Datenschutzerklärung
Stand: 30. Oktober 2026
ENTWURF – vor Veröffentlichung alle Platzhalter in [ECKIGEN KLAMMERN] ersetzen und anwaltlich prüfen lassen.
Diese Datenschutzerklärung erklärt, wie Mesamia personenbezogene Daten bearbeitet, wenn du die Website mesamia.app, die Mesamia-Apps für iOS und Android oder die Restaurant-Software nutzt. Sie richtet sich nach dem Schweizer Bundesgesetz über den Datenschutz (DSG, in Kraft seit 1. September 2023), der EU-Datenschutz-Grundverordnung (DSGVO) und der UK GDPR in Verbindung mit dem UK Data Protection Act 2018.
1. Verantwortlicher
Mesamia [RECHTSFORM] [STRASSE NR], [PLZ ORT], [LAND] E-Mail: [DATENSCHUTZ-E-MAIL: privacy@mesamia.app] Telefon: [TELEFON]
[Falls bestellt: Datenschutzbeauftragte/r: [NAME, KONTAKT]]
Vertreter in der EU (Art. 27 DSGVO): [EU-VERTRETER nach Art. 27 DSGVO – Name, Adresse, E-Mail] Vertreter im Vereinigten Königreich (Art. 27 UK GDPR): [UK-VERTRETER nach Art. 27 UK GDPR – Name, Adresse, E-Mail]
Hinweis für die Fertigstellung: Hat der Betreiber seinen Sitz in der Schweiz (ohne Niederlassung in der EU bzw. im UK), muss er wegen des Angebots an Gäste und Restaurants in der EU und im UK in der Regel einen Vertreter in der EU und im UK benennen. Bei Sitz in der EU entfällt der EU-Vertreter; dann ist ggf. ein Vertreter in der Schweiz (Art. 14 DSG) zu prüfen.
2. Wer für welche Daten verantwortlich ist
- Mesamia ist Verantwortlicher für dein Gastkonto, die Gäste-Website und -Apps, die Übermittlung deiner Tischanfragen an Restaurants, Benachrichtigungen, die Abwicklung der Reservierungsgebühr über Stripe (technisch) sowie für Restaurant-Konten und die Abrechnung mit Restaurants.
- Das Restaurant ist eigenständig Verantwortlicher für die Daten, die es aus deiner Buchung erhält und in seinem Betrieb nutzt, und für eigene Notizen im Gästebuch. Für die No-Show-Gebühr ist das Restaurant Händler.
- Mesamia als Auftragsverarbeiter: Soweit Mesamia die Restaurant-Software (Posteingang, Tischplan, Gästebuch) für das Restaurant betreibt, bearbeitet Mesamia die Daten im Auftrag des Restaurants auf Grundlage eines Auftragsverarbeitungsvertrags. Fragen zur Datenbearbeitung im Restaurant richtest du am besten direkt an das Restaurant; wir leiten Anfragen auch weiter.
3. Welche Daten wir bearbeiten
Gäste
- Kontodaten: Name, Telefonnummer, E-Mail-Adresse, bei Anmeldung mit Apple oder Google die von dort übermittelten Angaben (z. B. Name, E-Mail, Konto-ID);
- Buchungsdaten: Restaurant, Datum, Uhrzeit, Personenzahl, Kinder, Kinderstuhl, Hund, Notiz, Status der Anfrage (angefragt, angenommen, Gegenvorschlag, abgelehnt, storniert, erschienen, nicht erschienen);
- Allergie-Angaben (optional, Gesundheitsdaten – siehe Ziffer 5);
- Besuchshistorie pro Restaurant und daraus berechnete Gast-Status;
- Reservierungsgebühr: Zustimmung (Zeitpunkt), Zahlungsstatus, Einsprüche, Stripe-Referenzen. Vollständige Kartendaten erhält nur Stripe, nicht Mesamia;
- Geräte- und Nutzungsdaten: Push-Token des Geräts, App-Version, Betriebssystem, technische Protokolle und Fehlerberichte;
- Analysedaten auf der Website, nur mit Einwilligung (siehe Ziffer 9);
- Kommunikation mit unserem Support.
