Datenschutzerklärung für die Anwendung order2quote

Stand 08.11.2026 · Version 1.1.2 · gilt für die Nutzung der Software order2quote (Web-Anwendung, Produktionsdashboard), nicht für die Webseiten skyxai.de und order2quote.com, für die eigene Datenschutzhinweise gelten

1. Verantwortlicher

SKYxAI GmbH, Lagerstraße 45, 82178 Puchheim, Deutschland, Amtsgericht München HRB 281732, vertreten durch die Geschäftsführung. E-Mail: consulting@skyxai.de, Telefon: +49 179 4477864. Anfragen zum Datenschutz richten Sie bitte an consulting@skyxai.de.

2. Unsere zwei Rollen: Verantwortlicher und Auftragsverarbeiter

order2quote ist eine Software für Cateringbetriebe in der Privat- und Geschäftsluftfahrt. Der Betrieb, der order2quote nutzt („Kunde“), legt darin seine eigenen Daten an: Bestellanfragen, Angebote, Aufträge, Kundenunternehmen und Ansprechpartner, Menüs, Gebühren sowie Inhalte aus verbundenen E-Mail-Postfächern und Drittsystemen. Für diese Daten ist der Kunde Verantwortlicher im Sinne der DSGVO, und wir verarbeiten sie ausschließlich in seinem Auftrag auf Grundlage des Auftragsverarbeitungsvertrags (Anlage B der Nutzungsbedingungen). Fragen zu diesen Daten, etwa von Operatoren, Crews oder Passagieren, richten Sie bitte an den jeweiligen Cateringbetrieb.

Diese Datenschutzerklärung betrifft die Daten, für die wir selbst Verantwortlicher sind: die Nutzerkonten der Personen, die mit order2quote arbeiten, die Vertrags- und Abrechnungsdaten unserer Kunden, die Kommunikation mit uns sowie technische Daten, die beim Betrieb der Anwendung entstehen.

3. Welche Daten wir als Verantwortlicher verarbeiten

3.1 Nutzerkonto und Anmeldung. Beim Anlegen eines Nutzerkontos verarbeiten wir Name, geschäftliche E-Mail-Adresse, Rolle im System (Owner, Admin, User), Passwort, soweit verwendet, ausschließlich als Hash (die Anmeldung erfolgt in der Regel über einen per E-Mail zugesandten Anmeldelink), Spracheinstellung sowie Zeitpunkte von Anmeldungen und Sitzungen. Zweck: Bereitstellung des Zugangs, Zuordnung von Handlungen im System, Sicherheit des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Kunden als Vertragspartner; für Beschäftigte des Kunden Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der vertragsgemäßen Bereitstellung der Software für den Kunden, der die Nutzerkonten anlegt.

3.2 Vertrags-, Abrechnungs- und Vertragsannahmedaten. Zur Durchführung des Vertrags mit dem Kunden verarbeiten wir Firmendaten, Ansprechpartner, Rechnungsadresse, vereinbarte Konditionen und Zahlungsverlauf. Bei der Bestätigung der Nutzungsbedingungen im System protokollieren wir Name, E-Mail-Adresse, Rolle, Zeitpunkt, IP-Adresse, verwendeten Browser und die bestätigte Dokumentenversion. Zweck: Vertragsdurchführung und Nachweis des Vertragsschlusses. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten) sowie lit. f DSGVO für den Nachweis.

3.3 Technische Protokoll- und Nutzungsdaten. Beim Aufruf der Anwendung verarbeiten unsere Server IP-Adresse, Zeitpunkt, aufgerufene Funktion, Browser und Betriebssystem sowie Fehlermeldungen. Zweck: sicherer und stabiler Betrieb, Abwehr von Angriffen, Fehlerbehebung und anonymisierte Auswertung der Nutzung zur Verbesserung der Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in diesen Zwecken.

3.4 Kommunikation und Support. Wenn Sie uns per E-Mail, Telefon oder über das System kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Anfrage zur Bearbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage den Vertrag betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihrer Anfrage. Hierfür nutzen wir Microsoft 365 (Microsoft Ireland Operations Limited, Dublin, Irland) mit Datenspeicherung in der EU (Ziffern 5 und 6).

3.5 Cookies und lokale Speicherung. order2quote verwendet ausschließlich technisch notwendige Cookies und lokale Speicherung im Browser für Anmeldung, Sitzung und Einstellungen; hierfür ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Kopien für Fehlerbehebung und Migration

Für Datenmigrationen und die Analyse konkreter Fehler können wir zeitlich begrenzte Kopien von Datenbeständen verwenden, die Daten der Nutzerkonten enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Fehlerbehebung und der Migration von Daten. Daten der Nutzerkonten werden nicht an KI-Dienste übermittelt. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt.

5. Empfänger und Dienstleister

Wir setzen für den Betrieb und die Entwicklung der Anwendung folgende Dienstleister ein, die Daten nach unseren Weisungen und auf Grundlage von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO verarbeiten:

• netcup GmbH, Karlsruhe: Hosting der Anwendung und Speicherung der Daten im Produktivsystem, Rechenzentrum Nürnberg, Deutschland
• ALL-INKL.COM – Neue Medien Münnich, Friedersdorf: Betrieb der Domains, Versand von Systemnachrichten der Anwendung (Anmeldelinks, Einladungen, Vertragsmitteilungen), Deutschland
• LuvLabs UG (haftungsbeschränkt), Hamburg: Entwicklung, Wartung und Fehlerbehebung mit anlassbezogenem Zugriff, Deutschland
• Cloudflare, Inc., San Francisco, USA: Speicherung der täglichen, verschlüsselt gespeicherten Datensicherungen in EU-Rechenzentren (Datenresidenz EU)
• Microsoft Ireland Operations Limited, Dublin, Irland: Microsoft 365 (Exchange Online, OneDrive) für E-Mail, Support und Ablage von Unterlagen; Speicherung in der EU

Für unsere eigene Rechnungsstellung und Buchhaltung übermitteln wir Vertrags- und Abrechnungsdaten an unsere Steuerberatung (Belegübermittlung über DATEV, DATEV eG, Nürnberg, Deutschland) sowie an Zahlungsdienstleister: Qonto (Qonto SA, Paris, Frankreich) für Konto und Rechnungsverwaltung und Stripe (Stripe Payments Europe, Ltd., Dublin, Irland) für die Zahlungsabwicklung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO. Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben.

6. Verarbeitung außerhalb der EU

Die Daten der Nutzerkonten und die Vertragsdaten werden im Produktivsystem in Deutschland gespeichert; eine Verarbeitung außerhalb der EU erfolgt nur in den folgenden Fällen. Datensicherungen der Datenbank werden verschlüsselt in EU-Rechenzentren des US-Anbieters Cloudflare gespeichert; Grundlage sind das EU-US Data Privacy Framework, für das Cloudflare zertifiziert ist, sowie hilfsweise die Standardvertragsklauseln. Microsoft verarbeitet Daten im Rahmen der EU-Datengrenze in der EU; soweit im Einzelfall ein Zugriff aus den USA erfolgt, sind Grundlage das EU-US Data Privacy Framework, für das die Microsoft Corporation zertifiziert ist, sowie die Standardvertragsklauseln im Microsoft Products and Services Data Protection Addendum. Bei der Zahlungsabwicklung über Stripe können Daten an die Stripe, LLC, USA, übermittelt werden; Grundlage sind das EU-US Data Privacy Framework, für das die Stripe, LLC zertifiziert ist, sowie die Standardvertragsklauseln im Stripe Data Processing Agreement. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage unter consulting@skyxai.de zur Verfügung; die Liste der nach dem EU-US Data Privacy Framework zertifizierten Unternehmen ist unter www.dataprivacyframework.gov abrufbar.

7. Speicherdauer

• Nutzerkonten: bis 30 Tage nach Vertragsende; Anmelde- und Sitzungsdaten höchstens 90 Tage
• Vertrags- und Abrechnungsdaten sowie Vertragsannahmeprotokolle: für die Dauer des Vertrags und danach nach den gesetzlichen Aufbewahrungsfristen (6 bzw. 10 Jahre, §§ 147 AO, 257 HGB), Vertragsannahmeprotokolle bis zum Ablauf der Verjährung möglicher Ansprüche, in der Regel 3 Jahre nach Vertragsende
• Technische Protokolldaten: höchstens 90 Tage, bei Sicherheitsvorfällen bis zur Aufklärung
• Kopien von Datenbeständen für Fehlerbehebung und Migration: bis zur Erreichung des Zwecks
• Support-Kommunikation: bis zur Erledigung und danach 3 Jahre zur Nachvollziehbarkeit
• Datensicherungen: täglich, verschlüsselt, Aufbewahrung höchstens 90 Tage

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dafür an consulting@skyxai.de. Betrifft Ihr Anliegen Daten, die ein Cateringbetrieb in order2quote verarbeitet (Ziffer 2), leiten wir es an diesen weiter. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren; für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

9. Pflicht zur Bereitstellung

Die Bereitstellung der Daten nach Ziffer 3.1 ist für die Nutzung eines Nutzerkontos erforderlich; ohne sie kann kein Konto angelegt werden.

10. Änderungen

Die jeweils aktuelle Fassung ist unter order2quote.com/datenschutz-app abrufbar.

Version 1.1.2 · Stand 08.11.2026

Privacy Policy for the order2quote Application

As of 8 November 2026 · Version 1.1.2 · applies to the use of the order2quote software (web application, production dashboard), not to the websites skyxai.de and order2quote.com, which have their own privacy notices. This is a convenience translation; the German version is binding.

1. Controller

SKYxAI GmbH, Lagerstraße 45, 82178 Puchheim, Germany, Munich Local Court HRB 281732, represented by its managing directors. E-mail: consulting@skyxai.de, telephone: +49 179 4477864. Please send data protection enquiries to consulting@skyxai.de.

2. Our Two Roles: Controller and Processor

order2quote is software for catering businesses in private and business aviation. The business using order2quote (the "Customer") enters its own data in it: order requests, quotes, jobs, customer companies and contacts, menus, fees, and content from connected e-mail mailboxes and third-party systems. For this data the Customer is the controller within the meaning of the GDPR, and we process it exclusively on its behalf on the basis of the Data Processing Agreement (Annex B of the Terms of Service). Please direct questions about this data, for example from operators, crews or passengers, to the respective catering business.

This Privacy Policy concerns the data for which we ourselves are the controller: the user accounts of the people who work with order2quote, the contract and billing data of our customers, communication with us, and technical data generated in the operation of the application.

3. What Data We Process as Controller

3.1 User account and login. When a user account is created we process name, business e-mail address, role in the system (Owner, Admin, User), password, where used, exclusively as a hash (login is generally via a login link sent by e-mail), language setting, and times of logins and sessions. Purpose: provision of access, attribution of actions in the system, account security. Legal basis: Article 6 (1) (b) GDPR vis-à-vis the Customer as contracting party; for employees of the Customer Article 6 (1) (f) GDPR, our legitimate interest in providing the software to the Customer, who creates the user accounts, in accordance with the contract.

3.2 Contract, billing and contract acceptance data. To perform the contract with the Customer we process company data, contacts, billing address, agreed conditions and payment history. When the Terms of Service are confirmed in the system we record name, e-mail address, role, time, IP address, browser used and the confirmed document version. Purpose: performance of the contract and evidence of its conclusion. Legal basis: Article 6 (1) (b) and (c) GDPR (commercial and tax retention obligations) and (f) GDPR for evidence.

3.3 Technical log and usage data. When the application is accessed, our servers process IP address, time, function accessed, browser and operating system as well as error messages. Purpose: secure and stable operation, defence against attacks, troubleshooting and anonymised analysis of use to improve the application. Legal basis: Article 6 (1) (f) GDPR; our legitimate interest lies in these purposes.

3.4 Communication and support. If you contact us by e-mail, telephone or via the system, we process your contact details and the content of the enquiry in order to handle it. Legal basis: Article 6 (1) (b) GDPR where the enquiry concerns the contract, otherwise Article 6 (1) (f) GDPR; our legitimate interest lies in answering your enquiry. For this we use Microsoft 365 (Microsoft Ireland Operations Limited, Dublin, Ireland) with data storage in the EU (Sections 5 and 6).

3.5 Cookies and local storage. order2quote uses only technically necessary cookies and local browser storage for login, session and settings; no consent is required for this (Section 25 (2) no. 2 TDDDG).

4. Copies for Troubleshooting and Migration

For data migrations and the analysis of specific errors, we may use time-limited copies of data sets containing user account data. The legal basis is Article 6 (1) (f) GDPR; our legitimate interest lies in troubleshooting and data migration. User account data is not transmitted to AI services. No automated individual decision-making under Article 22 GDPR takes place.

5. Recipients and Service Providers

We use the following service providers to operate and develop the application, which process data according to our instructions and on the basis of data processing agreements under Article 28 GDPR:

• netcup GmbH, Karlsruhe: hosting of the application and storage of the data in the production system, data centre Nuremberg, Germany
• ALL-INKL.COM – Neue Medien Münnich, Friedersdorf: operation of the domains, sending of system messages of the application (login links, invitations, contract notifications), Germany
• LuvLabs UG (haftungsbeschränkt), Hamburg: development, maintenance and troubleshooting with case-by-case access, Germany
• Cloudflare, Inc., San Francisco, USA: storage of the daily backups, stored in encrypted form, in EU data centres (EU data residency)
• Microsoft Ireland Operations Limited, Dublin, Ireland: Microsoft 365 (Exchange Online, OneDrive) for e-mail, support and document storage; storage in the EU

For our own invoicing and accounting, we transmit contract and billing data to our tax advisers (document transfer via DATEV, DATEV eG, Nuremberg, Germany) and to payment service providers: Qonto (Qonto SA, Paris, France) for banking and invoice management and Stripe (Stripe Payments Europe, Ltd., Dublin, Ireland) for payment processing; the legal basis is Article 6 (1) (b) and (c) GDPR. Beyond this we disclose personal data only where we are legally obliged to do so or you have consented.

6. Processing Outside the EU

User account data and contract data are stored in the production system in Germany; processing outside the EU takes place only in the following cases. Backups of the database are stored in encrypted form in EU data centres of the US provider Cloudflare; the basis is the EU-US Data Privacy Framework, under which Cloudflare is certified, and alternatively the standard contractual clauses. Microsoft processes data in the EU within the EU Data Boundary; where access from the USA occurs in individual cases, the basis is the EU-US Data Privacy Framework, under which Microsoft Corporation is certified, and the standard contractual clauses in the Microsoft Products and Services Data Protection Addendum. In the course of payment processing via Stripe, data may be transmitted to Stripe, LLC, USA; the basis is the EU-US Data Privacy Framework, under which Stripe, LLC is certified, and the standard contractual clauses in the Stripe Data Processing Agreement. We will provide you with a copy of the standard contractual clauses on request at consulting@skyxai.de; the list of companies certified under the EU-US Data Privacy Framework is available at www.dataprivacyframework.gov.

7. Retention Periods

• User accounts: until 30 days after the end of the contract; login and session data no more than 90 days
• Contract and billing data and contract acceptance records: for the term of the contract and thereafter in accordance with statutory retention periods (6 or 10 years, Sections 147 AO, 257 HGB); contract acceptance records until expiry of the limitation period for possible claims, generally 3 years after the end of the contract
• Technical log data: no more than 90 days, in the event of security incidents until clarification
• Copies of data sets for troubleshooting and migration: until the purpose has been achieved
• Support communication: until completion and thereafter 3 years for traceability
• Backups: daily, encrypted, retained for no more than 90 days

8. Your Rights

You have the right of access (Article 15 GDPR), rectification (Article 16), erasure (Article 17), restriction of processing (Article 18), data portability (Article 20) and objection to processing based on Article 6 (1) (f) GDPR (Article 21). To exercise these rights, contact consulting@skyxai.de. If your request concerns data processed by a catering business in order2quote (Section 2), we forward it to that business. You also have the right to lodge a complaint with a supervisory authority; the authority responsible for us is the Bavarian State Office for Data Protection Supervision (BayLDA), Promenade 18, 91522 Ansbach, Germany.

Right to object: Where we process data on the basis of Article 6 (1) (f) GDPR, you may object at any time on grounds relating to your particular situation (Article 21 (1) GDPR). We will then no longer process the data unless we demonstrate compelling legitimate grounds which override your interests, or the processing serves the establishment, exercise or defence of legal claims.

9. Obligation to Provide Data

Provision of the data under Section 3.1 is necessary to use a user account; without it no account can be created.

10. Changes

The current version is available at order2quote.com/datenschutz-app.

Version 1.1.2 · As of 8 November 2026

The German version is the legally binding one.Maßgeblich ist die deutsche Fassung.