MEMNOORA
Dieser Anhang ist Bestandteil der Partnerbedingungen und konkretisiert deren Punkt 13. Bei Widersprüchen zwischen diesem Anhang und den Punkten 1 bis 19 der Partnerbedingungen gehen die Partnerbedingungen vor, soweit nicht zwingendes Datenschutzrecht entgegensteht.
C.1 Wofür dieser Anhang gilt und wofür nicht
Gilt: für die Verarbeitungen, bei denen Sie Verantwortlicher sind und Memnoora in Ihrem Auftrag verarbeitet. Das sind:
- Zugänge, die Sie für Ihr Personal anlegen und verwalten, einschließlich des Protokolls der Zugangsverwaltung,
- Inhalte Ihres Betriebs, soweit sie personenbezogene Daten enthalten, etwa Namen auf hochgeladenen Dokumenten,
- die Nutzung der Fahrer-Anwendung durch Ihre Zustellkräfte, einschließlich Statusmeldungen und, sofern von Ihnen aktiviert, Standortdaten während einer laufenden Zustellung.
Gilt nicht: für die Bestelldaten Ihrer Gäste. Insoweit sind Sie und Memnoora jeweils eigene Verantwortliche. Es liegt eine Übermittlung zwischen zwei Verantwortlichen vor und keine Auftragsverarbeitung. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO wird nicht begründet.
Ebenfalls nicht erfasst sind Verarbeitungen, für die Memnoora eigener Verantwortlicher ist, insbesondere Ihre Vertrags-, Abrechnungs- und Zertifikatsdaten. Diese sind in der Datenschutzerklärung für Partnerbetriebe beschrieben.
C.2 Gegenstand, Dauer, Art und Zweck
| Punkt | Inhalt |
|---|---|
| Gegenstand | Bereitstellung und Betrieb der in C.1 genannten Funktionen |
| Dauer | für die Dauer der Partnerschaft, danach nach C.9 |
| Art der Verarbeitung | Erheben, Speichern, Ordnen, Auslesen, Übermitteln an Ihre Geräte, Löschen |
| Zweck | Betrieb der Partner-App und der Fahrer-Anwendung für Ihren Betrieb |
| Art der Daten | Name, Anmeldename oder E-Mail-Adresse, Telefonnummer, Rolle, Zugangsstatus, Anmeldezeitpunkte, Gerätezuordnung, Protokoll der Zugangsverwaltung, bestellbezogene Statusmeldungen, Standortdaten während einer Zustellung, personenbezogene Angaben in hochgeladenen Inhalten |
| Kategorien betroffener Personen | Ihre Beschäftigten und Ihre Zustellkräfte |
C.3 Weisungen
Memnoora verarbeitet die Daten ausschließlich auf Ihre dokumentierte Weisung. Die Partnerbedingungen samt Anhängen und Ihre Einstellungen im Partnerbereich gelten als Ihre Weisung. Weitere Weisungen erteilen Sie in Textform an office@memnoora.at.
Hält Memnoora eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen ihre Ausführung bis zur Klärung aussetzen. Besteht eine gesetzliche Verpflichtung zur Verarbeitung, informieren wir Sie vorab, soweit das Gesetz dies nicht verbietet.
C.4 Vertraulichkeit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
C.5 Technische und organisatorische Maßnahmen
Memnoora trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Verschlüsselung der Übertragung nach dem Stand der Technik,
- Speicherung von Passwörtern ausschließlich als Hash,
- Datenbank ohne Erreichbarkeit aus dem öffentlichen Netz,
- Zugriffskontrolle nach Rollen, mit Trennung der Sichtbarkeiten innerhalb Ihres Betriebs,
- Protokollierung sicherheitsrelevanter Vorgänge, insbesondere der Zugangsverwaltung,
- Begrenzung der Anfragehäufigkeit an sicherheitskritischen Endpunkten,
- regelmäßige Sicherungen und Prüfung der Wiederherstellbarkeit,
- Trennung der Daten verschiedener Partnerbetriebe,
- dokumentiertes Verfahren für Sicherheitsvorfälle.
Memnoora darf die Maßnahmen weiterentwickeln. Das Schutzniveau darf dabei nicht unterschritten werden.
C.6 Unterauftragsverarbeiter
Sie stimmen dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH | Server und Datenbank | Deutschland |
| Cloudflare | Objektspeicher für Bilder, Auslieferung | Europäische Union und Vereinigte Staaten |
| Google Ireland Limited | Zustellung von Push-Nachrichten | Irland, Konzern in den Vereinigten Staaten |
| Brevo | Versand von Transaktions-E-Mails | Europäische Union |
| Anthropic PBC | automatisierte Erkennung von Speisekarten aus Fotos, ausschließlich bei Nutzung dieser Funktion | Vereinigte Staaten |
Mit allen genannten Unternehmen bestehen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen. Übermittlungen in Drittländer erfolgen auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission.
Einen Wechsel oder die Aufnahme eines weiteren Unterauftragsverarbeiters teilen wir Ihnen mindestens 30 Tage vorher in Textform mit. Sie können innerhalb dieser Frist aus einem sachlichen, datenschutzbezogenen Grund widersprechen. Widersprechen Sie, kann jede Seite die Partnerschaft zum Zeitpunkt der Umstellung beenden.
C.7 Unterstützung
Memnoora unterstützt Sie im erforderlichen Umfang:
- bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO. Wenden sich Betroffene unmittelbar an uns, verweisen wir sie an Sie und informieren Sie darüber,
- bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung,
- durch Bereitstellung der Informationen, die Sie für Ihr Verarbeitungsverzeichnis benötigen.
C.8 Verletzungen des Schutzes personenbezogener Daten
Memnoora meldet Ihnen eine Verletzung, die die in C.1 genannten Daten betrifft, unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen Ihnen.
Umgekehrt melden Sie uns eine Verletzung, die Daten aus der Plattform betrifft, nach Punkt 13.4 der Partnerbedingungen.
C.9 Löschung und Rückgabe nach Ende der Partnerschaft
Nach Ende der Partnerschaft löscht Memnoora die in C.1 genannten Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Für Zugangsdaten gilt eine Frist von 6 Monaten, für Protokolle der Zugangsverwaltung eine Frist von 3 Jahren, jeweils entsprechend der Datenschutzerklärung für Partnerbetriebe.
Sie können vor Ablauf dieser Fristen die Herausgabe in einem gängigen Format verlangen. Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen, werden gesperrt statt gelöscht und nach Ablauf der Frist gelöscht.
C.10 Nachweise und Überprüfung
Memnoora stellt Ihnen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Anhangs erforderlich sind. Der Nachweis kann durch Auskunft, durch Vorlage einer Selbstauskunft zu den Maßnahmen nach C.5 oder durch Vorlage von Berichten unabhängiger Stellen erbracht werden.
Eine Überprüfung vor Ort ist nach vorheriger Ankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs zulässig, wenn ein konkreter Anlass besteht. Die Kosten tragen Sie, es sei denn, die Überprüfung ergibt einen erheblichen Verstoß.
C.11 Haftung
Es gilt Art. 82 DSGVO. Die Haftungsregelung in Punkt 16 der Partnerbedingungen bleibt im Verhältnis zwischen den Parteien unberührt, soweit sie mit Art. 82 DSGVO vereinbar ist.
Version: ANH-C-2026-01 · Stand 18.08.2026