Verantwortlicher
wulut [Rechtsform, Inhaber], [Straße Nr], [PLZ Ort] · E-Mail: hallo@wulut.com. Weitere Angaben findest du im Impressum.
Überblick
wulut vermittelt Bestellungen zwischen dir und Restaurants. Wir verarbeiten personenbezogene Daten, um Bestellungen abzuwickeln (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten zu erfüllen (lit. c), unsere Plattform sicher und funktionsfähig zu betreiben (lit. f) und – nur wenn du zustimmst – für Statistik, den Newsletter und die Warteliste (lit. a). Wir verkaufen keine Daten, nutzen keine Werbe-Cookies und laden keine externen Schriftarten.
Hosting und Server
Unsere Server stehen bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO). Beim Aufruf der Seite verarbeitet der Server technisch notwendige Daten (u. a. IP-Adresse, Zeitpunkt, aufgerufene Seite) für den sicheren Betrieb und zur Abwehr von Missbrauch, z. B. zum Begrenzen zu vieler Anmeldeversuche. Zugriffsprotokolle werden nach spätestens 14 Tagen gelöscht.
Kundenkonto
Bei der Registrierung speichern wir Name, E-Mail-Adresse und ein verschlüsseltes Passwort (Hash), auf Wunsch auch Telefonnummer, Lieferadresse und Profilbild. Zur Bestätigung deiner E-Mail-Adresse senden wir dir einen Link; über „Passwort vergessen“ bekommst du einen einmal nutzbaren Link, der eine Stunde gültig ist. Schaltest du die Zwei-Faktor-Anmeldung ein, speichern wir dafür einen geheimen Schlüssel und deine Wiederherstellungscodes (nur als Hash). Du kannst dein Konto jederzeit unter Profil löschen. Daten, die wir gesetzlich aufbewahren müssen, werden danach gesperrt und später gelöscht.
Im Kundenkonto kannst du Adressen speichern (z. B. „Zuhause“ und „Arbeit“) – mit Straße, PLZ, Ort und optional einem Hinweis für den Fahrer. Sie werden nur genutzt, um deine Bestellungen schneller auszufüllen, und mit dem Konto gelöscht. Angemeldete Apps nutzen einen Zugangsschlüssel, der nach 90 Tagen abläuft.
Bestellungen
Für eine Bestellung verarbeiten wir Name, Telefonnummer, E-Mail, bei Lieferung die Adresse, die bestellten Gerichte, Hinweise, Zahlungsart und Zeitpunkte. Diese Daten erhält das Restaurant, bei dem du bestellst – es ist dein Vertragspartner für die Speisen – und bei Lieferung der zugewiesene Fahrer (Name, Adresse, Telefonnummer, Hinweise). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Abrechnungsrelevante Daten bewahren wir nach Handels- und Steuerrecht bis zu 10 Jahre auf.
Bei einer Vorbestellung speichern wir zusätzlich die gewählte Wunschzeit und wann das Restaurant die Vorbestellung bestätigt hat. Die Angabe von Name, Telefonnummer und – bei Lieferung – Adresse ist für eine Bestellung erforderlich; ohne sie kann das Restaurant nicht liefern oder dich nicht erreichen.
Bezahlung
Bei Barzahlung fließt kein Geld über wulut. Online-Zahlungen wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, ab. Deine Kartendaten gibst du direkt bei Stripe ein; wulut sieht sie nie. Wir erhalten nur Zahlungsstatus, Betrag und eine Referenz, ggf. auch Hinweise auf Rückbuchungen deiner Bank. Stripe verarbeitet Daten zum Teil auch in den USA (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework). Mehr: stripe.com/de/privacy.
Je nach gewählter Zahlungsart sind weitere Anbieter beteiligt, die die Daten in eigener Verantwortung verarbeiten: bei PayPal die PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg), bei Klarna die Klarna Bank AB (publ) (Stockholm, Schweden), bei Apple Pay bzw. Google Pay zusätzlich Apple bzw. Google für die Freigabe auf deinem Gerät. Es gelten dann auch deren Datenschutzhinweise. Bei Barzahlung werden keine Zahlungsdaten an Dritte übermittelt.
Erstattungen: Wird eine Bestellung ganz oder teilweise erstattet, speichern wir Betrag, Zeitpunkt, Grund und wer die Erstattung ausgelöst hat (Restaurant, wulut oder Zahlungsdienstleister), zusammen mit der Bestellung. Bei Online-Zahlungen übermitteln wir die Erstattung an Stripe; im Stripe-Dashboard vorgenommene Erstattungen gleicht Stripe automatisch mit uns ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO; die Daten bewahren wir wie die Bestelldaten bis zu 10 Jahre auf.
E-Mails
Wir schicken dir E-Mails, die zur Bestellung oder zu deinem Konto gehören: Bestellbestätigung, Statusänderungen, Storno und Erstattung, Antworten des Supports, Stempelkarten-Belohnungen, E-Mail-Bestätigung und Passwort-Links. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbung per E-Mail (Newsletter) bekommst du nur, wenn du sie abonniert und bestätigt hast – siehe Newsletter. Der Versand läuft über die Mailserver unseres Hosters IONOS in Deutschland. Antwortest du auf eine E-Mail, landet deine Nachricht bei unserem Kundenservice.
Bestellchat
Der Chat zwischen dir und dem Restaurant ist Ende-zu-Ende-verschlüsselt: Die Schlüssel liegen nur auf euren Geräten, wulut kann die Inhalte nicht lesen. Wir speichern die verschlüsselten Nachrichten sowie Zeitpunkte und automatische Statusmeldungen, solange die Bestellung im Konto sichtbar ist.
Probleme melden und Streitfälle
Meldest du ein Problem, verarbeiten wir Kategorie, Beschreibung, deinen Wunsch (z. B. Erstattung) und die Antwort des Restaurants; das Restaurant und unser Support sehen die Meldung. Kommt es zum Streitfall, können du und das Restaurant Stellungnahmen und Fotos einreichen. Fotos werden auf unserem Server gespeichert, von Metadaten wie dem Aufnahmeort befreit und sind nur für dich, das Restaurant und unser Team sichtbar. Wir entscheiden auf dieser Grundlage über Erstattungen (Art. 6 Abs. 1 lit. b und f DSGVO). Meldungen, Streitfälle und Fotos löschen wir 24 Monate nach Abschluss, soweit keine Aufbewahrungspflicht besteht.
KI-Assistent und Live-Support
Der wulut-Assistent ist ein automatisches System (kein Mensch) – darauf weisen wir auch im Chatfenster hin. Er beantwortet typische Fragen automatisch auf unserem Server; bist du angemeldet, kennt er den Status deiner Bestellungen, nicht aber den verschlüsselten Bestellchat. Den bisherigen Verlauf speichert dein Browser nur für den geöffneten Tab (Sitzungsspeicher); er wird beim Schließen des Tabs gelöscht. Auf unserem Server speichern wir die Fragen nicht – außer du startest den Live-Chat (siehe unten). Es werden dabei keine Daten an externe KI-Dienste übermittelt.
Startest du den Live-Chat mit unserem Support, speichern wir die Nachrichten (einschließlich des bisherigen Gesprächs mit dem Assistenten), deinen Namen und deine E-Mail-Adresse, damit unser Team dir helfen und – falls du nicht mehr online bist – per E-Mail antworten kann. Support-Chats sind bewusst nicht Ende-zu-Ende-verschlüsselt. Unser Team sieht dabei deine Bestellungen, um dir zu helfen. Support-Chats löschen wir 24 Monate nach dem letzten Kontakt.
Bewertungen
Bewertungen kann nur abgeben, wer beim Restaurant bestellt hat. Veröffentlicht werden Sterne, Text, Datum und dein Vorname mit abgekürztem Nachnamen sowie dein Profilbild bzw. Avatar. Das Restaurant kann öffentlich antworten. Du kannst deine Bewertung jederzeit löschen.
Gruppenbestellung
Bei einer Gruppenbestellung sehen alle Teilnehmenden die Namen bzw. Spitznamen und die gewählten Gerichte der anderen sowie, wer bereits bezahlt hat. Zahlt jeder selbst, sieht jede Person nur ihre eigene Zahlung bei Stripe.
Stempelkarten
Bietet ein Restaurant eine Stempelkarte an, speichern wir für Kundenkonten je Restaurant die Anzahl der Stempel, die zugrunde liegenden Bestellungen und deine Belohnungen samt Einlösung. Das Restaurant sieht, wie viele Stempel seine Gäste gesammelt haben (Name und Anzahl), aber keine Bestellungen bei anderen Restaurants. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Löschst du dein Konto, werden auch Stempel und offene Belohnungen gelöscht.
Gutscheincodes
Löst du einen Gutscheincode ein, speichern wir zur Bestellung den Code, den Rabatt sowie deine E-Mail-Adresse bzw. dein Kundenkonto. So prüfen wir die Bedingungen des Codes (z. B. „nur für die erste Bestellung“ oder „einmal je Kunde“) und rechnen den Rabatt mit dem Restaurant ab. Kommst du über einen Link mit Gutscheincode, merken wir uns den Code bis zur Bestellung in deiner Sitzung (technisch notwendiges Sitzungs-Cookie). Das Restaurant sieht bei der Bestellung den Code und den Rabatt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Daten werden mit der Bestellung nach den gesetzlichen Fristen gelöscht.
Geschenkgutscheine
Kaufst du einen Geschenkgutschein, speichern wir Betrag, Motiv, die Texte, die du eingibst (Namen und Nachricht), deine E-Mail-Adresse, ggf. dein Kundenkonto und die Zahlungsreferenz von Stripe. Wählst du die Zustellung per E-Mail, speichern wir auch die E-Mail-Adresse der beschenkten Person und verwenden sie ausschließlich, um ihr den Gutschein zu schicken – nicht für Werbung. Bitte gib sie nur ein, wenn die Person mit einem Geschenk von dir rechnen darf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Kauf und Zustellung) bzw. lit. f (berechtigtes Interesse, das Geschenk zuzustellen).
Löst du einen Gutschein ein, ordnen wir ihn deinem Kundenkonto zu (Guthaben) und speichern, bei welchen Bestellungen du wie viel Guthaben verrechnet hast. Den Stand und Verlauf siehst du unter „Konto → Guthaben“. Das Restaurant sieht nur den verrechneten Betrag, nicht den Code und nicht, wer den Gutschein gekauft hat. Wer den Gutschein-Link öffnet, sieht Motiv, Namen, Nachricht und Guthaben. Die Daten speichern wir, solange der Gutschein Guthaben hat, danach nach den gesetzlichen Aufbewahrungsfristen für Buchungsbelege (bis zu 10 Jahre).
Social Media und TikTok-Videos
Auf unserer Seite „Social Media“ (wulut.com/social) und in der Fußzeile verlinken wir auf unsere Profile bei TikTok, Instagram, Facebook und LinkedIn. Das sind einfache Links: Erst wenn du einen anklickst, öffnet sich die Seite des Netzwerks, und es gelten dessen Datenschutzhinweise.
Unsere TikTok-Videos binden wir mit einer Zwei-Klick-Lösung ein: Zunächst siehst du nur ein Vorschaubild von unserem Server. Erst wenn du auf ▶ tippst, lädt dein Browser den Player von TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland). Dabei werden u. a. deine IP-Adresse, Browserdaten und die aufgerufene Seite an TikTok übertragen; TikTok kann Cookies setzen und Daten auch in Drittländern (z. B. China, USA) verarbeiten. Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); sie gilt nur für das jeweilige Video und den aktuellen Seitenaufruf. Mehr: tiktok.com/legal/privacy-policy-eea.
Live-Verfolgung von Lieferungen und Karte
Fahrerinnen und Fahrer: Die wulut-Fahrer-App überträgt den Standort ausschließlich während einer laufenden Lieferung – ab „Abgeholt“ bis „Zugestellt“ – etwa alle vier Sekunden an unseren Server. Gespeichert wird nur die jeweils letzte Position; sie wird nach der Zustellung gelöscht. Zweck ist die Information des Kunden über die Ankunft (Art. 6 Abs. 1 lit. b und f DSGVO). Das Restaurant sieht, wer welche Lieferung übernommen hat.
Kundinnen und Kunden: Auf der Bestellseite zeigen wir eine Karte mit dem Standort des Fahrers, dem Restaurant und deiner Lieferadresse. Kartendaten stammen von OpenStreetMap (© OpenStreetMap-Mitwirkende). Die Kartenbilder und die Umrechnung von Adressen in Koordinaten laufen über unseren Server; dein Browser stellt dafür keine direkte Verbindung zu OpenStreetMap her.
Ortssuche und Standort
Wenn du in das Suchfeld tippst, schlagen wir passende Postleitzahlen, Orte und Straßen vor. Dazu leitet unser Server deine Eingabe an den Suchdienst Photon (komoot GmbH, Deutschland; Kartendaten © OpenStreetMap-Mitwirkende) weiter – ohne deine IP-Adresse. Tippst du auf „Meinen Standort verwenden“, fragt dein Browser um Erlaubnis; nur dann übermitteln wir die Koordinaten auf demselben Weg, um daraus deine Adresse zu ermitteln. Gespeichert wird nur die gewählte Adresse in deiner Sitzung, damit wir sie an der Kasse vorausfüllen können.
Auch beim Eingeben einer Lieferadresse (an der Kasse und in deinen gespeicherten Adressen) schlagen wir dir passende Adressen vor. Dafür wird der eingegebene Text über unseren Server – ohne deine IP-Adresse – an den Dienst Photon (komoot GmbH, auf Basis von OpenStreetMap) gesendet. Tippst du auf „📍“, ermittelt dein Browser nach deiner Zustimmung deinen Standort; wir wandeln ihn einmalig in eine Adresse um und speichern die Koordinaten nicht.
Apps für iPhone und Android
Die wulut-Apps zeigen dieselben Inhalte wie die Webseite und verarbeiten dieselben Daten wie hier beschrieben. Auf deinem Gerät speichern sie nur, was für die Anmeldung nötig ist (Sitzung bzw. Zugangsschlüssel). Auf Standort, Kamera und Fotos greifen sie nur zu, wenn du es erlaubst und die Funktion nutzt (Ortssuche, Profilbild, Fotos im Streitfall). Die Fahrer-App überträgt den Standort ausschließlich während einer laufenden Lieferung (siehe oben). Werbe- oder Analyse-Dienste sind nicht eingebunden.
Minispiele: Spielstand-Rekorde und die Ton-Einstellung der Minispiele werden nur lokal in deinem Browser gespeichert und nicht an uns übertragen. Das Spiel zeigt deinen Bestellstatus an, den es ohnehin auf der Bestellseite gibt.
Warteliste vor dem Start
Vor dem Start kannst du dich als Kunde oder als Restaurant in die Warteliste eintragen. Wir speichern deine E-Mail-Adresse, ob du Kunde oder Restaurant bist, optional deinen Vornamen und deine Postleitzahl, bei Restaurants zusätzlich den Namen des Restaurants und optional eine Telefonnummer, sowie die Zeitpunkte von Eintragung, Bestätigung und unseren E-Mails. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du per Bestätigungslink erteilst (Double-Opt-in).
Wir nutzen die Daten nur, um dich über den Start von wulut zu informieren: Zum Starttermin bekommst du eine E-Mail mit einem Link zum Registrieren, in dem deine Angaben schon vorausgefüllt sind. Wenn du das möchtest – das stellen wir für alle einheitlich ein –, schicken wir ein paar Tage später eine einzige Erinnerung; dafür prüfen wir, ob es zu deiner E-Mail-Adresse schon ein Kundenkonto gibt, und schreiben nur, wenn nicht. Außerdem sehen wir, in welchen Orten Interesse besteht. Du kannst dich jederzeit abmelden – über den Link in unseren E-Mails (auch mit einem Klick direkt im E-Mail-Programm) oder formlos per E-Mail an uns. Unbestätigte Einträge löschen wir nach 30 Tagen, alle anderen spätestens 180 Tage nach der Start-E-Mail.
Weiterempfehlen und Teilen: Nach dem Bestätigen bekommst du einen persönlichen Einladungslink mit einem zufälligen Code. Kommt jemand über diesen Link und trägt sich ein, merken wir uns das in seiner Sitzung und speichern beim neuen Eintrag, über wessen Link er kam. Du siehst dabei nur die Anzahl der Personen, die über deinen Link dabei sind – keine Namen oder Adressen. Wenn wir eine Belohnung anbieten, schicken wir dir den Gutschein an deine E-Mail-Adresse von der Warteliste. Rechtsgrundlage ist deine Einwilligung bzw. die Durchführung der Aktion (Art. 6 Abs. 1 lit. a und b DSGVO). Die Teilen-Knöpfe sind einfache Links: Erst wenn du einen antippst, öffnet sich WhatsApp, Telegram, Facebook, X, dein E-Mail- oder SMS-Programm mit einem vorbereiteten Text; dort gelten die Datenschutzhinweise des jeweiligen Anbieters. Wir zählen nur anonym, wie oft welcher Knopf genutzt wurde. Nennst du uns ein Wunsch-Restaurant, speichern wir nur den Namen des Restaurants und die Zahl der Stimmen – nicht, wer es genannt hat; damit du nicht doppelt zählst, merkt sich deine Sitzung, was du schon gewünscht hast.
Gesamtzahlen: Auf der Präsentationsseite zeigen wir nur, wie viele Kunden und Restaurants insgesamt auf der Warteliste stehen bzw. schon angemeldet sind – als reine Zahl, ohne Namen, E-Mail-Adressen, Postleitzahlen oder Orte.
Restaurants und Fahrer
Von Restaurants verarbeiten wir Unternehmens- und Kontaktdaten, Inhaber, Bankverbindung bzw. Stripe-Konto, Speisekarten, Rechnungen und Zahlungen, um den Partnervertrag zu erfüllen und abzurechnen. Fahrer werden vom Restaurant mit Name und Telefonnummer angelegt; während einer Lieferung verarbeiten wir zusätzlich den Standort (siehe Live-Verfolgung). Verantwortlich für die Beschäftigung der Fahrer ist das jeweilige Restaurant.
Online-Zahlungen der Restaurants (Stripe Connect): Damit ein Restaurant Online-Zahlungen empfangen kann, erhebt Stripe die gesetzlich vorgeschriebenen Angaben zur Identität des Inhabers bzw. der vertretungsberechtigten Personen und das Auszahlungskonto direkt im Stripe-Formular. wulut erhält davon nur den Status der Einrichtung, nicht die Ausweis- oder Kontodaten.
Abrechnung mit den Restaurants: Für die monatlichen Rechnungen verarbeiten wir Firmen- und Rechnungsdaten, Zahlungseingänge und den Mahnstatus. Hinterlegt ein Restaurant ein SEPA-Lastschriftmandat oder eine Karte, werden diese Daten bei Stripe gespeichert; wulut speichert nur die Art und die letzten vier Ziffern (z. B. „SEPA ···3000“). Ist eine Rechnung trotz Mahnungen offen, kann das Restaurant vorübergehend pausiert werden (Art. 6 Abs. 1 lit. b und f DSGVO). Rechnungs- und Mahndaten bewahren wir nach Handels- und Steuerrecht bis zu 10 Jahre auf.
Speicherdauer im Überblick
| Kundenkonto, gespeicherte Adressen, Stempelkarten | bis zur Löschung des Kontos |
| Bestell-, Rechnungs- und Mahndaten | bis zu 10 Jahre (Handels- und Steuerrecht) |
| Support-Chats, Problemmeldungen, Streitfälle und Fotos | 24 Monate nach Abschluss |
| Standortdaten der Fahrer während einer Lieferung | bis zum Ende der Lieferung |
| Server-Protokolle | 14 Tage |
| Warteliste: unbestätigte Einträge / nach der Start-E-Mail | 30 Tage / 180 Tage |
| Newsletter: unbestätigte Anmeldungen | 30 Tage |
| Newsletter: E-Mail-Adresse und Bestätigungsnachweis | bis zur Abmeldung (danach nur anonymer Statistik-Eintrag) |
| Verlauf des Assistenten im Browser | bis der Tab geschlossen wird |
| Passwort-Links / Anmeldeschlüssel der Apps | 1 Stunde / 90 Tage |
Keine automatisierten Entscheidungen
Wir treffen keine Entscheidungen, die dich rechtlich betreffen oder ähnlich erheblich beeinträchtigen, ausschließlich automatisiert (Art. 22 DSGVO), und wir erstellen keine Werbeprofile. Über Erstattungen in Streitfällen entscheidet ein Mensch aus unserem Team. Die Reihenfolge der Restaurants richtet sich nach den in den AGB beschriebenen, für alle gleichen Kriterien.
Empfänger und Dienstleister
Restaurants, bei denen du bestellst (inkl. deren Fahrer); IONOS SE (Hosting, E-Mail); Stripe Payments Europe, Ltd. (Online-Zahlungen); komoot GmbH / Photon (Ortssuche, ohne IP-Adresse); Behörden nur, wenn wir gesetzlich dazu verpflichtet sind. Mit Dienstleistern, die in unserem Auftrag handeln, bestehen Verträge nach Art. 28 DSGVO.
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15–21 DSGVO). Einwilligungen kannst du jederzeit für die Zukunft widerrufen. Schreib uns dazu einfach an hallo@wulut.com. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für den Datenschutz Niedersachsen.
Stand: 09.10.2026 · Fragen? hallo@wulut.com
