripe geforderten Identitätsnachweise. Die Prüfung selbst führt Stripe durch; wir erhalten von dort nur den Status (freigeschaltet, ausstehende Nachweise, Sperrgrund).
Hier ist die clouddish UG (haftungsbeschränkt) eigene Verantwortliche und nicht Auftragsverarbeiterin des Restaurants: Es geht um Ihre Daten als Vertragspartner der Plattform, nicht um Bestelldaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO, soweit Stripe geldwäsche- und aufsichtsrechtliche Prüfungen vornehmen muss.
Anbieter: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe handelt für die Zahlungsabwicklung und die aufsichtsrechtlichen Prüfungen teilweise als eigenständig Verantwortlicher; es gilt insoweit stripe.com/de/privacy. Speicherdauer: Accountdaten bis Vertragsende, darüber hinaus nach den Vorgaben des Zahlungsdiensterechts (in der Regel 10 Jahre).
6. Prüfung der Umsatzsteuer-Identifikationsnummer
Die von Ihnen hinterlegte Umsatzsteuer-Identifikationsnummer übermitteln wir zur Gültigkeitsprüfung an das Bestätigungsverfahren der Europäischen Kommission (MIAS/VIES, ec.europa.eu). Übermittelt wird ausschließlich die Nummer selbst, und ausschließlich für deutsche Nummern; Deutschland gibt über VIES keine Halterdaten heraus, zurück kommt daher allein die Gültigkeit. Ergebnis und Zeitpunkt speichern wir zu Ihrem Konto; jede einzelne Prüfung wird zusätzlich unveränderlich protokolliert, damit auch später noch belegbar ist, was zu einem bestimmten Zeitpunkt galt.
Zweck und Rechtsgrundlage: Die Prüfung ist Teil der Vereinbarungen zu Ihrem Partnerkonto und damit zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Soweit die §§ 22f, 25e UStG und das PStTG auf unsere Vermittlung Anwendung finden, tritt die Erfüllung einer rechtlichen Verpflichtung hinzu (Art. 6 Abs. 1 lit. c DSGVO): § 22f Abs. 1 Satz 1 Nr. 3 UStG (Aufzeichnung der Nummer), § 25e Abs. 2 UStG (Haftungsausschluss nur bei gültiger Nummer im Zeitpunkt der Lieferung) und § 18 Abs. 1 Satz 2 PStTG (Pflicht zur Nutzung der kostenlosen europäischen Schnittstelle). Die Europäische Kommission ist insoweit eigenständig verantwortlich und nicht unsere Auftragsverarbeiterin. Speicherdauer: nach den steuerlichen Aufbewahrungsfristen (§ 147 AO, in der Regel 10 Jahre).
Die Angabe der Nummer und ihre erfolgreiche Prüfung sind Voraussetzung dafür, dass wir Bestellungen für Sie vermitteln: ohne gültige, geprüfte Nummer nehmen Ihre Storefronts keine Bestellungen entgegen.
7. Audit-Protokoll
Sicherheitsrelevante Aktionen (z. B. Erstattungen, Statusänderungen, Rechtevergabe) werden mit Konto-Kennung und Zeitpunkt unveränderlich protokolliert — zur Nachvollziehbarkeit und zum Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO, bei Aufbewahrungspflichten lit. c).
Dazu gehören zwei Eingriffe in ein Konto selbst. Die Plattform kann alle Sitzungen eines Kontos beenden. Automatisch geschieht das, wenn einem Mitglied des Plattform-Teams die Rolle geändert oder entzogen wird, und bei jeder Rücksetzung des zweiten Faktors; einzelne Sitzungen beendet zudem ein automatischer Wartungslauf, sobald sie eine feste Grenze überschreiten (nächster Absatz). Darüber hinaus kann ein Mitglied des Plattform-Teams mit der Rolle „Owner“ die Sitzungen jedes Kontos auch unmittelbar beenden. Die bestehende Anmeldung lässt sich danach auf keinem Gerät mehr verlängern; Sie melden sich neu an. Außerdem kann die Plattform den zweiten Faktor eines Kontos zurücksetzen (Abschnitt 3), etwa wenn das Gerät mit der Authenticator-App verloren gegangen ist: Der hinterlegte Faktor wird gelöscht, alle Sitzungen werden beendet, und bei der nächsten Anmeldung richten Sie einen neuen Faktor ein. Von Hand auslösen kann beides in der Anwendung nur ein Mitglied des Plattform-Teams mit der Rolle „Owner“; den eigenen Faktor kann dabei niemand selbst zurücksetzen. Protokolliert werden die Kennungen des handelnden und des betroffenen Kontos, der Zeitpunkt, die Zahl der beendeten Sitzungen bzw. gelöschten Faktoren und beim Beenden der Sitzungen ein Anlass aus einer festen Liste, den die auslösende Stelle angibt — keine E-Mail-Adresse und keine IP-Adresse.
Automatische Sitzungsgrenzen: Ein Wartungslauf prüft jede Minute alle Sitzungen und beendet eine einzelne Sitzung, sobald die Anmeldung länger als acht Stunden zurückliegt, die Sitzung seit mehr als 90 Minuten nicht verlängert wurde oder sie 30 Minuten nach der Anmeldung noch ohne bestätigten zweiten Faktor besteht. Dazu liest er die Zeitpunkte von Anmeldung und Verlängerung, die Sicherheitsstufe der Sitzung, ob bei ihr ein zweiter Faktor bestätigt wurde und ob sie zu einem Konto des Plattform-Teams gehört — weder IP-Adresse noch Browserkennung. Zweck ist, dass sich keine Anmeldung über die genannte Höchstdauer hinaus verlängern lässt, auch wenn sie durchgehend benutzt wird, und dass eine Anmeldung, die niemand mehr benutzt oder die den zweiten Faktor nie bestanden hat, nicht unbegrenzt gültig bleibt. Ein bereits ausgestelltes Zugangstoken bleibt nach dem Beenden der Sitzung bis zu seinem Ablauf gültig, derzeit höchstens eine Stunde. Rechtsgrundlage ist wie bei der übrigen Anmeldung Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO. Protokolliert wird nur das Beenden einer Sitzung ohne bestätigten zweiten Faktor: statt eines handelnden Kontos das System als Auslöser, die Kennung des betroffenen Kontos, der Zeitpunkt, die überschrittene Grenze mit ihrem Wert und die Zahl der beendeten Sitzungen. Für die beiden anderen Grenzen legen wir keinen Eintrag zu Ihrem Konto an; wir zählen dort nur, wie viele Sitzungen ein Lauf beendet hat. Für Konten des Plattform-Teams halten wir nach jedem Lauf zusätzlich fest, wie viele Sitzungen ein einzelnes dieser Konten höchstens gleichzeitig hält, und melden dem Plattformbetreiber, wenn bei einem dieser Konten eine Sitzung ohne bestätigten zweiten Faktor beendet wurde; beides nur als Zahl, ohne Kennung des Kontos.
Löschung eines Kontos: Auch das Löschen eines Kontos (Abschnitt 11) protokollieren wir. Auslösen kann es in der Anwendung nur ein Mitglied des Plattform-Teams mit der Rolle „Owner“, und niemand für das eigene Konto. Protokolliert werden die Kennungen des handelnden und des gelöschten Kontos, der Zeitpunkt, der Anlass aus einer festen Liste (Löschverlangen oder Ausscheiden), die entzogene Plattform-Rolle, die Zuordnungen zu Restaurants mit der jeweiligen Rolle und dem Zeitpunkt, seit dem sie bestand, die Restaurants, für die das Konto als Ansprechpartner eingetragen war, die Kennungen der mitgelöschten Einladungen — bei den Einladungen, die das Konto selbst eingelöst hat, auch Art, Restaurant und Zeitpunkt der Einlösung —, die Zahl der gelöschten zweiten Faktoren, Sitzungen und zwischengespeicherten Antworten der Anwendung (siehe Abschnitt 11) und die Restaurants, die dadurch ohne Administrator bleiben — keine E-Mail-Adresse, kein Name und keine IP-Adresse.
Aufbewahrung: Einträge zu den Eingriffen in ein Konto — das Beenden aller Sitzungen, das automatische Beenden einer Sitzung ohne zweiten Faktor und das Zurücksetzen des zweiten Faktors — löschen wir drei Jahre nach dem Ende des Kalenderjahres, in dem der Eingriff stattfand: Ein Eintrag aus dem Jahr 2026 wird ab dem 1. Januar 2030 gelöscht. Weil diese Einträge allein dem Nachweis und der Sicherheit dienen, richtet sich die Frist nach der regelmäßigen Verjährung (§§ 195, 199 Abs. 1 BGB). Alle übrigen Einträge des Protokolls, auch die Änderung oder der Entzug einer Rolle im Plattform-Team, das Anlegen und Zurückziehen von Zugangseinladungen und das Löschen eines Kontos, löschen wir zehn Jahre nach dem Ende des Kalenderjahres, in dem sie erfasst wurden: Ein Eintrag aus dem Jahr 2026 wird ab dem 1. Januar 2037 gelöscht. Das entspricht der regulären steuerlichen Aufbewahrungsfrist für Aufzeichnungen und Organisationsunterlagen (§ 147 Abs. 1 Nr. 1, Abs. 3 und 4 AO). Die Protokollierung der Rechtevergabe bewahren wir als Nachweis unseres Berechtigungskonzepts auf; für das übrige Protokoll wenden wir die Frist einheitlich an, damit die Abläufe des Bestellsystems auch bei einer steuerlichen Außenprüfung nachvollziehbar bleiben. Die Löschung übernimmt ein automatisierter Wartungslauf.
8. E-Mail-Versand
Anmeldecodes und Einladungs-E-Mails werden über die Strato AG (Berlin) versendet. Transaktionale Bestell-E-Mails an Endkunden werden im Auftrag des jeweiligen Restaurants über Mailjet GmbH (Alt Moabit 2, 10557 Berlin, Deutschland; Teil der Sinch-Gruppe) versendet; die Verarbeitung erfolgt in der EU auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Für etwaige konzerninterne Übermittlungen innerhalb der Sinch-Gruppe an Drittländer greifen Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO. Diese E-Mails enthalten kein Öffnungs- oder Klick-Tracking.
9. Fehlerdiagnose und Sicherheitsmeldungen
Zur Fehlerdiagnose und zur Entgegennahme von Sicherheitsmeldungen des Browsers (Content-Security-Policy-Berichte) setzen wir Sentry ein (Functional Software, Inc., 45 Fremont Street, San Francisco, CA 94105, USA; Datenhaltung in der EU-Datenregion Frankfurt; EU-US Data Privacy Framework zertifiziert, ergänzend EU-Standardvertragsklauseln gemäß Art. 46 DSGVO). Verarbeitet werden technische Angaben des Browsers (IP-Adresse, User-Agent, aufgerufene Adresse, Angaben zur gemeldeten Regelverletzung) sowie technischer Fehlerkontext. Fehlerberichte werden vor der Übermittlung automatisiert um personenbezogene Inhalte (E-Mail-Adressen, Tokens, Namen) bereinigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Fehlerfreiheit der Plattform). Speicherdauer auf Sentry-Seite: 90 Tage.
10. Kein Tracking
Diese Anwendung setzt keine Analyse-, Marketing- oder Werbe-Cookies ein und bindet keine Tracker von Drittanbietern ein.
11. Speicherdauer
Kontodaten speichern wir, bis das Konto gelöscht wird. Die Löschung Ihres Kontos können Sie jederzeit verlangen (Abschnitt 12). Endet die Zusammenarbeit mit dem Restaurant, dem Ihr Konto zugeordnet ist, löschen wir das Konto, sobald das Restaurant seine Unterlagen nicht mehr über das Dashboard abrufen kann (90 Tage nach dem Ende der Zusammenarbeit) — es sei denn, es ist noch einem anderen Restaurant oder dem Plattform-Team zugeordnet. Beim Ausscheiden aus dem Plattform-Team werden die Rolle entzogen und alle Sitzungen beendet (Abschnitt 7); ist das Konto danach keinem Restaurant zugeordnet, löschen wir es ebenfalls. Dasselbe gilt für jedes Konto, das auf anderem Weg seine letzte Zuordnung verliert. Diese Löschungen nimmt ein Mitglied des Plattform-Teams vor; automatisch geschehen sie nicht.
Mit dem Konto löschen wir Ihre E-Mail-Adresse und, soweit hinterlegt, Ihren Namen, den zweiten Faktor samt Prüfvorgängen, alle Sitzungen, Ihre Rolle im Plattform-Team, Ihre Zuordnungen zu Restaurants, die Einladungen, die an Ihre Adresse gingen oder die Sie eingelöst haben, und die Antworten auf Ihre Anfragen, die die Anwendung für den Fall einer Wiederholung unter der Kennung Ihres Kontos zwischenspeichert. Die Kennung Ihres Kontos bleibt dagegen dort stehen, wo sie einen Vorgang bezeichnet, der nicht Ihnen gehört: in den Einträgen des Audit-Protokolls für deren Fristen (Abschnitt 7) — einzelne ältere Einträge über versandte Einladungen enthalten dabei auch die E-Mail-Adresse —, in Bemerkungen zu Bestellungen, in Erstattungsvorgängen und Gerätekopplungen, die Sie vorgenommen haben, und bei Bildern, die Sie im Dashboard hochgeladen haben (etwa für die Speisekarte); diese Datensätze bleiben nach ihren eigenen Fristen bestehen. Bei Erstattungen, die Sie früher ausgelöst haben, haben wir die Kennung Ihres Kontos außerdem als Zusatzangabe an Stripe übermittelt (Stripe Payments Europe, Ltd., Anschrift in Abschnitt 5), wo sie bei der Erstattung im Stripe-Konto des Restaurants gespeichert ist; heute übermitteln wir sie nicht mehr. Verlangen Sie die Löschung Ihres Kontos, entfernen wir diese Angabe dort aus den Erstattungen, die wir Ihrem Konto zuordnen können, und nennen Ihnen in unserer Antwort die, bei denen das nicht möglich war. Einladungen, die Sie an andere verschickt haben, bleiben bestehen; die Einladung selbst nennt Sie danach nicht mehr als Absender, der Eintrag über ihr Anlegen im Audit-Protokoll verbindet sie aber weiterhin mit der Kennung Ihres Kontos, für die Frist aus Abschnitt 7. Wo Sie eine Einladung zurückgezogen haben, bleibt die Kennung Ihres Kontos als Widerrufende stehen.
Zwischengespeicherte Antworten erfasst die Löschung nur, soweit sie unter der Kennung Ihres Kontos stehen. Bestehen bleiben daher zum einen die Antworten auf Erstattungen, die Sie ausgelöst haben: Sie enthalten Bestellung, Erstattung und Betrag, aber nicht die Kennung Ihres Kontos, und bleiben Ihnen über die Aufzeichnung der Erstattung zuordenbar, in der Ihre Kennung stehen bleibt. Die Anwendung löscht sie nach Ablauf von 30 Tagen; konnte eine Erstattung nicht vollständig verbucht werden, hält sie deren Antwort als Sperre gegen eine zweite Auszahlung ohne feste Frist fest. Zum anderen bleiben Antworten an andere Konten, die Angaben zu Ihnen enthalten können, etwa Ihre E-Mail-Adresse als Rechnungs-E-Mail-Adresse eines neu angelegten Restaurants; diese löscht die Anwendung nach Ablauf von 24 Stunden.
Nicht Teil Ihres Kontos sind die Stammdaten des Restaurants (Abschnitt 3). Ist dort Ihre E-Mail-Adresse als Rechnungs-E-Mail-Adresse eingetragen oder sind Sie als Einzelunternehmer selbst Vertragspartner der Plattform, bleiben diese Angaben mit der Löschung Ihres Kontos unverändert im Datensatz des Restaurants, solange dieser besteht. Firmierung und Rechnungs-E-Mail-Adresse aus der Anlage des Restaurants sowie jede Änderung in der Anwendung an Firmierung, Rechnungs-E-Mail-Adresse, Anschrift, Umsatzsteuer-Identifikationsnummer und Steuernummer halten wir außerdem mit ihrem Wert im Audit-Protokoll fest; diese Einträge bleiben für die Frist aus Abschnitt 7 bestehen.
Geschäftsunterlagen (z. B. Bestell- und Abrechnungsdaten) unterliegen gesetzlichen Aufbewahrungsfristen (§ 147 AO: bis zu 10 Jahre). Danach werden Daten gelöscht oder anonymisiert; automatisierte Lösch- und Anonymisierungsläufe sind Teil des Systems.
Für das Audit-Protokoll gelten die Fristen aus Abschnitt 7: Einträge zu den dort genannten Eingriffen in ein Konto löschen wir drei Jahre nach dem Ende des Kalenderjahres, in dem der Eingriff stattfand, alle übrigen Einträge zehn Jahre nach dem Ende des Kalenderjahres, in dem sie erfasst wurden. Ihren zweiten Faktor speichern wir, solange er besteht (Abschnitt 3).
Eine Löschung wirkt sich auf bereits bestehende Sicherungskopien erst mit deren Ablauf aus — diese werden turnusmäßig überschrieben und spätestens nach 30 Tagen gelöscht. Aus einer Sicherung wiederhergestellte Daten bereinigen wir erneut um die zwischenzeitlich erfolgten Löschungen: Fristablauf-Löschungen laufen dabei automatisch nach, ein Löschverlangen führen wir anhand unserer Dokumentation des Verlangens erneut aus.
12. Ihre Rechte
Sie haben die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde. Wenden Sie sich dazu an info@clouddish.de. Betrifft Ihr Anliegen Bestelldaten eines Restaurants, leiten wir es an das verantwortliche Restaurant weiter.
13. Stand
September 2026. Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert.