Datenschutzerklärung

Diese Seite zeigt unsere aktuelle Fassung; sie kann hier heruntergeladen werden. Die vorherige Fassung ist hier archiviert.

Hinweis: Die englische Fassung dieses Dokuments ist die maßgebliche Fassung. Diese deutsche Fassung ist eine maschinelle Übersetzung, die ausschließlich zur besseren Verständlichkeit bereitgestellt wird.

Verantwortlicher: Orderlion GmbH, Himmelpfortgasse 17/7, 1010 Wien, Österreich ("Orderlion", "wir").

Datenschutzkontakt: privacy@orderlion.com · Unser interner Datenschutzverantwortlicher ist Patrick Schubert (CTO), erreichbar über diese Adresse. Wir haben keinen förmlichen Datenschutzbeauftragten nach Art 37 DSGVO benannt, da wir dazu gesetzlich nicht verpflichtet sind; alle Anfragen werden von unserem Datenschutzverantwortlichen bearbeitet.

1. Die Kurzfassung

Wir sind ein B2B-Unternehmen. Wir verarbeiten personenbezogene Daten von Website-Besuchern, Geschäftskontakten und Leads, von Nutzern unserer Kunden (Lebensmittel- und Getränkelieferanten) sowie von Mitarbeitern von deren Bestellern. Für Daten innerhalb der Orderlion-Plattform bestimmt in der Regel unser Kunde (der Lieferant) die Zwecke; wir verarbeiten sie in dessen Auftrag. Wir setzen KI ein, um Bestellungen aus E-Mails zu extrahieren; die KI-Anbieter trainieren ihre Modelle nicht mit diesen Daten. Wir verkaufen keine personenbezogenen Daten und treffen keine automatisierten Entscheidungen mit Rechtswirkung gegenüber Personen.

2. Unsere zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Für unsere Website, unser Marketing, unseren Vertrieb, die Abrechnung, den Support und die Benutzerkonten unserer Kunden ist Orderlion Verantwortlicher.

Für die innerhalb der Plattform im Auftrag unserer Kunden verarbeiteten Daten, insbesondere Daten von Bestellnutzern (Mitarbeiter von Restaurants und anderen Unternehmen, die bei unseren Kunden bestellen: Namen, geschäftliche E-Mail-Adressen, Anmeldedaten, Bestellungen, Nachrichten), ist der Lieferant Verantwortlicher und Orderlion dessen Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Wenn Sie Bestellnutzer sind und Datenschutzrechte in Bezug auf Ihre Daten auf der Plattform ausüben möchten, wenden Sie sich bitte an Ihren Lieferanten; wir unterstützen ihn bei der Beantwortung Ihrer Anfrage. Die nachstehenden Abschnitte 3 bis 6 beschreiben Verarbeitungen, bei denen wir Verantwortlicher sind; Abschnitt 7 erläutert die Plattformverarbeitung, die wir für Lieferanten durchführen.

3. Website-Besucher

Hosting und Protokolle. Wenn Sie orderlion.com besuchen, verarbeitet unser Hosting-Anbieter technische Daten (IP-Adresse, Browser- und Geräteinformationen, Referrer, aufgerufene Seiten, Zeitstempel) in Serverprotokollen, um die Website sicher auszuliefern und Angriffe abzuwehren. Rechtsgrundlage: berechtigtes Interesse (Art 6 Abs 1 lit f DSGVO). Die Speicherdauer der Protokolle wird von unserem Hosting-Anbieter festgelegt und variiert je nach Protokolltyp, längstens jedoch zwölf Monate.

Cookies und ähnliche Technologien. Wir setzen eine Consent-Management-Plattform (Cookie-Banner) ein, die jedes Cookie und jede vergleichbare Technologie, einschließlich Local Storage und Session Storage des Browsers, in vier Kategorien einordnet: Essenziell, Analyse, Marketing und Personalisierung. Alles außer Essenziell ist blockiert, bis Sie der jeweiligen Kategorie aktiv zustimmen. Nichts ist vorangekreuzt, das Ablehnen ist genauso einfach wie das Zustimmen, und Sie können Ihre Auswahl jederzeit über den Link zu den Cookie-Einstellungen im Fußbereich der Website ändern oder widerrufen. Ihre Auswahl wird in Ihrem eigenen Browser gespeichert und läuft automatisch nach sechs Monaten ab, danach fragen wir Sie erneut. Außerdem führen wir einen Nachweis über die erteilte Einwilligung, damit wir sie belegen können, wie es das Datenschutzrecht von uns verlangt.

Essenzielle Technologien laufen ohne Einwilligung auf Grundlage unseres berechtigten Interesses und § 165 Abs 3 TKG 2021, weil die Website ohne sie nicht sicher ausgeliefert werden kann. Sie umfassen Bot-Schutz und Abwehr von Denial-of-Service-Angriffen über unseren Website-Host sowie Google reCAPTCHA, das unsere Kontakt- und Buchungsformulare vor automatisiertem Missbrauch schützt und dafür technische Daten und Interaktionsdaten verarbeitet.

Einwilligungsbasierte Technologien laufen nur mit Ihrer Einwilligung (Art 6 Abs 1 lit a DSGVO, § 165 Abs 3 TKG 2021):

• Google Tag Manager und Google Analytics 4 (Google Ireland Ltd): Reichweiten- und Nutzungsanalyse. Die Analyse-Cookies haben eine Laufzeit von bis zu zwei Jahren; die Analysedaten selbst werden 14 Monate gespeichert.
• HubSpot (HubSpot Ireland): Website-Analyse, Formulare und Chat (siehe Abschnitt 4).
• Microsoft Clarity (Microsoft Ireland Operations Limited): Nutzungsanalyse, Heatmaps und Sitzungsanalyse, um zu verstehen, wie die Website genutzt wird. Microsoft handelt für diese Daten als eigenständiger Verantwortlicher und speichert die Sitzungsdaten bis zu 30 Tage. Wir haben die Weitergabe von Clarity-Daten an Microsoft für dessen eigene Werbezwecke deaktiviert.
• Meta-Werbetools (Meta Platforms Ireland Ltd): Werbung, Conversion-Messung und Remarketing.

Eingebettete Inhalte Dritter. Einige Seiten binden Video- und Terminbuchungsinhalte von Dritten ein, derzeit Vimeo, Loom und Calendly. Diese Einbettungen setzen eigene Cookies und Speichereinträge und bringen eigene Analyse- und Fehlerüberwachungsanbieter mit, weshalb sie erst nach Ihrer Einwilligung geladen werden. Bis dahin sehen Sie anstelle des eingebetteten Inhalts einen Platzhalter.

Das vollständige Verzeichnis. Eine vollständige, aktuelle Liste aller von uns gesetzten Cookies und Speichereinträge mit Anbieter, Zweck, Typ und Speicherdauer finden Sie im Cookie-Einstellungsfenster, das über den Fußbereich der Website erreichbar ist. Wir führen sie dort und nicht in diesem Dokument, damit sie auch zwischen Aktualisierungen dieser Erklärung korrekt bleibt.

Soweit diese Anbieter personenbezogene Daten in die USA oder andere Drittländer übermitteln, erfolgt dies auf Grundlage des EU-US Data Privacy Framework und/oder von EU-Standardvertragsklauseln (siehe Abschnitt 9).

Kontakt und Chat. Wenn Sie uns über Formulare, per E-Mail oder über den Website-Chat kontaktieren, verarbeiten wir Ihre Angaben und Ihre Nachricht zur Bearbeitung Ihres Anliegens (Art 6 Abs 1 lit b oder lit f DSGVO). Anfragen werden in HubSpot und, für den Support, in Zendesk verwaltet.

Anrufe, Videomeetings und SMS. Wenn Sie uns anrufen oder wir Sie anrufen, verarbeiten wir Ihre Telefonnummer und die Angaben zum Gespräch. Anrufe und Videomeetings werden nur mit Ihrer Einwilligung aufgezeichnet, dies wird zu Beginn des Gesprächs angekündigt und Sie können ablehnen. Wird eine Aufzeichnung erstellt, kann sie automatisch transkribiert und zusammengefasst werden, um den Inhalt des Gesprächs festzuhalten; eine Bewertung Ihrer Person erfolgt nicht. Aufzeichnungen, Transkripte und Zusammenfassungen werden spätestens sechs Monate nach dem Gespräch gelöscht. Wir nutzen außerdem SMS: zu Marketingzwecken auf Grundlage Ihrer Einwilligung und gegenüber Bestandskunden auf Grundlage unseres berechtigten Interesses in den Grenzen des § 174 TKG 2021. Sie können jederzeit widersprechen.

4. Leads, Kunden und Marketing

CRM. Wir verwalten Geschäftskontakte, Leads und Kundenbeziehungen in HubSpot (Kontaktdaten, Unternehmen, Interaktionshistorie). Rechtsgrundlage: Vertragserfüllung oder vorvertragliche Maßnahmen (Art 6 Abs 1 lit b DSGVO) und unser berechtigtes Interesse an der Verwaltung von B2B-Kundenbeziehungen (Art 6 Abs 1 lit f DSGVO).

