Kevin Baur, BSc
Hochstraß 542
3033 Klausen-Leopoldsdorf
Österreich
E-Mail: [email protected]
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO), des österreichischen Datenschutzgesetzes (DSG) sowie – für Nutzerinnen und Nutzer aus der Schweiz – des revidierten Schweizer Datenschutzgesetzes (revDSG).
Pelican ist eine App zur Bestellplanung für die professionelle Gastronomie. Wir verarbeiten personenbezogene Daten ausschließlich, um die App und die zugehörige Website bereitzustellen, den Vertrag mit dem Betrieb zu erfüllen und gesetzliche Pflichten einzuhalten. Nachfolgend ist aufgeführt, welche Daten wir verarbeiten, auf welcher Rechtsgrundlage und welche Dienstleister (Auftragsverarbeiter) dabei beteiligt sind.
Diese Website wird über Cloudflare Pages (Cloudflare, Inc., USA) ausgeliefert. Beim Aufruf werden technisch notwendige Server-Logdaten verarbeitet (u. a. IP-Adresse, Zeitpunkt, abgerufene Ressource, User-Agent), um die Auslieferung und Sicherheit zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Zur Reichweitenmessung setzen wir DataFast ein; Marketing-Cookies von Reddit werden ausschließlich nach deiner Einwilligung gesetzt (siehe Abschnitt 16).
Wenn du die Spracheingabe nutzt, wird deine Audioaufnahme zur Verarbeitung an OpenAI (OpenAI, L.L.C., USA) übermittelt. Dort wird die Aufnahme transkribiert (Spracherkennung) und anschließend ausgewertet, um daraus Artikel, Menge, Einheit und Kategorie zu extrahieren und gegen den Produktkatalog abzugleichen. Die erkannten Einträge werden in deine Bestellliste übernommen.
Konten, Authentifizierung und die Datenbank werden über Supabase (Supabase, Inc.) betrieben. Hier werden die unter Punkt 4 genannten Konto-, Organisations- und Inhaltsdaten gespeichert. Der Zugriff ist über Zugriffsregeln auf Datenbankebene (Row Level Security) abgesichert, sodass jeder Betrieb nur seine eigenen Daten sieht. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die eingesetzte Hosting-Region wird auf einen Standort in der EU (Frankfurt) ausgerichtet; bei einer Verarbeitung außerhalb der EU gelten die Garantien aus Punkt 10.
Die Bezahlung erfolgt ausschließlich über die externe Plattform Lemon Squeezy (Merchant of Record). Die Zahlungs- und Rechnungsdaten (z. B. Name, Rechnungsadresse, Zahlungsmittel) werden direkt bei Lemon Squeezy erhoben und verarbeitet; wir erhalten keine vollständigen Zahlungsdaten. Zur Freischaltung des Betriebs erhalten wir über eine signierte Rückmeldung (Webhook) lediglich die für die Zuordnung nötigen Informationen (z. B. Betriebskennung, Abo-/Zahlungsstatus, Zugriffsende). Lemon Squeezy führt als Merchant of Record auch die anfallende Umsatzsteuer ab. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Bei Änderungen an Bestelllisten kann die App Push-Benachrichtigungen senden. Dafür wird ein Geräte-Token über den Dienst Expo verarbeitet. Du kannst Push-Benachrichtigungen jederzeit in der App oder in den Geräteeinstellungen deaktivieren (Opt-out). Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Zusammenarbeit im Team (Art. 6 Abs. 1 lit. f DSGVO) bzw. deine Einwilligung über die Systemabfrage (lit. a).
Mit diesen Anbietern werden, soweit erforderlich, Auftragsverarbeitungsverträge (AVV/DPA) gemäß Art. 28 DSGVO abgeschlossen.
Einige der genannten Dienste verarbeiten Daten in den USA oder anderen Drittländern. Für diese Übermittlungen stützen wir uns auf geeignete Garantien gemäß Art. 44 ff. DSGVO – insbesondere die Standardvertragsklauseln (SCC) der EU-Kommission und, soweit die Anbieter zertifiziert sind, das EU-US Data Privacy Framework (DPF). Trotz dieser Garantien kann in Drittländern ein im Vergleich zur EU geringeres Datenschutzniveau bestehen.
Die Verarbeitung erfolgt zur Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), auf Grundlage berechtigter Interessen (lit. f), aufgrund deiner Einwilligung (lit. a, insbesondere für die Sprachverarbeitung) sowie zur Erfüllung rechtlicher Pflichten (lit. c).
Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke oder aufgrund gesetzlicher Aufbewahrungsfristen erforderlich ist. Konten und zugehörige Daten lassen sich über die in der App integrierte Funktion zur Kontolöschung entfernen. Nach Vertragsende bzw. Löschung werden die Daten innerhalb einer angemessenen Frist gelöscht oder anonymisiert. [Konkrete Fristen sind noch zu ergänzen, z. B. Löschung von Betriebsdaten X Tage nach Ende der Nutzung; gesetzliche Aufbewahrung von Rechnungsdaten.]
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung genügt eine Nachricht an [email protected].
Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren:
Für betroffene Personen in der Schweiz gilt ergänzend das revidierte Datenschutzgesetz (revDSG). Begriffe der DSGVO sind sinngemäß auf das revDSG zu übertragen; an die Stelle der DSGVO-Rechtsgrundlagen treten die entsprechenden Bestimmungen des revDSG.
Technisch notwendig. Im Aktivierungs-Portal wird zur Anmeldung ein Authentifizierungs-Token lokal im Browser gespeichert (Local Storage). Ein Cookie merkt sich deine Sprachwahl. Beides dient ausschließlich dem Betrieb der Website und wird nicht zu Werbezwecken ausgewertet. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Reichweitenmessung mit DataFast. Wir messen anonymisiert, welche Seiten aufgerufen werden. Es entstehen keine Profile über Websites hinweg und die Daten werden nicht an Werbenetzwerke weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Website (Art. 6 Abs. 1 lit. f DSGVO).
Reddit-Pixel und Conversions API – nur mit deiner Einwilligung. Wenn du im Cookie-Hinweis zustimmst, laden wir den Werbe-Pixel von Reddit, Inc. (USA). Er setzt ein Cookie (_rdt_uuid) und meldet an Reddit, ob ein Klick auf eine unserer Anzeigen zu einem Seitenaufruf, einer Registrierung oder einem Kauf geführt hat. Ergänzend übermitteln wir dieselben Ereignisse serverseitig über die Conversions API; deine E-Mail-Adresse und deine IP-Adresse werden dabei vor der Übermittlung mit SHA-256 gehasht, Reddit erhält sie nicht im Klartext. Reddit kann diese Daten mit einem bestehenden Reddit-Konto zusammenführen und ist insoweit gemeinsam mit uns Verantwortlicher (Art. 26 DSGVO). Rechtsgrundlage ist ausschließlich deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG). Ohne Einwilligung wird der Pixel nicht geladen und kein Cookie gesetzt.
Widerruf. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Lösche die Website-Daten dieser Seite in deinen Browsereinstellungen – danach erscheint der Hinweis erneut und du kannst neu entscheiden. Alternativ genügt eine Nachricht an [email protected].
Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, eingesetzte Dienste oder Funktionen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.
Stand: September 2026
Pelican