Datenschutzerklärung

Verantwortlich für die Datenbearbeitung im Sinne des DSG ist:

MrBrunch AG, Unterrohrstrasse 3, 8952 Schlieren, Schweiz

E-Mail: info@mrbrunch.ch · Telefon: +41 44 244 80 90 · UID: CHE-159.354.843

Für alle Anliegen rund um den Datenschutz erreichst du uns unter info@mrbrunch.ch.

Diese Datenschutzerklärung gilt für die Nutzung unserer Website, für Bestellungen in unserem Online-Shop und für die weiteren hier beschriebenen Angebote. Wir bearbeiten Personendaten nach den Grundsätzen des DSG: rechtmässig, verhältnismässig, zweckgebunden und transparent.

Du bist nicht verpflichtet, uns Personendaten anzugeben. Ohne bestimmte Angaben (z.B. Liefer- und Rechnungsadresse oder E-Mail-Adresse) können wir jedoch keine Bestellungen ausführen und einzelne Funktionen der Website nicht anbieten.

Für Mitarbeitende der MrBrunch AG gilt ergänzend eine separate, interne Datenschutzinformation.

Wenn du ein Kundenkonto erstellst, bearbeiten wir die von dir angegebenen Daten: E-Mail-Adresse, Name, optional Telefonnummer sowie dein Passwort (ausschliesslich verschlüsselt als Hash gespeichert). Optional kannst du eine Zwei-Faktor-Authentifizierung aktivieren.

Auch bei einer Bestellung ohne Registrierung (Gastbestellung) legen wir zur Abwicklung einen Kundendatensatz mit den im Checkout angegebenen Daten an. Ein Login wird dabei nicht erstellt.

In deinem Konto speichern wir zudem deine Bestellhistorie, hinterlegte Adressen und deine Spracheinstellung.

Zur Abwicklung deiner Bestellung bearbeiten wir:

• Liefer- und Rechnungsadresse (Name, Firma, Strasse, PLZ, Ort, Telefon, E-Mail)
• Geokoordinaten der Lieferadresse zur Zustellplanung, ermittelt über die Google Places Adresssuche
• Bestellinhalt, Lieferdatum und Zeitfenster, Personenzahl, Bemerkungen, Trinkgeld
• Zahlungsstatus und Zahlungsart (die Zahlungsabwicklung selbst erfolgt über Stripe, siehe Ziffer 10)

Adressangaben werden in der Bestellung als Momentaufnahme gespeichert, damit Belege und Lieferdokumente auch später korrekt bleiben. Bei Abo-Bestellungen (wiederkehrende Lieferungen) speichern wir zusätzlich Lieferrhythmus und nächsten Liefertermin.

Diese Daten benötigen wir zur Vertragserfüllung, für die Lieferung, die Rechnungsstellung und die gesetzliche Aufbewahrung von Geschäftsunterlagen.

Wenn du einen Gutschein oder eine Grusskarte für eine andere Person bestellst, bearbeiten wir die von dir angegebenen Empfängerdaten (Name, E-Mail-Adresse, persönliche Nachricht) ausschliesslich zur Erstellung und Zustellung des Gutscheins bzw. der Grusskarte.

Bitte gib nur Daten von Personen an, die damit einverstanden sind. Als bestellende Person bist du dafür verantwortlich, die Empfängerin oder den Empfänger zu informieren.

Für Offertenanfragen bearbeiten wir deine Kontaktdaten (Name, E-Mail, Telefon), Angaben zum Anlass (Datum, Personenzahl, Ort, gewünschte Leistungen) sowie allfällige von dir hochgeladene Dateien. Wir erfassen zudem, ob eine zugestellte Offerte über den persönlichen Link geöffnet wurde, um den Bearbeitungsstand nachvollziehen zu können.

Bei Firmenkunden bearbeiten wir Firmenname, Rechnungs- und Kontaktdaten, Angaben zu Ansprechpersonen sowie Konditionen (z.B. Sammelrechnung, Rabatte).

Zur Pflege von Geschäftsbeziehungen führen wir interne Notizen zu Anfragen, Gesprächen und Interessenten. Diese dienen der Kundenbetreuung und dem Vertrieb.

Wenn du uns über ein Formular, per E-Mail oder telefonisch kontaktierst oder einen Rückruf anforderst, bearbeiten wir deine Angaben (Name, Kontaktdaten, Inhalt der Anfrage) zur Beantwortung deines Anliegens.

Zum Schutz unserer Formulare vor Missbrauch setzen wir Google reCAPTCHA ein (siehe Ziffer 16).

Beim ersten Besuch unserer Website fragt dich ein Cookie-Banner um deine Einwilligung für Analyse- und Werbe-Cookies. Technisch notwendige Cookies setzen wir ohne Einwilligung ein. Deine Auswahl kannst du jederzeit über den Link "Cookie-Einstellungen" im Fussbereich der Website ändern oder widerrufen.

Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe Ltd., Irland, bzw. Stripe Inc., USA). An Stripe übermittelt werden deine E-Mail-Adresse, der Bestellbetrag und die Bestellpositionen. Deine Karten- oder Zahlungsdaten gibst du direkt bei Stripe ein; wir erhalten und speichern keine vollständigen Kartendaten.

Stripe setzt zur Betrugsprävention eigene Prüfverfahren ein und bearbeitet dazu auch Geräte- und Verbindungsdaten. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Für die Auslieferung nutzen wir die Logistikplattform Onfleet (Onfleet Inc., USA). An Onfleet übermittelt werden Name, Telefonnummer, Lieferadresse inklusive Koordinaten, Lieferhinweise und die bestellten Artikel, damit unser Lieferteam die Zustellung durchführen kann.

Zur Berechnung von Lieferdistanzen verwenden wir die Google Distance Matrix (Google). Wenn du im Adress-Eingabefeld die Standortfunktion nutzt, werden deine Gerätekoordinaten zur Adressermittlung an den Kartendienst Nominatim der OpenStreetMap Foundation übermittelt.

Für Buchhaltung und Rechnungsstellung nutzen wir Bexio (Bexio AG, Schweiz). Dorthin übermittelt werden Kontakt- und Rechnungsdaten von Kundinnen, Kunden und Firmenkunden sowie Rechnungspositionen.

Buchhaltungsrelevante Unterlagen bewahren wir gemäss den gesetzlichen Vorgaben des Obligationenrechts während 10 Jahren auf.

Bilder und Dateien (z.B. Profilbilder, Datei-Anhänge zu Offertenanfragen, Bewerbungsunterlagen) speichern wir beim Mediendienst Cloudinary (Cloudinary Ltd., USA/Israel). Vertrauliche Dokumente werden zugriffsgeschützt gespeichert und sind nur über signierte, zeitlich begrenzte Links abrufbar.

Unsere Website wird bei Vercel Inc. (USA) betrieben. Beim Aufruf der Website werden technisch bedingt Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browserinformationen) in Server-Logs verarbeitet.

• Datenbank: Prisma Postgres mit Prisma Accelerate (Prisma Data Inc., USA/EU) zur Speicherung der in dieser Erklärung beschriebenen Daten
• Upstash Redis (Upstash Inc., USA): kurzlebige technische Schlüssel auf Basis der IP-Adresse zur Begrenzung von Anfragen (Rate-Limiting)
• Cloudflare Inc. (USA): DNS und Schutz der Domain

Wir schützen deine Daten durch technische und organisatorische Massnahmen, unter anderem Verschlüsselung der Übertragung (TLS), rollenbasierte Zugriffsbeschränkungen und Zwei-Faktor-Authentifizierung für administrative Zugänge.

• Google reCAPTCHA (Google): Schutz von Formularen vor automatisiertem Missbrauch; dabei werden IP-Adresse und Geräteinformationen an Google übermittelt
• Sicherheitsprotokolle zu Anmeldevorgängen (mit IP-Adresse und Browserinformationen), automatische Löschung nach 90 Tagen
• Protokolle fehlgeschlagener Anmeldeversuche, automatische Löschung nach 7 Tagen
• Rate-Limiting zur Abwehr von Missbrauch (kurzlebige, IP-basierte Zähler)

Wenn du dich über unser Bewerbungsformular bewirbst, bearbeiten wir deine Angaben (Personalien, Kontaktdaten, Verfügbarkeit, Erfahrung, Motivation) sowie hochgeladene Unterlagen (z.B. Lebenslauf, Ausweisdokumente, Arbeitsbewilligung, Bankverbindung) ausschliesslich zur Prüfung deiner Bewerbung und zur Vorbereitung einer allfälligen Anstellung. Unterlagen werden zugriffsgeschützt gespeichert (siehe Ziffer 14).

Auf unserer Über-uns-Seite binden wir zudem offene Stellen über ein Widget von JOIN (JOIN Solutions AG) ein. Bewirbst du dich über JOIN, gilt ergänzend deren Datenschutzerklärung.

Für Mitarbeitende gilt nach der Anstellung eine separate, interne Datenschutzinformation, die alle personalbezogenen Bearbeitungen im Arbeitsverhältnis beschreibt.

Für Beratungstermine verlinken wir teilweise auf Calendly (Calendly LLC, USA). Die Datenbearbeitung bei der Terminbuchung erfolgt direkt durch Calendly gemäss deren Datenschutzerklärung.

Auf einzelnen Seiten binden wir Videos von YouTube (Google) im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Beim Abspielen eines Videos werden Daten an Google übermittelt.

Einzelne der genannten Dienstleister bearbeiten Personendaten ausserhalb der Schweiz, insbesondere in der EU und in den USA. Die EU und der EWR verfügen über einen angemessenen Datenschutz im Sinne des DSG.

Bei Übermittlungen in die USA stützen wir uns auf das Swiss-U.S. Data Privacy Framework, sofern der jeweilige Anbieter zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der EU-Kommission (mit den für die Schweiz nötigen Anpassungen) als geeignete Garantien im Sinne von Art. 16 Abs. 2 DSG.

Wir bewahren Personendaten nur so lange auf, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Insbesondere gelten:

• Buchhaltungsrelevante Unterlagen (Bestellungen, Rechnungen): 10 Jahre (Obligationenrecht)
• Sicherheits- und Anmeldeprotokolle: 90 Tage
• Chat-Verläufe des Chat-Assistenten: 90 Tage
• WhatsApp-Konversationen: 2 Jahre nach der letzten Nachricht
• E-Mail-Versandprotokolle und Protokolle fehlgeschlagener Anmeldungen: 7 Tage
• E-Mail-Versandprotokolle mit Öffnungs- und Klickmessung: 365 Tage, ohne E-Mail-Inhalt (dieser wird nach 7 Tagen entfernt)
• Kundenkonto: bis zur Löschung bzw. Deaktivierung des Kontos
• Bewerbungsunterlagen: für die Dauer des Bewerbungsverfahrens; bei Anstellung werden sie Teil des Personaldossiers

Du kannst dein Kundenkonto in den Profileinstellungen selbst deaktivieren oder uns unter info@mrbrunch.ch um Löschung bitten. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

Nach dem DSG hast du insbesondere folgende Rechte:

• Auskunft darüber, ob und welche Personendaten wir über dich bearbeiten (Art. 25 DSG)
• Berichtigung unrichtiger Personendaten
• Löschung deiner Personendaten, soweit keine Aufbewahrungspflichten entgegenstehen
• Herausgabe der Personendaten, die du uns bereitgestellt hast, in einem gängigen elektronischen Format (Art. 28 DSG)
• Widerspruch gegen die Bearbeitung, insbesondere gegen Marketing-Kommunikation

Wende dich dazu an info@mrbrunch.ch. Zur Bearbeitung deines Gesuchs können wir einen Identitätsnachweis verlangen. Zudem kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch) wenden.

Wir können diese Datenschutzerklärung jederzeit anpassen, etwa bei Änderungen unserer Dienste oder der eingesetzten Dienstleister. Es gilt die jeweils auf der Website publizierte Fassung.