Newsletter und Produktkommunikation. Wir versenden Newsletter an Abonnenten mit Double-Opt-in-Einwilligung (Art 6 Abs 1 lit a DSGVO) und an Bestandskunden für ähnliche eigene Produkte nach § 174 TKG 2021 (Art 6 Abs 1 lit f DSGVO). Newsletter enthalten Öffnungs- und Klickmessung (Tracking-Pixel) zur Verbesserung der Inhalte; Sie können jederzeit widersprechen oder sich über den Link in jeder E-Mail abmelden.

B2B-Ansprache. Wir kontaktieren potenzielle Geschäftskunden, deren Funktionen eine Relevanz für unsere Produkte nahelegen, auf Grundlage unseres berechtigten Interesses an B2B-Direktmarketing (Art 6 Abs 1 lit f DSGVO, Erwägungsgrund 47). Sie können jederzeit mit Wirkung für die Zukunft widersprechen.

Abrechnung. Die Kundenabrechnung läuft über unseren Abrechnungsanbieter (Chargebee) und über Zahlungs- und Bankdienstleister; Rechnungsdaten werden nach österreichischem Steuerrecht 7 Jahre aufbewahrt (§ 132 BAO; Art 6 Abs 1 lit c DSGVO).

5. Benutzerkonten der Lieferanten

Für Mitarbeiter unserer Kunden, die die Plattform nutzen (Name, geschäftliche E-Mail-Adresse, Rolle, Anmeldedaten, Einstellungen, Aktivität), verarbeiten wir Daten zur Erbringung der vertraglich vereinbarten Leistung (Art 6 Abs 1 lit b DSGVO), zur Sicherheit der Plattform und zur Missbrauchsprävention (Art 6 Abs 1 lit f DSGVO) sowie für Produktanalysen (Mixpanel; Art 6 Abs 1 lit f DSGVO), wobei die Daten spätestens 2 Jahre nach Erhebung automatisch gelöscht oder anonymisiert werden. Seit August 2026 übermitteln wir an unseren Analyseanbieter nur eine pseudonyme Nutzerkennung zusammen mit Informationen zur Funktionsnutzung und zum Gerät; Namen, Firmennamen, Jobtitel, Telefonnummern und E-Mail-Adressen werden nicht übermittelt. Für Fehler- und Performance-Diagnose kommt Datadog zum Einsatz (Art 6 Abs 1 lit f DSGVO). Kontodaten werden gespeichert, solange das Konto des Kunden bei uns aktiv ist, und ein einzelner Nutzerdatensatz wird spätestens ein Jahr nach der letzten Aktivität dieses Nutzers gelöscht.

6. Bewerber

Bewerbungsdaten werden zur Durchführung des Bewerbungsverfahrens verarbeitet (Art 6 Abs 1 lit b DSGVO analog; für die interne Nutzung sind Erwägungen nach § 96 ArbVG zu beachten). Kommt kein Beschäftigungsverhältnis zustande, löschen wir Bewerbungsunterlagen spätestens 7 Monate nach Abschluss des Verfahrens (Verjährungsfrist für Ansprüche nach dem österreichischen Gleichbehandlungsgesetz), sofern Sie nicht einer längeren Speicherung in unserem Talentpool zustimmen.

7. Die Orderlion-Plattform: Verarbeitung für unsere Kunden

Als Auftragsverarbeiter für unsere Lieferantenkunden verarbeiten wir auf deren dokumentierte Weisung: Kontodaten von Bestellnutzern, Bestell- und Transaktionsdaten, plattforminterne Nachrichten und, für die Funktion Inbox, den Inhalt der vom Lieferanten weitergeleiteten Bestell-E-Mails (Metadaten, Text, Anhänge).

KI-gestützte Bestellextraktion (Inbox). Um Bestell-E-Mails in strukturierte Bestellungen umzuwandeln, werden E-Mail-Inhalte von großen Sprachmodellen verarbeitet, auf die per API von OpenAI und Anthropic zugegriffen wird. Sprachnachrichten (z. B. Bestellungen auf der Mailbox) werden vor der Extraktion mit Microsoft Azures Whisper-Dienst auf EU-Infrastruktur transkribiert; Microsoft speichert eine Stichprobe von Audiodaten und Transkriptionen bis zu 30 Tage zur Missbrauchsüberwachung und löscht sie anschließend. Plattformdaten werden auf AWS in Frankfurt, Deutschland, gespeichert; die KI-Anbieter verarbeiten die an sie übermittelten Inhalte ausschließlich zur Extraktion und nutzen sie nicht zum Training ihrer Modelle. Übermittlungen an diese Anbieter außerhalb der EU sind durch EU-Standardvertragsklauseln und, soweit anwendbar, durch das EU-US Data Privacy Framework abgesichert. Lieferanten wählen zwischen einem Modus, in dem ihre Mitarbeiter jede extrahierte Bestellung prüfen, und einem automatischen Modus mit systemseitiger Markierung unsicherer Bestellungen.

In der EU gehostete KI-Modelle auf Anfrage. Kunden können verlangen, dass die KI-Verarbeitung für ihr Konto ausschließlich auf Infrastruktur in der EU erfolgt. Für diese Konten läuft die Bestellextraktion auf Anthropic-Claude-Modellen, die über AWS Bedrock in Frankfurt bereitgestellt werden, und OpenAI wird nicht eingesetzt. Dies ist während der Einrichtung schriftlich anzufordern und von Orderlion zu bestätigen.

KI-Transparenz. Unser KI-Assistent weist sich als KI aus. KI-Funktionen auf der Plattform treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung gegenüber natürlichen Personen; sie extrahieren, fassen zusammen und empfehlen, und Menschen entscheiden.

Der Lieferant bestimmt Zwecke, Speicherdauer und Offenlegung der Plattformdaten; Einzelheiten sind in unserem Auftragsverarbeitungsvertrag und in der Unterauftragsverarbeiterliste festgelegt.

8. Empfänger

Wir geben personenbezogene Daten weiter an: unsere Unterauftragsverarbeiter und Dienstleister (Hosting, E-Mail-Versand, KI-Modellanbieter, Analyse, Support, CRM, Abrechnung, Kommunikationswerkzeuge) auf Grundlage von Auftragsverarbeitungsverträgen; unsere Steuer- und Rechtsberater; Banken und Zahlungsdienstleister zur Abwicklung; Inkassodienstleister, wenn Rechnungen nach Mahnungen offen bleiben, beschränkt auf die erforderlichen Kontakt- und Forderungsdaten (Art 6 Abs 1 lit f DSGVO); und Behörden, soweit gesetzlich vorgeschrieben. Wurde ein Kunde durch einen Vertriebspartner an uns vermittelt, teilen wir dem Partner Informationen über diesen Kunden ausschließlich auf Unternehmensebene zur Provisionsabrechnung mit; persönliche Kontaktdaten von Mitarbeitern des Kunden werden nicht offengelegt. Eine aktuelle Liste der für Plattformdaten eingesetzten Unterauftragsverarbeiter ist unter www.orderlion.com/de/subprocessors veröffentlicht.

9. Internationale Datenübermittlungen

Soweit sich Empfänger außerhalb der EU/des EWR befinden (insbesondere Anbieter mit Sitz in den USA), stützen wir uns auf Angemessenheitsbeschlüsse (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger) und/oder auf EU-Standardvertragsklauseln mit ergänzenden Maßnahmen, soweit erforderlich. Kopien der einschlägigen Garantien können über unseren Datenschutzkontakt angefordert werden.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die oben genannten Zwecke erforderlich oder gesetzlich vorgeschrieben ist: Vertrags- und Abrechnungsdaten bis zu 7 Jahre (Steuerrecht); Vertragsdokumentation bis zu 3 Jahre nach Vertragsende (Verjährungsfristen); Marketingdaten bis zum Widerspruch oder, bei Interessenten, die nie Kunden werden, spätestens 24 Monate nach der letzten Interaktion; Bewerbungsdaten 7 Monate; Website-Analysedaten 14 Monate, wobei die zugrunde liegenden Cookies nach höchstens 2 Jahren ablaufen; Ihre Cookie-Einstellungen 6 Monate, gespeichert in Ihrem eigenen Browser, und der entsprechende Einwilligungsnachweis 24 Monate; pseudonymisierte Produktanalysedaten bis zu 2 Jahre nach Erhebung, danach werden sie automatisch gelöscht oder anonymisiert; Plattformdaten nach Weisung des Lieferanten und unserem AVV. Soweit Fristen in unseren internen Aufzeichnungen noch finalisiert werden, gilt jeweils die kürzere der genannten Fristen.

11. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit sowie das Recht, einer auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen, einschließlich Direktmarketing (Art 15-21 DSGVO). Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Kontakt: privacy@orderlion.com. Sie haben außerdem das Recht, sich bei der österreichischen Datenschutzbehörde (Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb.gv.at) oder bei Ihrer örtlichen Aufsichtsbehörde zu beschweren.

12. Keine automatisierte Entscheidungsfindung

Wir führen keine automatisierte Entscheidungsfindung im Sinne des Art 22 DSGVO durch, das heißt keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

13. Änderungen

Wir aktualisieren diese Erklärung, wenn sich unsere Verarbeitungen, unsere Werkzeuge oder die Rechtslage ändern. Die aktuelle Fassung wird mit ihrem Versionsdatum auf dieser Seite veröffentlicht; wesentliche Änderungen, die Kunden betreffen, werden zusätzlich gemäß unseren vertraglichen Mitteilungsbestimmungen kommuniziert.

‍