Partner werden

Datenschutzerklärung

Fassung DSE-C-2026-21 · Stand 22.10.2026

Diese Erklärung sagt dir, welche Daten wir verarbeiten, wozu und wie lange. Sie nennt auch, was wir nicht tun: Wir verfolgen dich nicht über andere Apps hinweg, geben nichts an Werbenetzwerke weiter und erstellen keine Profile.

Sie gilt auch dann, wenn du noch kein Konto hast und dich nur für den Start vorgemerkt hast. Was wir dabei verarbeiten, steht in Punkt 3.11 und in Punkt 11.

1. Verantwortlicher

Verantwortlich für die Verarbeitung deiner Daten im Sinn der Datenschutz-Grundverordnung (DSGVO) ist:

Memnoora e.U.
Hütteldorfer Straße 167/10
1140 Wien, Österreich

E-Mail: office@memnoora.at
FN 685082 z, Handelsgericht Wien

Datenschutzbeauftragter. Memnoora wird als eingetragenes Einzelunternehmen geführt. Eine interne Benennung des Betriebsinhabers zum Datenschutzbeauftragten wäre wegen des damit verbundenen Interessenkonflikts nach Art. 38 Abs. 6 DSGVO unzulässig. Sobald die Plattform durch steigende Nutzerzahlen das Kriterium einer umfangreichen Verarbeitung im Sinn des Art. 37 Abs. 1 lit. b DSGVO erfüllt, wird ein externer Datenschutzbeauftragter bestellt. Bis dahin wird die Einhaltung der DSGVO in Eigenverantwortung dokumentiert und überwacht. Für alle Datenschutzanliegen erreichst du uns unter office@memnoora.at.

2. Der wichtigste Punkt zuerst: Wir sind nicht allein verantwortlich

Memnoora ist eine Vermittlungsplattform. Wenn du bestellst, geben wir die für die Ausführung notwendigen Daten an den Partnerbetrieb weiter. Der Betrieb verarbeitet diese Daten als eigener Verantwortlicher, nämlich für die Zubereitung, die Zustellung, seine Buchhaltung und seine steuerlichen Pflichten. Für diese Verarbeitung gilt die Datenschutzerklärung des jeweiligen Betriebs. Seine Kontaktdaten findest du im Info-Bereich der Restaurantseite.

Was wir an den Betrieb weitergeben: Vorname und Name, Telefonnummer, bei Lieferung die Lieferadresse, den Bestellinhalt, deine Hinweise zur Bestellung sowie die Zahlungsart. Nicht weitergegeben werden deine E-Mail-Adresse, dein Bestellverlauf bei anderen Betrieben und deine Zahlungsdaten.

Bei einer Catering-Anfrage kommen die Angaben zur Veranstaltung dazu: Termin, Dauer, Personenzahl, Anlass, bei Lieferung der Veranstaltungsort, deine Rückrufnummer, das Unternehmen falls du eines angibst, die gewählten Speisen und Zusatzleistungen sowie deine Notiz. Deine Angaben zu Ernährung und Allergenen gehen nur dann mit, wenn du ausdrücklich eingewilligt hast (Punkt 3.4b).

3. Welche Daten wir verarbeiten, wofür und auf welcher Grundlage

3.1 Konto und Anmeldung

Daten Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Passwort (nur als BCrypt-Hash, nie im Klartext), Verifizierungsstatus, Anmeldezeitpunkte
Zweck Anlage und Führung deines Kontos, Anmeldung, Verifizierung der E-Mail-Adresse, Passwort-Zurücksetzung, Missbrauchsabwehr
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); für die Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Dienst)
Speicherdauer bis zur Löschung des Kontos, danach siehe Punkt 6

Anmeldung mit Google oder Apple. Wenn du diese Option nutzt, erhalten wir von Google beziehungsweise Apple deine E-Mail-Adresse, deinen Namen und eine Nutzerkennung. Wir erhalten kein Passwort. Bei „Mit Apple anmelden“ kannst du deine E-Mail-Adresse verbergen. Wir erhalten dann eine Weiterleitungsadresse von Apple. Bei „Mit Apple anmelden“ speichern wir zusätzlich ein Zugangstoken, das Apple uns bei der Anmeldung ausstellt. Wir verwenden es ausschließlich, um die Verbindung zu Apple zu trennen, wenn du dein Konto löschst; danach löschen wir es. Abrufen können und tun wir damit nichts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für den Widerruf bei der Löschung zusätzlich Art. 6 Abs. 1 lit. c DSGVO (Art. 17 DSGVO).

Gastbestellung. Du kannst ohne Konto bestellen. Wir verarbeiten dann nur die Daten, die für die konkrete Bestellung nötig sind.

3.2 Adressen

Daten Straße, Hausnummer, Stiege, Tür, Postleitzahl, Ort, Land, Bezeichnung („Zuhause“), Koordinaten der Adresse
Zweck Zustellung, Berechnung der Entfernung und der Liefergebühr, Anzeige der Betriebe in deiner Nähe
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
Speicherdauer bis du die Adresse löschst oder dein Konto beendest; die Kopie an einer abgeschlossenen Bestellung bleibt als Beleg erhalten (siehe unten und Punkt 6)

Die Lieferadresse wird an der Bestellung eingefroren. Sobald du bestellst, bekommt die Bestellung eine eigene Kopie der Adresse. Änderst oder löschst du die Adresse später in deinem Adressbuch, ändert das an abgeschlossenen Bestellungen nichts — ein Beleg muss zeigen, wohin tatsächlich geliefert wurde. Umgekehrt heißt das: Dein Adressbuch gehört dir, und was du dort löschst, ist dort weg.

Adress-Vorschläge beim Tippen. Während du eine Adresse eingibst, senden wir deine Eingabe an den Geocoding-Dienst Photon, betrieben von der komoot GmbH, Deutschland, um dir Vorschläge anzuzeigen. Übermittelt wird der eingegebene Text, nicht dein Name und nicht deine Kontokennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an korrekten, zustellbaren Adressen).

3.3 Standort

Daten ungefähre oder genaue Gerätekoordinaten
Zweck Anzeige von Betrieben in deiner Nähe, Vorbefüllung der Adresssuche
Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemabfrage deines Geräts)
Speicherdauer Die Position wird zur Sortierung verwendet und nicht dauerhaft gespeichert. Gespeichert werden nur die Adressen, die du selbst anlegst.

Du kannst die Standortfreigabe jederzeit in den Systemeinstellungen deines Geräts widerrufen. Die App bleibt dann nutzbar. Du gibst deine Adresse einfach manuell ein.

3.4 Bestellungen

Daten Bestellnummer, Betrieb, bestellte Artikel samt Beilagen und Notizen, Beträge (Warenwert, Liefergebühr, Rabatt, Umsatzsteuer, Gesamtbetrag), Liefer- oder Abholart, bei Lieferung die Kopie der Lieferadresse samt Zustellhinweis, die für diese Bestellung angegebene Telefonnummer, Zeitstempel des Statusverlaufs, Ablehn- oder Stornogrund, angewendeter Gutschein, akzeptierte Fassung der Geschäftsbedingungen
Zweck Abwicklung der Bestellung, Anzeige im Bestellverlauf, Bestellbestätigung, Belegpflichten, Bearbeitung von Beschwerden, Nachweis der akzeptierten Vertragsfassung
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO (§ 132 BAO, § 212 UGB)
Speicherdauer 7 Jahre ab Ende des Kalenderjahres der Bestellung, danach Anonymisierung

Deine Rechnung. Zahlst du in der App mit Karte, schicken wir dir nach der Übergabe die Rechnung über die Speisen per Mail und legen sie in deinem Bestelldetail ab; wir stellen sie im Namen des Betriebs aus. Bei einer Zustellung durch unseren Kurierdienst kommt unsere Rechnung über die Liefergebühr dazu. Über 400 Euro trägt die Rechnung deinen Namen und deine Anschrift. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (§ 11 UStG). Speicherdauer wie die Bestelldaten.

3.4a Zustellung durch einen Kurierdienst

Liefert ein Betrieb nicht mit eigenem Personal, beauftragen wir einen Kurierdienst. Er braucht, um dich zu finden, dieselben Angaben wie ein Bote des Betriebs — und eine Nummer, unter der er dich erreicht.

Der Kurierdienst ist Wolt Austria GmbH, Zaunergasse 4 bis 6, 1030 Wien. Er hat dabei zwei Rollen, und wir benennen beide.

Für die Zustellung arbeitet er in unserem Auftrag. Insoweit ist er Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet deine Daten nur nach unserer Weisung. Verantwortlich bleiben wir, und an uns richtest du deine Anliegen (Punkt 7).

Für die Auswertung seiner eigenen Zustellleistung ist er selbst verantwortlich. Er sieht sich an, wie seine Fahrten verlaufen, und verbessert damit seinen Dienst. Das geschieht nicht auf unsere Weisung, und wir können sie ihm dafür auch nicht erteilen. Es gilt dafür seine eigene Datenschutzerklärung, so wie bei den übrigen selbst verantwortlichen Empfängern in Punkt 4.

Einzelne seiner Unterauftragnehmer sitzen außerhalb der EU und des EWR. Dafür gelten die Standardvertragsklauseln der Europäischen Kommission (Punkt 5).

Daten Vor- und Nachname, Lieferadresse samt Koordinaten, Zustellhinweis, Telefonnummer, Bestellnummer, die bestellten Artikel mit Bezeichnung, gewählten Zutaten, deiner Anmerkung zur Position, Menge und Preis, Name und Adresse des abholenden Betriebs
Zweck Beauftragung und Durchführung der Zustellung sowie Rückfragen des Kuriers unterwegs. Die Auswertung seiner eigenen Zustellleistung nimmt der Kurierdienst als eigener Verantwortlicher vor.
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO für die Zustellung. Für seine eigene Auswertung richtet sie sich nach seiner Datenschutzerklärung.
Speicherdauer bei uns wie die Bestellung; beim Kurierdienst nach dem Auftragsverarbeitungsvertrag — nach dessen Ende gibt er die Daten zurück oder löscht sie, soweit ihn kein Gesetz zur Aufbewahrung verpflichtet

Die Telefonnummer fragen wir nur für diesen Fall. Steht am Konto keine, fragt der Bestellvorgang danach — und nur dann. Sie gehört zur Bestellung, nicht zum Konto: Du kannst für eine einzelne Lieferung eine andere angeben, etwa wenn du ins Büro bestellst. Steht am Konto keine Nummer und ist die angegebene noch nicht vergeben, übernehmen wir sie zusätzlich ins Profil, damit du sie nicht jedes Mal eingeben musst.

Deine Anmerkung zu einer Position geht mit. Schreibst du zu einem Gericht etwas dazu, etwa „ohne Zwiebeln“, liest der Kurier es an der Theke mit, damit er die richtige Tüte mitnimmt. Schreib dort nichts hinein, was der Kurier nicht wissen muss.

Die Übergabe-Kennzahl vergibt der Kurierdienst. Wir rufen sie bei ihm ab und zeigen sie dir und dem Betrieb in der App; du nennst sie dem Kurier an der Tür (Punkt 8.4c der Geschäftsbedingungen). Wir speichern sie mit dem Kurierauftrag, so lange wie die Bestellung. Eine SMS mit der Kennzahl schicken weder wir noch der Kurierdienst.

Bei Selbstabholung und bei Lieferung durch den Betrieb selbst erhält kein Kurierdienst Daten.

Bevor du bezahlst, fragen wir nach. Liefert ein Kurierdienst deine Bestellung, fragen wir ihn vor der Zahlung, ob er von diesem Betrieb an deine Adresse liefern kann. Dafür erhält er nur die Koordinaten des Betriebs und deiner Lieferadresse, keinen Namen und keine Telefonnummer. Sagt er ab, kannst du die Bestellung weiterhin abholen. Bestellst du nicht, erhält er nichts weiter von dir. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor Vertragsschluss).

Die Verfolgungsseite betreibt der Kurierdienst. Nach der Beauftragung zeigt dir die App einen Link, unter dem du die Lieferung verfolgen kannst. Er führt auf eine Seite des Kurierdienstes. Ob du sie öffnest, entscheidest du; den Stand deiner Lieferung zeigt dir die App auch ohne sie.

3.4b Catering-Anfragen

Eine Catering-Anfrage braucht mehr als eine Bestellung. Der Betrieb plant Küche, Personal und Anfahrt Tage oder Wochen im Voraus, und dafür muss er wissen, was wann wo für wie viele Leute stattfindet.

Daten Termin, geplante Dauer, Personenzahl, Anlass, Ausprägung und Art der Veranstaltung, bei Lieferung und Full-Service der Veranstaltungsort samt Koordinaten, deine Rückrufnummer, das Unternehmen falls du eines angibst, das gewählte Paket oder dein zusammengestelltes Menü, gebuchte Zusatzleistungen, deine Notiz an den Betrieb, Beträge und Zahlungsstand von Anzahlung und Restzahlung, Storno- oder Absagegrund. Bei älteren Anfragen zusätzlich eine Budgetangabe und die Aufteilung in Erwachsene und Kinder; danach fragen wir nicht mehr
Zweck Prüfung und Planung durch den Betrieb, Angebot, Terminbindung, Abwicklung von Anzahlung und Restzahlung, Belegpflichten
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO (§ 132 BAO)
Empfänger der Betrieb, der die Veranstaltung ausrichtet
Speicherdauer wie bei Bestellungen: 7 Jahre ab Ende des Kalenderjahres, danach Anonymisierung

Der Veranstaltungsort ist nicht deine Lieferadresse. Du gibst ihn je Anfrage eigens an, und er wandert nicht in dein Adressbuch. Bei Selbstabholung fragen wir ihn gar nicht.

Ernährung und Allergene: nur mit deiner ausdrücklichen Einwilligung

Wenn du angibst, dass etwas glutenfrei oder laktosefrei sein soll, oder ein Allergen ausschließt, lässt das auf eine Unverträglichkeit schließen. Solche Angaben sind Gesundheitsdaten im Sinn des Art. 4 Z 15 DSGVO, und für die gelten strengere Regeln als für alles andere in dieser Erklärung.

Daten die gewählten Ernährungsformen (vegetarisch, vegan, glutenfrei, laktosefrei) und die Allergene, die im Menü nicht vorkommen sollen
Zweck Der Betrieb soll wissen, wonach er kocht. Der Menü-Vorschlag blendet Gerichte aus, die deinen Angaben widersprechen
Rechtsgrundlage Art. 9 Abs. 2 lit. a DSGVO, also deine ausdrückliche Einwilligung. Nach der Veranstaltung Art. 9 Abs. 2 lit. f DSGVO, soweit die Angabe zur Geltendmachung oder Abwehr von Rechtsansprüchen erforderlich ist
Empfänger der Betrieb, der die Veranstaltung ausrichtet
Speicherdauer wie die Anfrage, längstens bis zu deinem Widerruf

Die Angabe ist freiwillig. Du kannst genauso anfragen, ohne etwas davon zu nennen. Der Betrieb kocht dann ohne Rücksicht darauf.

Wir fragen die Einwilligung ausdrücklich ab, und erst dann, wenn du wirklich etwas angegeben hast. Sie ist nicht vorangehakt. Solange du sie nicht erteilst, senden wir die Angaben nicht mit, und die Anfrage geht ohne sie hinaus.

Nachweis. Wir speichern, wann du eingewilligt hast und gegen welche Fassung dieser Erklärung (Art. 7 Abs. 1 DSGVO). Mehr nicht.

Widerruf. Du kannst die Einwilligung jederzeit zurücknehmen, solange die Veranstaltung noch nicht stattgefunden hat: im Detail deiner Anfrage, mit einem Tipp. Wir löschen die Angaben dann samt dem Nachweis deiner Einwilligung, und der Betrieb sieht sie nicht mehr. Der Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung bis dahin (Art. 7 Abs. 3 DSGVO).

Nach der Veranstaltung bleiben sie stehen. Dann sind sie Teil dessen, was der Betrieb geliefert hat. Sie aus dem Beleg zu nehmen hieße, ihn nachträglich etwas anderes behaupten zu lassen — und das schadet im Streitfall dir genauso wie uns. Wir stützen die Aufbewahrung ab diesem Zeitpunkt auf Art. 9 Abs. 2 lit. f DSGVO und löschen sie gemeinsam mit der Anfrage.

Was nicht in die Notiz gehört. Das Freitextfeld „Notiz ans Restaurant" ist für Zufahrt, Ablauf und Ansprechperson gedacht. Angaben zu Allergien gehören in das dafür vorgesehene Feld. Dort können wir sie gezielt löschen, wenn du widerrufst; in einem Freitext können wir das nicht.

3.5 Zahlung

Daten Zahlungsart, Zahlungsstatus, Zahlungsreferenz (Stripe-PaymentIntent-ID), Kundenkennung bei Stripe, Angaben zu gespeicherten Zahlungsmitteln, etwa Kartentyp und die letzten vier Ziffern
Zweck Zahlungsabwicklung, Erstattungen, Zuordnung von Zahlungseingängen, Betrugsprävention
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO

Vollständige Kartendaten erreichen unsere Server nicht. Sie werden direkt von Stripe erhoben und verarbeitet (Stripe Payments Europe Ltd., Irland, sowie Stripe, Inc., USA). Stripe ist für die Zahlungsabwicklung eigenständig verantwortlich und unterliegt eigenen aufsichtsrechtlichen Pflichten. Datenschutzhinweise: stripe.com/at/privacy.

3.6 Benachrichtigungen

Daten Push-Token deines Geräts, Gerätetyp, Benachrichtigungseinstellungen
Zweck Statusmeldungen zu deiner Bestellung (angenommen, in Zubereitung, unterwegs, abholbereit), einmalige Bitte um eine Bewertung nach Abschluss der Bestellung, Hinweise zu Catering-Anfragen
Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über die Systemabfrage); für E-Mails zum Bestellstatus Art. 6 Abs. 1 lit. b DSGVO
Speicherdauer bis zum Widerruf oder bis zur Abmeldung des Geräts

Push-Nachrichten werden über Firebase Cloud Messaging (Google Ireland Limited) zugestellt. Transaktions-E-Mails versenden wir über den Zustelldienst Brevo als Auftragsverarbeiter.

3.7 Bewertungen

Daten Sternebewertung, Freitext, Vorname, Zeitpunkt, Bezug zur Bestellung
Zweck Veröffentlichung der Bewertung auf der Restaurantseite
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO
Hinweis Deine Bewertung ist öffentlich sichtbar, samt Vorname. Sie kann nur zu einer tatsächlich abgeschlossenen Bestellung abgegeben werden. Nach Abschluss einer Bestellung bitten wir dich einmalig per Push-Nachricht um eine Bewertung; eine zweite Erinnerung gibt es nicht. Der Betrieb und andere Gäste können eine Bewertung melden, wenn sie sie für unsachlich oder unwahr halten. Wir prüfen sie dann und blenden sie aus, wenn sie gegen unsere Bewertungsregeln verstößt. Der Datensatz bleibt bei uns als Nachweis dieser Entscheidung. Wer gemeldet oder bewertet hat, geben wir weder dem Betrieb noch der Person bekannt, die bewertet hat.

3.7a Meldungen

Du kannst eine Bewertung melden, die du für unzulässig hältst, und einen Hinweis zur Halal-Angabe eines Betriebs senden.

Daten Konto, gemeldete Bewertung bzw. Betrieb, Grund, deine Begründung, Foto (nur beim Halal-Hinweis), Zeitpunkt, unsere Entscheidung
Zweck Prüfung der Meldung und Mitteilung der Entscheidung (AGB-C 17.2)
Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag), Art. 6 Abs. 1 lit. c DSGVO (Art. 16, 17 DSA, soweit anwendbar)
Speicherdauer drei Jahre nach der Entscheidung
Hinweis Der Betrieb und die Person, die bewertet hat, erfahren nicht, wer gemeldet hat.

3.7b Nicht abgeholte Bestellungen und Zahlart

Daten Bestellung, Vermerk „nicht abgeholt“, Zeitpunkt
Zweck Barzahlung für 180 Tage danach ausschließen (AGB-C 7.4)
Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Schutz der Betriebe vor Ausfällen bei Barzahlung)
Hinweis Es entsteht keine eigene Liste und kein Wert über dich; die Sperre wird aus der Bestellung selbst abgelesen und läuft nach 180 Tagen von selbst ab. Karte bleibt als Zahlart immer möglich.

3.8 Nutzungsanalyse

Daten Aufrufe von Restaurantseiten, Schritte im Bestellprozess (Aufruf, Warenkorb, Checkout, Bestellung), eine kurzlebige Session-Kennung mit 24 Stunden Gültigkeit, Zeitstempel, Postleitzahlgebiet der Lieferadresse
Zweck statistische Auswertungen für die Partnerbetriebe (Aufrufe, Bestellstrecke, Liefergebiete) und für die Verbesserung der Plattform
Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes und an nachvollziehbaren Kennzahlen für die Partner)
Speicherdauer Session-Kennungen 24 Stunden; die daraus gebildeten Auswertungen sind aggregiert und nicht mehr auf dich beziehbar

Was hier nicht passiert: Wir setzen keine Werbe-Tracker ein, verfolgen dich nicht über andere Apps oder Websites hinweg, bilden keine Werbeprofile und geben keine Daten an Werbenetzwerke oder Datenhändler weiter. Die Auswertungen, die ein Partnerbetrieb sieht, sind aggregiert: Er sieht Zahlen, keine Personen.

3.9 Support und Kommunikation

Daten Inhalt deiner Anfrage, Kontaktdaten, Bestellbezug
Zweck Bearbeitung deines Anliegens
Rechtsgrundlage Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO
Speicherdauer 3 Jahre ab Abschluss des Vorgangs (Verjährungsfristen), danach Löschung

3.10 Technische Protokolle und Sicherheit

Daten IP-Adresse, Zeitpunkt, aufgerufener Endpunkt, HTTP-Status, App-Version, Fehlermeldungen
Zweck Betrieb und Stabilität, Fehlersuche, Abwehr von Angriffen, Begrenzung der Anfragehäufigkeit bei Anmeldung, Registrierung und Passwortzurücksetzung
Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO
Speicherdauer 14 Tage, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert

3.11 Werbung per E-Mail und Warteliste

Wir senden dir Werbe-E-Mails nur, wenn du dem ausdrücklich zugestimmt hast (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021). Du kannst die Einwilligung jederzeit über den Abmeldelink in jeder Mail oder per Nachricht an office@memnoora.at widerrufen. Der Widerruf berührt Bestellmails nicht. Die brauchen wir, um dich über deine Bestellung zu informieren.

Warteliste zum Start. Auf memnoora.at kannst du dich vormerken lassen, um benachrichtigt zu werden, sobald Memnoora startet.

Daten Deine E-Mail-Adresse. Sonst nichts: kein Name, keine Postleitzahl, keine Telefonnummer
Zweck Eine Benachrichtigung, sobald Memnoora startet
Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 174 Abs. 3 TKG 2021; für den Nachweis der Einwilligung Art. 7 Abs. 1 DSGVO
Empfänger Brevo, unser Auftragsverarbeiter für den Mailversand, mit Sitz in der EU
Speicherdauer siehe unten

Wohin deine Adresse geht. Wenn du auf „Vormerken" tippst, geht deine Eingabe an unseren Server. Der prüft sie und legt den Kontakt anschließend bei Brevo an, unserem Dienstleister für den Mailversand. Brevo verarbeitet die Adresse ausschließlich in unserem Auftrag und nach unseren Weisungen (Auftragsverarbeitung nach Art. 28 DSGVO), führt die Liste und verschickt die Mails.

Deine IP-Adresse übermitteln wir dabei nicht. Wir brauchen sie nur, um zu begrenzen, wie oft von einem Anschluss aus eingetragen werden kann, und geben sie nicht weiter.

Bestätigung in zwei Schritten. Nach der Eintragung bekommst du eine Mail mit einem Bestätigungslink. Erst mit dem Klick darauf stehst du auf der Liste. Das schützt dich davor, dass jemand anderes deine Adresse einträgt, und es ist zugleich der Nachweis, dass du zugestimmt hast.

Was wir nicht tun. Wir verkaufen deine Adresse nicht, geben sie an keinen Dritten zu dessen eigenen Zwecken weiter, verwenden sie für nichts anderes und fragen dich nicht nach den Adressen anderer Personen. Wenn du Memnoora weiterempfehlen willst, leitest du unsere Mail selbst weiter. Wir schreiben niemanden an, der nicht selbst zugestimmt hat.

Speicherdauer. Wenn du nicht bestätigst, wird deine Adresse wieder gelöscht. Ohne Bestätigung liegt keine Einwilligung vor, und dann gibt es auch keinen Grund, sie zu behalten. Wenn du bestätigst, bleibt sie bis zu deinem Widerruf. Wenn du dich abmeldest, bleibt ein Vermerk darüber bestehen, damit dieselbe Adresse nicht versehentlich erneut angeschrieben wird (Art. 6 Abs. 1 lit. f DSGVO). Soll auch dieser Vermerk weg, schreib an office@memnoora.at.

Widerruf. Jede Mail der Warteliste trägt einen Abmeldelink. Der Widerruf wirkt für die Zukunft. Er macht die Verarbeitung bis dahin nicht unrechtmäßig (Art. 7 Abs. 3 DSGVO).

4. Empfänger deiner Daten

In unserem Auftrag. Diese Dienstleister verarbeiten Daten für uns und nur nach unserer Weisung. Verantwortlich bleiben wir.

Empfänger Wofür Sitz
Hetzner Serverbetrieb und Datenbank Deutschland
Brevo Versand unserer E-Mails, Führung der Wartelisten-Adressen EU
Google Push-Nachrichten auf dein Gerät Irland, Konzern USA
Cloudflare Speicherung von Bildern EU und USA
Wolt Zustellung durch einen Kurier, wenn der Betrieb nicht selbst liefert. Für die Auswertung seiner eigenen Zustellleistung ist Wolt eigener Verantwortlicher (Punkt 3.4a) Österreich, einzelne Unterauftragnehmer außerhalb der EU

Selbst verantwortlich. Für diese Empfänger gilt ihre eigene Datenschutzerklärung.

Empfänger Wofür Sitz
Partnerbetrieb Ausführung deiner Bestellung oder deiner Catering-Anfrage Österreich
Stripe Kartenzahlung und Erstattungen Irland und USA
Google, Apple Anmeldung mit Google oder Apple, wenn du sie nutzt Irland

Mit allen Dienstleistern, die in unserem Auftrag arbeiten, bestehen Verträge nach Art. 28 DSGVO. Behörden erhalten Daten nur, soweit wir gesetzlich dazu verpflichtet sind. Weiter geben wir nichts.

Adressen und Karten. Tippst du eine Adresse ein, holt dein Gerät die Vorschläge dazu von komoot. Deine Eingabe und deine IP-Adresse gehen dabei an deren Server. Lässt du dir eine Karte anzeigen, lädt dein Gerät die Kartendaten von OpenStreetMap und CARTO. Auch dabei wird deine IP-Adresse übertragen. Kontodaten übermitteln wir in keinem der beiden Fälle. Diese Anbieter sind selbst verantwortlich und sitzen in Deutschland, im Vereinigten Königreich und in den USA.

5. Übermittlung in Drittländer

Einzelne Empfänger sitzen in den USA oder verarbeiten dort. Beim Kurierdienst betrifft es einzelne seiner Unterauftragnehmer außerhalb der EU und des EWR. Grundlage der Übermittlung sind:

Trotz dieser Grundlagen lässt sich nicht ausschließen, dass US-Behörden unter bestimmten Voraussetzungen Zugriff auf Daten verlangen. Eine Kopie der jeweiligen Garantien erhältst du auf Anfrage an office@memnoora.at.

6. Wie lange wir speichern

Datenart Dauer
Kontodaten bis zur Löschung des Kontos
Bestell- und Rechnungsdaten 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO), danach Anonymisierung
Zahlungsreferenzen wie Bestelldaten
Adressen im Adressbuch bis zur Löschung durch dich
Kopie der Lieferadresse an der Bestellung wie Bestelldaten
Catering-Anfragen 7 Jahre ab Ende des Kalenderjahres, danach Anonymisierung
Ernährung und Allergene an der Catering-Anfrage wie die Anfrage; bei Widerruf vor der Veranstaltung sofort
Bewertungen bis zur Löschung durch dich oder uns
Meldungen zu Bewertungen und Halal-Hinweise drei Jahre nach der Entscheidung
Zugangstoken von „Mit Apple anmelden“ bis zur Löschung deines Kontos; dabei widerrufen wir es bei Apple und löschen es sofort
Push-Token bis zum Widerruf oder zur Geräteabmeldung
Session-Kennungen der Analyse 24 Stunden
Supportkorrespondenz 3 Jahre
Technische Protokolle 14 Tage
Warteliste, nicht bestätigt wird ohne Bestätigung wieder gelöscht
Warteliste, bestätigt bis zum Widerruf
Warteliste, abgemeldet Sperrvermerk, damit nicht erneut angeschrieben wird; auf Wunsch sofortige Löschung

Wenn du dein Konto löschst, geschieht das sofort. Wir anonymisieren deine personenbezogenen Daten im selben Moment: Name, E-Mail-Adresse und Telefonnummer werden ersetzt, das Passwort und eine etwaige Verknüpfung mit Google oder Apple entfallen, und deine gespeicherten Adressen werden gelöscht. Wir warten damit nicht bis zum Ablauf einer Frist.

Hattest du Bestellungen oder Catering-Anfragen, legen wir eine gesperrte Belegkopie an. Sie enthält Vorname, Nachname, E-Mail-Adresse und Telefonnummer, sonst nichts — kein Passwort und keine Kennung von Google oder Apple. Wir brauchen sie, um eine Rückbuchung, eine Beschwerde oder eine Forderung noch zuordnen zu können, solange die Aufbewahrungspflicht aus § 132 BAO läuft. Sie liegt getrennt von allem anderen, wird für jeden anderen Zweck gesperrt (Art. 18 DSGVO) und fällt mit derselben Frist: sieben Jahre ab Ende des Kalenderjahres der Löschung. Danach löschen wir sie und entfernen zugleich den Personenbezug von deinen Belegen — die Lieferadresse bis auf Postleitzahl und Ort, den Zustellhinweis, die Telefonnummer, den Veranstaltungsort und deine Angaben zur Veranstaltung. Was für die Buchhaltung gebraucht wird, bleibt: Datum, Beträge, Steuer.

Eine Löschung ist nicht möglich, solange etwas läuft. Eine offene Bestellung, ein offener Catering-Termin oder ein aktiver Partnerbetrieb in deiner Verantwortung stehen ihr entgegen. Wir sagen dir dann, worauf zu warten ist.

7. Deine Rechte

Du hast das Recht auf

Vieles davon kannst du direkt in der App erledigen: Daten ändern im Profil, Datenexport unter „Meine Daten“, Konto löschen unter „Konto“. Deine Einwilligung zu Ernährung und Allergenen nimmst du im Detail der betreffenden Catering-Anfrage zurück, solange die Veranstaltung noch nicht stattgefunden hat (Punkt 3.4b). Im Übrigen genügt eine Nachricht an office@memnoora.at. Wir antworten innerhalb eines Monats. Wenn es länger dauert, sagen wir dir das mit Begründung.

Beschwerderecht. Du kannst dich bei einer Aufsichtsbehörde beschweren, in Österreich bei der

Österreichische Datenschutzbehörde
Barichgasse 40 bis 42, 1030 Wien
dsb@dsb.gv.at · www.dsb.gv.at

8. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinn des Art. 22 DSGVO findet nicht statt. Automatische Abläufe wie die Ablehnung einer Bestellung nach Ablauf der Annahmefrist, der Verfall einer nicht abgeholten Überraschungsbox, das Storno einer Catering-Anfrage, die der Betrieb nicht fristgerecht beantwortet, und das Storno einer Zusage, zu der die Anzahlung ausbleibt, sind rein zeitgesteuerte Vertragsabläufe und bewerten keine Person. Dasselbe gilt für den Ausschluss der Barzahlung nach einer nicht abgeholten Bestellung (Punkt 3.7b): Es entfällt nur eine Zahlart, die Karte bleibt möglich.

9. Pflicht zur Bereitstellung

Für ein Konto und für eine Bestellung brauchen wir bestimmte Angaben, also Name, Kontaktdaten und bei Lieferung die Adresse. Ohne diese Angaben können wir den Vertrag nicht erfüllen. Alles Weitere, also Standort, Push und Werbeeinwilligung, ist freiwillig, und du kannst die Plattform ohne diese Angaben vollständig nutzen.

10. Cookies und ähnliche Technologien

Die Memnoora-Apps verwenden keine Werbe- oder Tracking-Cookies. Gespeichert werden ausschließlich technisch notwendige Angaben auf deinem Gerät: dein Anmeldetoken, deine Voreinstellung Liefern oder Abholen, der Inhalt deines Warenkorbs sowie die kurzlebige Session-Kennung aus Punkt 3.8. Für die Website memnoora.at gilt Punkt 11.

11. Besuch der Website memnoora.at

Server-Protokolle. Beim Aufruf der Website verarbeitet unser Hoster Hetzner Online GmbH die IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, den Referrer und die Kennung deines Browsers. Diese Daten sind für die Auslieferung der Seite und für die Abwehr von Angriffen erforderlich (Art. 6 Abs. 1 lit. f DSGVO) und werden nach 14 Tagen gelöscht.

Cookies. Die Website setzt keine Cookies zu Analyse- oder Werbezwecken. Es werden keine Nutzungsprofile gebildet und keine Daten an Werbenetzwerke weitergegeben. Technisch notwendige Speichervorgänge setzen wir nur ein, soweit sie für den Betrieb der Seite unerlässlich sind. Dafür ist nach § 165 Abs. 3 TKG 2021 keine Einwilligung erforderlich.

Schriften. Alle Schriftarten werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts.

Formular „Zum Start vormerken“. Die Website hat genau ein Formular: das Feld für die Warteliste. Beim Absenden geht deine Eingabe an unseren Server. Von dort legen wir den Kontakt bei unserem Mailversand-Dienstleister Brevo an. Solange du nichts absendest, wird nichts übermittelt, und die Seite ruft Brevo beim Aufruf auch nicht auf. Was mit der Adresse geschieht, steht in Punkt 3.11.

Kontakt per E-Mail. Wenn du uns schreibst, verarbeiten wir deine Angaben zur Beantwortung deiner Anfrage (Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO). Wir löschen die Korrespondenz, sobald sie nicht mehr erforderlich ist, spätestens nach 3 Jahren.

12. Datensicherheit

Wir schützen deine Daten unter anderem durch verschlüsselte Übertragung (TLS), Speicherung von Passwörtern ausschließlich als Hash, eine Datenbank, die nicht aus dem Internet erreichbar ist, restriktive Firewall-Regeln, rollenbasierte Zugriffskontrolle sowie Begrenzungen der Anfragehäufigkeit an sicherheitskritischen Endpunkten. Vollständige Sicherheit kann niemand garantieren. Wir orientieren uns am Stand der Technik und prüfen unsere Maßnahmen regelmäßig.

13. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert oder rechtliche Vorgaben es erfordern. Die jeweils aktuelle Fassung findest du in der App und unter memnoora.at/datenschutz. Bei wesentlichen Änderungen informieren wir dich zusätzlich per E-Mail oder in der App.

Version: DSE-C-2026-21 · Stand 22.10.2026