Datenschutzerklärung

MakeSimple.ch, Wassergrabe 6, 6210 Sursee, Schweiz. Kontakt: info@makesimple.ch, +41 41 521 87 13.

MakeOrder ist ein Produkt der MakeSimple.ch und fungiert als technischer Vermittler zwischen Endkunden und Partnerbetrieben (Rollenverteilung siehe Abschnitt 16).

Diese Erklärung gilt für makeorder.ch, die MakeOrder-Apps (Kunden-App, Business-App, Kasse/POS, Kiosk, Service-App, Fahrer-App, Küchen-Display) und das Inhaberpanel. Für makeorder.de gilt eine eigene Erklärung.

Kundendaten: Name, E-Mail-Adresse, Telefonnummer, Passwort (gehasht), Profilbild, Spracheinstellung, Privatsphäre-Einstellung für den Anzeigenamen, M-Points-Saldo und -Bewegungen, Willkommensguthaben, Wunschliste, gefolgte Geschäfte.

Bestelldaten: Kundenname, Telefonnummer, E-Mail, Lieferadresse, Tischnummer, bestellte Produkte mit Varianten/Optionen, Bestellstatus, Beträge (Zwischensumme, MwSt., Liefergebühr, Servicegebühr, Trinkgeld, Rabatt, eingelöste M-Points), Gutscheincode, Bestellnummer, Zahlungsmethode und Zahlungsstatus, Bestellkanal (Web, App, QR, Kiosk, Kasse).

Partnerdaten: Firmenname, Handelsregister-/UID-Angaben, Beschreibung, Logo/Banner, Standortadressen, Geokoordinaten, Bankverbindung (IBAN/Kontoinhaber), Öffnungszeiten, Steuereinstellungen, Abonnemente, Auszahlungen und Abrechnungen.

Personaldaten: Name, E-Mail, Rolle (Inhaber/Mitarbeiter), Standort, Berechtigungen, PIN (gehasht), Schichten, Pausen und Wochenplan; Lieferfahrer: Name, Telefon, Fahrzeug, Live-Position während aktiver Lieferungen.

Reservierungs- und Termindaten: Name, E-Mail, Telefon, Gästezahl, Datum/Uhrzeit, Notizen, gebuchte Dienstleistung, Kalender-Synchronisationsdaten (Google Calendar / Apple CalDAV) bei aktiver Verknüpfung. Bei Terminbuchungen ohne Kundenkonto: Name, E-Mail, Telefon und ein per E-Mail zugestellter Verwaltungslink. Bei Online-Vorauszahlung oder Anzahlung für Termine: online belasteter Betrag, vor Ort fälliger Restbetrag, Zahlungsreferenz (Stripe) sowie Rückerstattungen und der Entscheid des Partnerbetriebs bei Nichterscheinen.

Social-Feed: Beiträge, Status, Bilder, Likes, Kommentare, Bewertungen; Anzeigename gemäss Ihrer Privatsphäre-Einstellung (voller Name, Initial + Nachname, Nickname oder anonym).

Treueprogramme: M-Points (plattformweit), Stempelkarten-Fortschritt je Geschäft, Gutscheine und Geschenkkarten (Codes, Beträge, Einlösestatus, Absender/Empfänger), Empfehlungsprogramm (Referral-Codes, Boni), Freundschaftsverbindungen per QR-Code.

Kundenkarten (NFC) beim Partnerbetrieb: Karten-Kennung (UID), Vor- und Nachname, offene Bestellungen («Deckel»), Abschluss- und Abschreibungsvorgänge. Diese Daten werden ausschliesslich im Auftrag des jeweiligen Partnerbetriebs verarbeitet.

Anruferkennung beim Partnerbetrieb: Telefonnummer eingehender Anrufe auf dem Festnetz oder dem gekoppelten Android-Gerät des Betriebs, Zeitpunkt des Anrufs und Abgleich mit den Kundendaten dieses Betriebs (Name, letzte Bestellungen), damit das Personal den Anrufer erkennt. Verantwortlich ist der Partnerbetrieb (Abschnitt 16).

Einwilligungen: Zeitpunkt, Version des Rechtstextes (aktuell AGB 2026-09, Datenschutz 2026-09, Support-Bedingungen 2026-08), Kanal (AGB, Datenschutz, E-Mail-Kampagnen, WhatsApp, Push, Support-Bedingungen), Quelle (z. B. Checkout), IP-Adresse und User-Agent.

Checkout-Abbruch: Bricht eine Online-Zahlung ab, speichern wir die abgebrochene Bestellung und können Ihnen einmalig eine E-Mail mit einer Ein-Klick-Umfrage zum Abbruchgrund senden; Ihre Antwort (Grund, optionaler Freitext, Sprache, Zeitpunkt) wird gespeichert.

Hilfe-Assistent: Fragen, die Sie unter makeorder.ch/help an den KI-Assistenten stellen (Fragetext, Sprache, gewähltes Handbuch), ohne Login und ohne Zuordnung zu Ihrem Konto.

KI-Assistent im Owner Panel (nur Partnerbetriebe): gestellte Fragen und erhaltene Antworten, Sprache, Zeitpunkt und Verbrauch des Fragen-Kontingents, zugeordnet zum Partnerbetrieb.

Technische Daten: IP-Adresse, Browser-/Geräteinformationen, App-Version, Push-Token (FCM/APNs/Web-Push), Zugriffszeitpunkte und Sicherheitsereignisse (Server-Logs), Rate-Limiting-Zähler.

Standortdaten: GPS- oder netzwerkbasierter Standort (nur nach Einwilligung) zur Anzeige nahegelegener Geschäfte; Geokoordinaten der Lieferadresse und Live-Position des Lieferfahrers während einer aktiven Lieferung (Abschnitt 6).

Chat-Nachrichten zwischen Kunde und Partnerbetrieb (Text, Zeitstempel).

Bilder: Profilbilder, Produktbilder, Feed-Beiträge, vom Partnerbetrieb hochgeladene Lieferscheine, Speisekarten oder Produktfotos zur KI-Erfassung.

Audit-Daten: Protokolle über buchhalterische Vorgänge, Bestellstatus-Änderungen, Retouren, Gutschriften, Menü-Änderungen, Support-Zugriffe und Drucke.

Die Website speichert im Browser (localStorage): Authentifizierungs-Token (JWT), Nutzerprofil (ID, E-Mail, Name, Rolle), Warenkorb, ausgewählter Standort, Suchverlauf, Sprachwahl, Cookie-Hinweis-Bestätigung und ausgeblendete Hinweise (z. B. App-Banner).

In den mobilen Apps werden zusätzlich gespeichert: Push-Token, Standort-Einwilligung, zuletzt besuchte Geschäfte; in Kasse und Kiosk ausserdem der Offline-Puffer für Bestellungen und Gerätekonfiguration.

Es werden keine Tracking-Cookies und keine Werbe- oder Analyse-Tracker Dritter eingesetzt. Die Sitzungsverwaltung erfolgt über JWT-Tokens im localStorage bzw. im geschützten Speicher der App.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 DSG): Bestell-, Zahlungs-, Auszahlungs-, Reservierungs-, Termin- und Kontodaten, M-Points, Lieferverfolgung, Kundenkarten-Deckel, Chat.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 DSG): Betrugsprävention und Risikoprüfung, Rate-Limiting, Sicherheitsprotokollierung, Audit-Logs, Anruferkennung im Auftrag des Partnerbetriebs, Checkout-Abbruch-Umfrage (einmalig, jederzeit widersprechbar), Klick-Messung in Plattform-E-Mails (Abschnitt 15), Verbesserung des Hilfe-Assistenten.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Kampagnen-E-Mails, WhatsApp-Nachrichten (separates Opt-in, Widerruf per STOP oder in den Kontoeinstellungen), werbliche Push-Nachrichten, Standortfreigabe, Kalender-Synchronisation (OAuth), Support-Zugriff auf das Inhaberpanel. Eine blosse Bestellung löst kein Marketing-Opt-in aus.

Protokollierung der Einwilligung (Art. 7 Abs. 1 DSGVO / Art. 6 DSG): Jede Einwilligung, die Annahme von AGB und Datenschutzerklärung sowie jeder Widerruf werden mit Version, Zeitstempel, IP-Adresse und User-Agent protokolliert.

Gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO / Art. 958f OR): Steuer- und handelsrechtliche Aufbewahrung von Bestell-, Zahlungs-, Auszahlungs- und Abschlussdaten.

Stripe, Inc. (USA): Abwicklung von Online-Zahlungen (Karte, TWINT, Apple Pay, Google Pay und weitere von Stripe angebotene Methoden) sowie der Modul-Abonnemente der Partnerbetriebe. Zahlungsempfängerin ist MakeOrder; Stripe verarbeitet Kartendaten direkt, MakeOrder hat keinen Zugriff auf vollständige Kartennummern. Übermittelte Daten: Betrag, Währung, Zahlungsmethode, Bestellnummer, Kunden-E-Mail. Rechtsgrundlage: Vertragserfüllung. PCI-DSS-zertifiziert; Übermittlung in die USA auf Basis des EU-U.S./Swiss-U.S. Data Privacy Framework (DPF).

SumUp Limited (UK/EU), Worldline Schweiz AG (Schweiz) und PostFinance AG (Schweiz): Kartenzahlungen am Terminal der Kasse. Übermittelte Daten: Transaktionsbetrag, Währung, Terminal-/Händlerreferenz; keine Kundenstammdaten. Rechtsgrundlage: Vertragserfüllung. Verarbeitung im EWR bzw. in der Schweiz.

Hostpoint AG (Schweiz): E-Mail-Versand über SMTP (Bestellbestätigungen, 2FA-Codes, Passwort-Reset, Reservierungs-/Terminbestätigungen, Auszahlungsbelege, Tages- und Monatsabschlüsse, Kampagnen, Checkout-Abbruch-Umfrage). Rechtsgrundlage: Vertragserfüllung bzw. Einwilligung. Verarbeitung in der Schweiz.

Google Firebase / FCM (USA): Push-Benachrichtigungen der Apps (Push-Token, Nachrichteninhalt). Rechtsgrundlage: Einwilligung. DPF.

W3C Web Push (Browseranbieter Google, Mozilla, Apple, Microsoft): Push-Benachrichtigungen im Browser (Subscription-Endpoint, verschlüsselter Inhalt). Rechtsgrundlage: Einwilligung.

Meta / WhatsApp Business API (USA/Irland): Versand von Marketing-Nachrichten und Bestellbenachrichtigungen (Telefonnummer, Nachricht, Template-Parameter). Rechtsgrundlage: Einwilligung. DPF.

Google Calendar API und Apple CalDAV/iCloud (USA): Synchronisation von Reservierungen/Terminen in den Kalender des Nutzers (Datum/Zeit, Geschäftsname, Standort). Rechtsgrundlage: Einwilligung (OAuth), jederzeit widerrufbar. Google: DPF; Apple: EU-Standardvertragsklauseln (SCC).

Google Maps Platform (Google LLC, USA): Kartenanzeige auf Website/App (Geokoordinaten der Geschäfte, ungefährer Nutzerstandort falls erlaubt). Schriftarten werden von unseren eigenen Servern geladen, nicht von Google. Rechtsgrundlage: berechtigtes Interesse. DPF.

Anthropic, PBC (USA): KI-Funktionen. Übermittelt werden ausschliesslich die für die jeweilige Funktion nötigen Inhalte: Fragen an den Hilfe-Assistenten samt Handbuchauszügen; von Partnerbetrieben eingegebene Produkt-, Kategorie- und Kampagnentexte zur Übersetzung, Icon-Auswahl oder Deklarations-Vorbefüllung; von Partnerbetrieben hochgeladene Fotos oder Dateien (Speisekarten, Lieferscheine, Produktbilder) zur automatischen Erfassung; kuratierte Plattform-Neuigkeiten für Kampagnentexte; Fragen von Partnerbetrieben an den KI-Assistenten im Owner Panel samt Handbuchauszügen und zusammengefassten Kennzahlen des eigenen Betriebs (Umsätze, Produktabsätze, Stosszeiten, Schichtkennzahlen ohne Personennamen). Es werden keine Kundenstammdaten, keine einzelnen Bestellungen und keine Zahlungsdaten an Anthropic übermittelt; die Inhalte werden von Anthropic nicht zum Training verwendet. Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse. Übermittlung in die USA auf Basis der EU-Standardvertragsklauseln (SCC).

OpenStreetMap / Nominatim (OpenStreetMap Foundation, UK) und Swisstopo / geo.admin.ch (Schweiz): Adress-Suche und -Vervollständigung (Adresstext). Routenführung, ETA-Berechnung und Geocoding für Lieferungen laufen auf einer eigenen, selbst gehosteten Instanz (OSRM/Nominatim) – hierfür werden keine Adressen an Dritte übermittelt.

Zefix / admin.ch (Schweiz): Prüfung von Handelsregistereinträgen bei der Registrierung von Partnerbetrieben (Firmenname/UID). Open Food Facts (Community-Projekt): EAN-Abfrage für Produktinformationen (nur der Barcode).

Hetzner Online GmbH (Deutschland): Hosting der Anwendungsserver, der Datenbank (PostgreSQL) und der täglichen verschlüsselten Backups. Rechtsgrundlage: Vertragserfüllung. Verarbeitung in der EU.

Vom Partnerbetrieb konfigurierte ERP-/WMS-Webhooks: Bestell-, Produkt- und Lagerdaten gemäss Konfiguration des Partnerbetriebs, abgesichert mit HMAC-SHA256-Signaturen. Der Partnerbetrieb ist für die Weiterverarbeitung verantwortlich.

Behörden und Gerichte: nur auf Grundlage einer gesetzlichen Verpflichtung. Eine Weitergabe an sonstige Dritte erfolgt nur mit Ihrer ausdrücklichen Einwilligung.

MakeOrder kann GPS- oder netzwerkbasierte Standortdaten erheben, um Ihnen nahegelegene Geschäfte anzuzeigen und Lieferentfernungen zu berechnen – ausschliesslich nach aktiver Einwilligung über den Betriebssystem- oder Browser-Dialog.

Sie können die Standortfreigabe jederzeit in Ihren Geräteeinstellungen widerrufen. Die App und die Website bleiben ohne Standortfreigabe nutzbar; die Sortierung nach Entfernung ist dann nicht verfügbar.

Standortdaten werden nicht dauerhaft gespeichert und nicht an Dritte weitergegeben, mit Ausnahme der Kartenanzeige über Google Maps (Abschnitt 5).

Bei Lieferbestellungen wird Ihre Lieferadresse in Geokoordinaten umgewandelt, um Lieferroute und voraussichtliche Lieferzeit (ETA) zu berechnen. Dies erfolgt auf der eigenen Server-Infrastruktur von MakeOrder. Rechtsgrundlage: Vertragserfüllung.

Ausschliesslich während einer aktiven Lieferung wird die GPS-Position des zustellenden Lieferfahrers an unsere Server übermittelt, um die Ankunftszeit fortlaufend zu berechnen und Ihnen in der Live-Verfolgung anzuzeigen. Die Übermittlung endet mit Abschluss der Lieferung.

Die Navigation des Lieferfahrers erfolgt über die auf seinem Gerät installierte Karten-App; diese Nutzung wird nicht durch MakeOrder verarbeitet.

MakeOrder kann Push-Benachrichtigungen versenden, um Sie über Bestellstatus, Reservierungen, Termine, Chat-Nachrichten, Aktionen und Neuigkeiten zu informieren.

Mobile App: über Google Firebase Cloud Messaging (FCM) bzw. Apple Push Notification Service (APNs). Webbrowser: über das W3C Push API. Das Push-Token bzw. die Subscription wird bei Einwilligung gespeichert und bei Abmeldung oder Widerruf gelöscht.

Wir unterscheiden zwei Ebenen: (1) Transaktionale Push-Nachrichten zu Ihren eigenen Bestellungen, Reservierungen, Terminen oder Chats erhalten Sie, sobald Sie die technische Push-Einwilligung erteilt haben. (2) Werbliche Push-Nachrichten von Partnerbetrieben erhalten Sie nur, wenn Sie zusätzlich ausdrücklich dem Empfang von Kampagnen zugestimmt haben (Checkout oder Kontoeinstellungen). Das blosse «Folgen» eines Geschäfts löst keine werblichen Pushes aus.

Sie können Push-Benachrichtigungen jederzeit in den Geräte- bzw. Browsereinstellungen deaktivieren.

Die MakeOrder-Apps fordern Berechtigungen nur nach aktiver Einwilligung an:

Kamera: Scannen von QR-Codes (Tischbestellung, Freundschaftseinladungen, Geschenkkarten), Barcode-Scan in Kasse und Lager, Fotoerfassung für KI-Vorschläge.

Standort: Anzeige nahegelegener Geschäfte und Live-Lieferverfolgung (Fahrer-App: nur während aktiver Lieferungen).

Push-Benachrichtigungen: Bestellstatus, Reservierungen, Chat.

Fotogalerie: Hochladen von Profilbildern, Feed-Beiträgen und Produktbildern.

NFC (Kasse): Lesen der Karten-Kennung von Kundenkarten. Telefonstatus/Anrufliste (nur Business-App der Partnerbetriebe, Flottenversion): Anruferkennung eingehender Anrufe auf dem gekoppelten Gerät des Betriebs; wird in der Store-Version nicht angefordert.

Alle Berechtigungen können jederzeit in den Geräteeinstellungen widerrufen werden; einzelne Funktionen sind dann eingeschränkt.

MakeOrder verarbeitet Daten primär auf Servern in Deutschland (Hetzner) und in der Schweiz (Hostpoint). Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission; Übermittlungen zwischen der Schweiz und dem EWR erfordern keine zusätzlichen Garantien.

Für einzelne Dienste erfolgt eine Übermittlung in die USA (Stripe, Google, Meta/WhatsApp, Apple, Anthropic). Die Absicherung erfolgt über das EU-U.S. bzw. Swiss-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, andernfalls über die EU-Standardvertragsklauseln (SCC) mit Schweizer Anhang. Die Zertifizierungen werden regelmässig überprüft (letzte Prüfung: August 2026).

Für Dienste ohne Personenbezug (OpenStreetMap, Open Food Facts, Swisstopo, Zefix) werden ausschliesslich sachbezogene Daten (Adressen, Barcodes, Firmennamen) übermittelt.

Passwörter und PINs werden ausschliesslich gehasht gespeichert (bcrypt). Zwei-Faktor-Authentifizierung per E-Mail für Geschäftskonten. JWT-Tokens mit Ablaufzeit; Token-Widerruf bei Abmeldung und Passwortänderung.

Rate-Limiting zum Schutz gegen Brute-Force- und Missbrauchsversuche, HTTP-Sicherheitsheader, Eingabevalidierung, CORS-Beschränkungen, TLS-Verschlüsselung für alle Datenübertragungen (HTTPS, verschlüsseltes SMTP).

HMAC-SHA256-Signaturen für Webhook-Auslieferungen. Audit-Logging aller buchhalterischen Vorgänge, Menü-Änderungen und Support-Zugriffe.

Mandantentrennung: Geschäftsdaten sind strikt nach Betrieb und Standort getrennt. Tägliche verschlüsselte Backups mit Aufbewahrung an einem zweiten Standort.

Support-Zugriff: Der MakeOrder-Support kann das Inhaberpanel eines Partnerbetriebs nur nach dessen Zustimmung zu den Support-Bedingungen, zeitlich befristet, sichtbar gekennzeichnet und mit Audit-Protokoll öffnen. Der Support gibt keine Einwilligungen stellvertretend ab.

2FA-Codes: automatische Löschung nach 10 Minuten. Passwort-Reset-Tokens: nach 1 Stunde. Personal-Einladungslinks: nach 7 Tagen. Support-Zugriffs-Token: nach 60 Sekunden, Support-Sitzungen enden spätestens nach 2 Stunden.

Push-Tokens: Löschung bei Abmeldung, Kontolöschung oder Widerruf; regelmässige Bereinigung ungültiger Tokens.

Bestell-, Zahlungs-, Auszahlungs- und Abschlussdaten: 10 Jahre (Art. 958f OR, steuerrelevante Daten).

Nutzerkontodaten: bis zur Löschung durch Sie in den Kontoeinstellungen oder auf Anfrage. Bei Kontolöschung werden personenbezogene Daten anonymisiert (Name, E-Mail, Telefon, Profilbild); Bestell-, Reservierungs- und Terminhistorie bleibt anonymisiert für buchhalterische Zwecke erhalten; M-Points verfallen.

Termindaten ohne Kundenkonto: Teil der Terminhistorie des Partnerbetriebs wie bei Kontoinhabern; Löschung oder Anonymisierung auf Anfrage (Abschnitt 12). Zahlungs- und Rückerstattungsbelege unterliegen der buchhalterischen Aufbewahrungsfrist von 10 Jahren.

Checkout-Abbruch-Antworten, Hilfe-Assistent-Fragen und Audit-Logs: gemäss handels- und steuerrechtlichen Anforderungen bzw. längstens 3 Jahre.

OAuth-Tokens (Kalender): Löschung bei Widerruf oder Kontolöschung. Einwilligungsprotokolle: mindestens 3 Jahre nach Widerruf bzw. bis zum Ablauf der zivilrechtlichen Verjährungsfristen.

Kundenkarten-Deckel und Anruferkennungs-Ereignisse beim Partnerbetrieb: gemäss dessen Vorgaben, Anrufereignisse längstens 90 Tage.

Gemäss DSG und DSGVO haben Sie folgende Rechte:

Auskunftsrecht (Art. 25 DSG / Art. 15 DSGVO), Recht auf Berichtigung (Art. 32 DSG / Art. 16 DSGVO), Recht auf Löschung (Art. 17 DSGVO), Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO), Widerspruchsrecht gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO / Art. 32 DSG).

Recht auf Datenübertragbarkeit (Art. 28 DSG / Art. 20 DSGVO): Sie können Ihre Daten jederzeit als JSON-Datei in den Kontoeinstellungen («Meine Daten exportieren») herunterladen.

Kontolöschung: Sie können Ihr Konto selbst in den Kontoeinstellungen löschen; Personalkonten von Partnerbetrieben werden vom Inhaber verwaltet.

Recht auf Widerruf der Einwilligung mit Wirkung für die Zukunft: Abmeldelink in jeder Kampagnen-E-Mail, WhatsApp-STOP oder Kontoeinstellungen, Push und Standort in den Geräteeinstellungen, Kalender-Synchronisation in den Kontoeinstellungen, Support-Bedingungen im Inhaberpanel.

Privatsphäre im Social-Feed: In den Kontoeinstellungen legen Sie fest, ob Ihr voller Name, Initial + Nachname, ein Nickname oder «Anonym» bei Kommentaren und Likes angezeigt wird.

Anfragen richten Sie an info@makesimple.ch. Wir antworten innert 30 Tagen.

Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern.

EU: Sie haben das Recht, eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde Ihres Mitgliedstaates einzureichen.

MakeOrder behält sich vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren. Die jeweils gültige Version ist mit Versionsnummer gekennzeichnet; wesentliche Änderungen werden den Nutzern mitgeteilt, und bei der nächsten Bestellung wird die neue Version bestätigt.

In Kampagnen-E-Mails, die MakeOrder direkt an Abonnenten versendet (Plattformneuheiten, gemeinsame Aktionen), wird gemessen, welche Links angeklickt werden. Wir speichern Empfänger-ID, angeklickte URL und Zeitstempel des ersten Klicks, um Angebote zu verbessern.

Ob und wann Sie eine E-Mail öffnen, messen wir nicht. Zählpixel (Open-Tracking) werden nicht eingesetzt.

Jede dieser E-Mails enthält einen Hinweis auf die Klick-Messung und einen Abmeldelink; mit der Abmeldung endet auch die Klick-Messung. Rechtsgrundlage: berechtigtes Interesse.

MakeOrder ist eine Multi-Tenant-Plattform. Der Kaufvertrag kommt direkt zwischen Ihnen und dem Partnerbetrieb zustande; MakeOrder stellt die technische Infrastruktur für Bestellung, Zahlung, Auszahlung und Kommunikation bereit.

MakeOrder ist Verantwortlicher (Art. 5 lit. j DSG / Art. 4 Nr. 7 DSGVO) für: Stammdaten Ihres Kontos, plattformweite Präferenzen und Einwilligungen, Online-Zahlungen über Stripe und Auszahlungen an Partnerbetriebe, M-Points, Push-Token, Hilfe-Assistent, Checkout-Abbruch-Umfrage, Sicherheits- und Audit-Logs, Hosting und Backups.

Der jeweilige Partnerbetrieb ist Verantwortlicher für: Bestell-, Reservierungs- und Termindaten bei ihm, Kassen- und Kioskverkäufe inkl. Terminalzahlungen, eigene Marketing-Kommunikation an Follower (E-Mail, WhatsApp, Push), eigene Feed-Beiträge und Kampagnen, Stempelkarten und Gutscheine, Kundenkarten (NFC), Anruferkennung, Chat-Nachrichten mit Ihnen, Personaldaten seines Teams, eigene ERP-/WMS-Integrationen sowie die Richtigkeit seiner Produktangaben (Allergene, Nährwerte) einschliesslich gespeicherter KI-Vorschläge.

MakeOrder handelt gegenüber dem Partnerbetrieb als Auftragsverarbeiter (Art. 9 DSG / Art. 28 DSGVO) für die Daten, die der Partnerbetrieb über die Plattform verarbeitet. Ein Vertrag zur Auftragsdatenbearbeitung (AVV) wird mit jedem Partnerbetrieb abgeschlossen.

Hat ein Partnerbetrieb eigene ERP-/WMS-Webhooks konfiguriert, werden Bestelldaten (inkl. Name, Kontakt- und Lieferadresse, Bestellinhalt) zusätzlich an dessen Zielsystem übermittelt; die dortige Verarbeitung unterliegt der Verantwortung des Partnerbetriebs.

Für Auskunfts-, Berichtigungs- oder Löschungsanfragen, die beim Partnerbetrieb gespeicherte Kopien betreffen, können Sie sich an MakeOrder oder direkt an den Partnerbetrieb wenden; wir leiten Anfragen bei Bedarf weiter.