Restaurants
- Betriebsdaten (Name, Adresse, Öffnungszeiten, Bilder), bei der Einrichtung ggf. aus Google Places;
- Namen und Kontaktdaten der Inhaber und Mitarbeitenden, Logins, Rollen;
- Vertrags- und Abrechnungsdaten, Stripe-Connect-Kontoreferenz;
- Inhalte der Restaurant-Software (Tischplan, Regeln, Gästebuch).
4. Zwecke und Rechtsgrundlagen
| Zweck | Daten | Rechtsgrundlage (DSGVO / UK GDPR) |
|---|---|---|
| Konto anlegen, Anmeldung (SMS-Code, Apple, Google) | Kontodaten | Vertrag (Art. 6 Abs. 1 lit. b) |
| Tischanfragen an Restaurants senden, Antworten übermitteln | Konto-, Buchungsdaten | Vertrag (Art. 6 Abs. 1 lit. b) |
| Allergie-Angaben an das Restaurant übermitteln | Allergie-Angaben | ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a) |
| Benachrichtigungen (Push, SMS, E-Mail) zu Anfragen und Buchungen | Kontaktdaten, Push-Token, Buchungsdaten | Vertrag (Art. 6 Abs. 1 lit. b) |
| Reservierungsgebühr: Karte hinterlegen, No-Show, Einspruch, Belastung, Erstattung | Buchungs-, Zahlungsdaten | Vertrag (Art. 6 Abs. 1 lit. b) |
| Gast-Status und Vorteile pro Restaurant berechnen | Besuchshistorie | Vertrag (Art. 6 Abs. 1 lit. b); berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Betrieb, Sicherheit, Missbrauchsverhinderung, Fehleranalyse (Sentry) | technische Daten, Protokolle | berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Analyse der Website-Nutzung (PostHog EU) | Nutzungsdaten | Einwilligung (Art. 6 Abs. 1 lit. a) |
| Verträge mit Restaurants, Abrechnung | Restaurantdaten | Vertrag (Art. 6 Abs. 1 lit. b) |
| Einrichtung eines Restaurant-Profils mit Google Places | öffentliche Betriebsdaten | berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Support | Kommunikation | Vertrag bzw. berechtigtes Interesse (Art. 6 Abs. 1 lit. b, f) |
| Aufbewahrungspflichten (z. B. Buchhaltung), Rechtsdurchsetzung | Abrechnungs-, Zahlungsdaten | rechtliche Pflicht (Art. 6 Abs. 1 lit. c); berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
Unsere berechtigten Interessen sind ein sicherer, funktionierender und verbesserter Dienst sowie die Verhinderung von Missbrauch.
Nach dem Schweizer DSG ist für eine Bearbeitung grundsätzlich keine Rechtsgrundlage erforderlich, solange die Bearbeitungsgrundsätze eingehalten werden. Wo das DSG eine Einwilligung verlangt (z. B. ausdrückliche Einwilligung bei Gesundheitsdaten), holen wir sie ein.
5. Allergie-Angaben (Gesundheitsdaten)
- Allergie-Angaben sind Gesundheitsdaten (besonders schützenswerte Personendaten nach DSG, besondere Kategorie nach Art. 9 DSGVO).
- Wir bearbeiten sie nur, wenn du sie freiwillig angibst und ausdrücklich einwilligst.
- Sie sind nur für dich und das Restaurant der betreffenden Buchung sichtbar, nur für diese Buchung.
- Sie werden 30 Tage nach dem Besuch automatisch gelöscht.
- Du kannst die Einwilligung jederzeit widerrufen, indem du die Angaben in der Buchung löschst oder uns schreibst. Der Widerruf gilt für die Zukunft.
- Wichtig: Mesamia übermittelt die Angaben nur. Ob und wie das Restaurant sie berücksichtigt, liegt in der Verantwortung des Restaurants. Bitte sprich bei schweren Allergien zusätzlich direkt mit dem Restaurant.
6. Empfänger
Restaurants: Wenn du eine Anfrage sendest, erhält das Restaurant die Daten, die es für die Buchung braucht: deinen Namen, die Buchungsdaten, deine Notiz, ggf. Allergie-Angaben, deine Besuchshistorie und deinen Status bei diesem Restaurant sowie [PRÜFEN: welche Kontaktdaten – Telefon/E-Mail – das Restaurant sieht]. Ein Restaurant sieht nicht, welche anderen Restaurants du besuchst.
Auftragsverarbeiter und weitere Dienstleister:
| Anbieter | Zweck | Sitz / Datenstandort |
|---|---|---|
| Supabase [Vertragspartner prüfen, z. B. Supabase, Inc.] | Datenbank, Authentifizierung, Hosting, Backend-Funktionen | Anbieter USA; Daten gespeichert in der EU (Frankfurt, Deutschland) oder der Schweiz (Zürich) [REGION FESTLEGEN] |
| Vercel [Vertragspartner prüfen, z. B. Vercel Inc.] | Hosting der Website | Anbieter USA; Auslieferung aus der EU-Region |
| Stripe [Vertragspartner prüfen, z. B. Stripe Payments Europe, Ltd., Irland; UK: Stripe Payments UK Ltd.] | Zahlungsabwicklung (Kartenhinterlegung, 3-D Secure, Belastung, Erstattung, TWINT/Bizum) | Irland/UK; Übermittlung in die USA möglich |
| Twilio [Vertragspartner prüfen] | Versand von SMS (Anmeldecodes, Benachrichtigungen) | USA; Zustellung über Mobilfunkanbieter |
| Resend [Vertragspartner prüfen] | Versand von E-Mails | USA |
| Expo [Vertragspartner prüfen, z. B. 650 Industries, Inc.] | Push-Benachrichtigungen (über Apple Push Notification Service bzw. Google Firebase Cloud Messaging) | USA |
| Sentry [Vertragspartner prüfen, z. B. Functional Software, Inc.] | Fehleranalyse | USA [EU-DATENREGION PRÜFEN] |
| PostHog [Vertragspartner prüfen] | Analyse der Website-Nutzung, nur mit Einwilligung | EU-Cloud (Frankfurt, Deutschland) |
| Google [Vertragspartner prüfen, z. B. Google Ireland Ltd. / Google LLC] | Anmeldung mit Google; Google Places nur bei der Einrichtung von Restaurants | Irland/USA |
| Apple [Vertragspartner prüfen, z. B. Apple Distribution International Ltd. / Apple Inc.] | Anmeldung mit Apple | Irland/USA |
Stripe, Google und Apple bearbeiten bestimmte Daten zudem als eigene Verantwortliche (z. B. Betrugsprävention, gesetzliche Pflichten, Kontoverwaltung). Es gelten dann ergänzend deren Datenschutzerklärungen.
Weitere Empfänger: Behörden und Gerichte, wenn wir gesetzlich dazu verpflichtet sind; Berater (z. B. Anwälte, Treuhänder) unter Schweigepflicht; ein Erwerber im Fall einer Unternehmensübertragung.
7. Übermittlung ins Ausland
Wir speichern die Hauptdaten in der EU bzw. der Schweiz. Einige Dienstleister haben ihren Sitz in den USA oder können von dort aus auf Daten zugreifen. Die Schweiz und die EU anerkennen sich gegenseitig als Staaten mit angemessenem Datenschutz; auch für das Vereinigte Königreich bestehen entsprechende Angemessenheitsentscheide [AKTUELLEN STAND PRÜFEN].
Für Übermittlungen in Staaten ohne angemessenes Datenschutzniveau (z. B. USA) stützen wir uns – je nach Empfänger – auf:
- die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework, dessen UK-Erweiterung bzw. dem Swiss-US Data Privacy Framework, soweit der Empfänger zertifiziert ist; oder
- die Standardvertragsklauseln der EU-Kommission (für die Schweiz mit den vom EDÖB anerkannten Anpassungen; für das UK mit dem International Data Transfer Addendum).
[VOR VERÖFFENTLICHUNG PRO ANBIETER PRÜFEN, welche Grundlage gilt.] Eine Kopie der Garantien kannst du bei uns anfordern.
8. Aufbewahrung
- Konto: bis du dein Konto löschst. Danach löschen oder anonymisieren wir die Daten, ausser wir müssen sie aufbewahren.
- Allergie-Angaben: 30 Tage nach dem Besuch.
- Buchungsdaten und Besuchshistorie: [AUFBEWAHRUNGSFRIST FESTLEGEN, z. B. bis zur Kontolöschung]; Gast-Status berücksichtigen nur Besuche der letzten 12 Monate.
- Zahlungs- und Abrechnungsdaten: so lange, wie gesetzliche Aufbewahrungspflichten es verlangen (in der Schweiz und in Deutschland in der Regel bis zu 10 Jahre).
- Technische Protokolle und Fehlerberichte: [FRIST FESTLEGEN, z. B. 30–90 Tage].
- Analysedaten: [FRIST FESTLEGEN].
- Restaurant-Daten: für die Vertragsdauer; nach Vertragsende kann das Restaurant seine Daten exportieren, danach werden sie gelöscht, soweit keine Aufbewahrungspflicht besteht.
- Daten im Gästebuch eines Restaurants: das Restaurant entscheidet als Verantwortlicher über deren Aufbewahrung.
9. Cookies, lokale Speicherung und Analyse
Für die Anmeldung speichern wir eine Sitzung im Browser bzw. in der App (technisch notwendig). Auf der Website nutzen wir PostHog EU zur Analyse nur, wenn du einwilligst. Du kannst die Einwilligung jederzeit in den Cookie-Einstellungen widerrufen. [PRÜFEN: Analyse in den Apps – falls genutzt, Einwilligung bzw. Opt-out beschreiben.] Details: Cookie-Hinweis.
10. Automatisierte Entscheidungen
Wir treffen keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO bzw. Art. 21 DSG. Zur Transparenz: Restaurants können Regeln festlegen, nach denen Anfragen automatisch angenommen werden, und Gast-Status werden automatisch aus der Anzahl der Besuche berechnet. Ablehnungen und No-Show-Markierungen erfolgen durch Mitarbeitende des Restaurants.
11. Deine Rechte
Du hast – je nach anwendbarem Recht – das Recht auf:
- Auskunft über deine Daten;
- Berichtigung unrichtiger Daten;
- Löschung (Konto löschen in der App oder unter mesamia.app/account/delete);
- Einschränkung der Bearbeitung;
- Datenübertragbarkeit (Herausgabe in einem gängigen Format);
- Widerspruch gegen Bearbeitungen auf Grundlage berechtigter Interessen;
- Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft.
Schreibe dazu an [DATENSCHUTZ-E-MAIL: privacy@mesamia.app]. Wir können einen Identitätsnachweis verlangen.
Du kannst dich bei einer Aufsichtsbehörde beschweren, z. B. beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, Schweiz), bei der Aufsichtsbehörde deines EU-Wohnsitzstaates oder beim Information Commissioner's Office (ICO, Vereinigtes Königreich).
12. Sicherheit
Wir schützen Daten mit technischen und organisatorischen Massnahmen, z. B. verschlüsselte Übertragung (TLS), Zugriffsbeschränkungen auf Datenbankebene, Rollen- und Rechtekonzept und Protokollierung. Zahlungskarten werden ausschliesslich bei Stripe gespeichert.
13. Kinder
Mesamia richtet sich an Personen ab 16 Jahren. Wir bearbeiten wissentlich keine Daten von jüngeren Personen als Kontoinhaber. Angaben zu mitreisenden Kindern beschränken sich auf Anzahl und Bedarf (z. B. Kinderstuhl).
14. Pflicht zur Bereitstellung
Ohne Kontodaten und Buchungsdaten können wir keine Anfrage an ein Restaurant senden. Allergie-Angaben und Analyse-Einwilligung sind freiwillig.
15. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Es gilt die jeweils auf mesamia.app veröffentlichte Fassung. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail.