Datenschutz

Philippe Ramón Hamerla, Agiou Georgiou 2-4, 8220 Chlorakas, Paphos, Zypern

E-Mail: team@merchavio.com

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Bestellpflicht nicht vorliegen. Für Datenschutzanfragen nutzen Sie bitte die vorstehende E-Mail-Adresse.

• Besuch der Website: Beim Aufruf verarbeitet unser Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Adresse, Browserkennung), um die Seiten auszuliefern und vor Missbrauch zu schützen, z. B. durch die Begrenzung wiederholter Anfragen. Zugriffsprotokolle mit IP-Adressen speichern wir nicht.
• Konto (Seller/Team/Käufer): Name, E-Mail, Passwort (nur als bcrypt-Hash gespeichert) bzw. bei Google-Anmeldung die Google-Konto-Kennung, Geschäftsdaten (Firma, Anschrift, USt-ID), Store-Daten und hochgeladene Produkt-/Medieninhalte sowie der Nachweis Ihrer Bestätigungen bei der Registrierung (Zeitpunkt, Fassung der akzeptierten Bedingungen, Bestätigung der gewerblichen Nutzung).
• Kauf: Name und E-Mail-Adresse der Käuferin/des Käufers, bestellte Produkte, Beträge, Bestellstatus sowie der Nachweis der im Bestellvorgang abgegebenen Erklärungen (bestätigte Häkchen, Zeitpunkt, Fassung der Texte und IP-Adresse).
• Zahlung: Zahlungsdaten werden direkt durch Stripe erhoben und verarbeitet; wir erhalten keine vollständigen Kartendaten, sondern nur Zahlungs- und Abo-Status sowie pseudonyme Kennungen (Kunden-/Abo-ID).
• Besuchsstatistik der Shops: aufgerufene Seite, Zeitpunkt, Art des Ereignisses (z. B. Aufruf, Warenkorb) und verweisende Seite (Referrer); nur mit Ihrer Einwilligung zusätzlich eine zufällige Besucher-ID (siehe Ziffer 4).
• Partnerprogramme: der Partner-Code eines Links, über den Sie gekommen sind, und der Zeitpunkt des Klicks; bei einer Registrierung oder einem Kauf die Zuordnung zu diesem Partner.
• Community, Livestreams und Voice-Rooms: Ihre Beiträge und Chat-Nachrichten sowie, wenn Sie aktiv teilnehmen oder live gehen, Kamera-/Mikrofon-Daten (Audio/Video) während der Sitzung.
• Benachrichtigungen: Wenn Sie Web-Push in Ihrem Browser freigeben, eine gerätebezogene Push-Kennung (Subscription-Token).
• Team-Zugänge: Name, E-Mail-Adresse und zugewiesene Rolle/Berechtigungen von Personen, die ein Seller in sein Konto einlädt.
• Finanz- und Buchhaltungsmodul (Seller): die von Ihnen hochgeladenen Belege und Rechnungen samt der darin enthaltenen Angaben (auch zu Dritten wie Rechnungsausstellern) sowie Ihre Kategorien, Notizen, Fixkosten und die daraus berechneten Auswertungen.
• Kommunikation: Inhalte Ihrer Anfragen an unsere Kontaktstelle sowie zugehörige E-Mail-Metadaten.

• Bereitstellung der Plattform, Konten, Storefronts, Checkout und Anmeldung (inkl. Google-Sign-In): Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen).
• Verarbeitung der Verbindungsdaten, Missbrauchs- und Betrugsprävention, IT-Sicherheit, Stabilität: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Dienst).
• Nachweis der Erklärungen bei Registrierung und Kauf, einschließlich der IP-Adresse beim Kauf: Art. 6 Abs. 1 lit. c und lit. f DSGVO (Nachweispflichten sowie berechtigtes Interesse, Vertragsschluss und Zustimmungen belegen zu können).
• Versand von Transaktions-E-Mails (Bestell-, Konto- und Passwort-Mails): Art. 6 Abs. 1 lit. b DSGVO.
• Aufbewahrung von Rechnungs-/Buchungsdaten und steuerliche Meldepflichten (z. B. DAC7): Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).
• Besuchsstatistik der Shops ohne Besucher-ID sowie die Zählung von Klicks auf Partner-Links: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Seller und von uns an einer Reichweitenmessung und an der Abrechnung von Partnerprogrammen; es werden keine Nutzungsprofile gebildet).
• Speicherung einer Besucher-ID, von Partner-Codes und der Marketplace-Zuordnung in Ihrem Browser: nur mit Ihrer Einwilligung, Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 5 Abs. 3 der Richtlinie 2002/58/EG (ePrivacy-Richtlinie) in ihrer jeweiligen nationalen Umsetzung.
• Zuordnung eines geworbenen Kontos zu einem Partner und Abrechnung der Provision: Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Partner und Art. 6 Abs. 1 lit. f DSGVO gegenüber dem geworbenen Seller (berechtigtes Interesse an einer nachvollziehbaren Abrechnung).
• Bereitstellung des Finanz- und Buchhaltungsmoduls einschließlich Beleg-Upload, Auswertungen und Export sowie der Team-Zugänge und der Anbindung eigener Domains: Art. 6 Abs. 1 lit. b DSGVO. Soweit hochgeladene Belege personenbezogene Daten Dritter (z. B. von Rechnungsausstellern) enthalten, verarbeiten wir diese im Auftrag des jeweiligen Sellers, der insoweit Verantwortlicher ist (Art. 28 DSGVO); der Seller stützt diese Verarbeitung regelmäßig auf seine handels- und steuerrechtlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) bzw. sein berechtigtes Interesse an einer geordneten Buchhaltung (Art. 6 Abs. 1 lit. f DSGVO).
• Community-Funktionen (Beiträge, Chat, Livestreams, Voice-Rooms): Art. 6 Abs. 1 lit. b DSGVO; die Nutzung von Kamera/Mikrofon sowie Web-Push-Benachrichtigungen erfolgen nur auf Ihre ausdrückliche Freigabe hin, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Versand von Marketing-/Newsletter-E-Mails: nur mit Ihrer Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung ist jederzeit über den Abmeldelink oder unsere Kontaktstelle widerrufbar.

Technisch notwendig und ohne Einwilligung zulässig speichern wir in Ihrem Browser das Anmelde-Token, den Warenkorb und lokale Arbeitsstände der App, Ihre Einstellungen (z. B. die Sprache) sowie Ihre Entscheidung zur Einwilligung. Außerdem legt ein sogenannter Service Worker Programmdateien der Seite im Browser-Cache ab, damit sie schneller lädt.

Nur mit Ihrer Einwilligung speichern wir eine zufällige Besucher-ID für die Besuchsstatistik der Shops, Partner-Codes zur Zuordnung von Empfehlungen (Plattform-Partnerprogramm und Partnerprogramme der Seller) und einen Cookie, der festhält, dass Sie einen Shop über den Marketplace aufgerufen haben. Ohne Einwilligung speichern wir nichts davon; ein Partner-Code wirkt dann nur, bis Sie die Seite neu laden. Werbe- oder Analyse-Cookies von Drittanbietern setzen wir nicht ein.

Seller sehen zu ihrem Shop Statistiken über Aufrufe, aufgerufene Seiten und verweisende Seiten, aber keine Namen, E-Mail-Adressen oder IP-Adressen der Besucher.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ widerrufen (in der Fußzeile und auf der Seite „Cookies“); die genannten Einträge und Cookies werden dann gelöscht. Wenn Sie die Anmeldung mit Google wählen oder bezahlen, werden Dienste Dritter (Google-Sign-In, Stripe, PayPal) eingebunden, die eigene Cookies setzen oder auslesen können. Einzelheiten, Speicherdauer und Anbieter finden Sie auf der Seite „Cookies“.

Die Inhalte, Schriften und Skripte unserer Website werden grundsätzlich von unserem eigenen Server ausgeliefert (self-hosted); beim bloßen Surfen auf der Plattform werden keine Verbindungen zu Dritt-CDNs (z. B. Google Fonts) aufgebaut.

Ausnahmen: (a) Klicken Sie auf dem Anmelde- oder Registrierungsbildschirm auf „Mit Google anmelden“ bzw. „Mit Google registrieren“, wird erst dann das Google-Sign-In-Skript von Google-Servern geladen. (b) Für die Zahlung werden Sie zu einer sicheren, von Stripe bzw. PayPal gehosteten Seite weitergeleitet.

Von Sellern eingebundene Inhalte: Seller können auf ihren Storefronts, Produktseiten und in Communities Inhalte Dritter einbinden, insbesondere Videos (z. B. YouTube, Vimeo, Twitch) und Bewertungs-Widgets (z. B. Trustpilot). Beim Laden solcher Inhalte wird Ihre IP-Adresse an den jeweiligen Anbieter übermittelt, der eigene Cookies setzen kann. Wo möglich, wird der Inhalt erst nach Ihrem Klick geladen. Kurs- und Produktvideos, die Seller selbst hochladen, werden über Bunny Stream ausgespielt (siehe Ziffer 7).

Das Skript „Google Identity Services“ wird erst geladen, wenn Sie auf dem Anmelde- oder Registrierungsbildschirm auf „Mit Google anmelden“ bzw. „Mit Google registrieren“ klicken (2-Klick-Lösung); vorher wird keine Verbindung zu Google aufgebaut. Mit dem Laden wird Ihre IP-Adresse an Google übermittelt. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für Nutzer im EWR); Muttergesellschaft ist Google LLC, USA.

Nach erfolgreicher Anmeldung übermittelt Google uns ein signiertes Token mit Ihrer E-Mail-Adresse, Ihrem Namen und einer Google-Konto-Kennung, die wir zur Erstellung bzw. Zuordnung Ihres Kontos verwenden. Google kann in diesem Zusammenhang eigene Cookies setzen und Daten verarbeiten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (von Ihnen gewünschte Anmeldung) bzw., soweit einwilligungsbedürftige Cookies gesetzt werden, Ihre durch den Klick auf die Google-Schaltfläche erklärte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nutzen Sie stattdessen die Anmeldung per E-Mail/Passwort, wird das Google-Skript nicht geladen.

• Hosting: Hetzner Online GmbH, Deutschland (Serverstandort EU); Auftragsverarbeitung nach Art. 28 DSGVO.
• Objektspeicher und Namensauflösung: Cloudflare, Inc. (USA). Hochgeladene Dateien und Medien, einschließlich der Belege aus dem Finanz- und Buchhaltungsmodul, sowie unsere Datensicherungen werden im Objektspeicher „Cloudflare R2“ (Region EU) gespeichert. Außerdem betreibt Cloudflare die Namensauflösung (DNS) unserer Domain; der Datenverkehr beim Besuch der Website läuft nicht über Cloudflare. Übermittlungen in die USA sind über die Zertifizierung von Cloudflare unter dem EU-U.S. Data Privacy Framework sowie EU-Standardvertragsklauseln abgesichert.
• Zahlungen (Karte, SEPA u. a.): Stripe Payments Europe, Ltd. (Irland); im Rahmen der Zahlungsabwicklung kann Stripe Daten an die Stripe, Inc. (USA) übermitteln, abgesichert über das EU-U.S. Data Privacy Framework und Standardvertragsklauseln.
• Zahlungen (PayPal): PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg. Wählen Sie beim Kauf oder für ein Abonnement PayPal, werden Name, E-Mail-Adresse, Betrag und Bestell-/Abo-Kennung zur Zahlungsabwicklung an PayPal übermittelt; PayPal ist hierfür eigenständig verantwortlich. Hat der Seller sein eigenes PayPal-Geschäftskonto verbunden, legen wir das Abonnement bzw. die Zahlung ausschließlich technisch mit seinen Zugangsdaten und in seinem Namen bei PayPal an; die vorgenannten Käuferdaten (Name, E-Mail, Betrag, Bestell-/Abo-Kennung) werden dabei verarbeitet, und der Seller ist für diese PayPal-Händlerbeziehung Verantwortlicher. Bezahlen Seller ihren Merchavio-Plan per PayPal, erhalten wir von PayPal nur den Zahlungs- und Abo-Status sowie pseudonyme Kennungen.
• Anmeldung: Google Ireland Limited / Google LLC (USA) für den optionalen Google-Sign-In, abgesichert über das EU-U.S. Data Privacy Framework und Standardvertragsklauseln.
• E-Mail-Zustellung: Versand von Transaktions- und, nur bei Ihrer Einwilligung, Marketing-E-Mails über Brevo (Sendinblue GmbH, Köln, bzw. Brevo SAS, Frankreich, EU) als Auftragsverarbeiter.
• E-Mail-Postfächer: Zoho Corporation (USA) stellt die Postfächer unserer Kontakt- und Support-Adressen bereit (Rechenzentrum USA). Schreiben Sie uns eine E-Mail, werden Ihre Nachricht, Ihre E-Mail-Adresse und etwaige Anhänge dort gespeichert; Auftragsverarbeitung nach Art. 28 DSGVO; Übermittlungen in die USA sind über das EU-U.S. Data Privacy Framework und/oder EU-Standardvertragsklauseln abgesichert.
• Live-Streaming, Voice-Rooms und Video-Communities: LiveKit, Inc. (USA) betreibt als „LiveKit Cloud" die Echtzeit-Audio-/Video-Infrastruktur. Wenn Sie an einem Livestream oder Voice-Room teilnehmen oder selbst live gehen, werden die dabei übertragenen Audio-/Video- und Verbindungsdaten über LiveKit verarbeitet. Soweit wir zusätzlich einen eigenen TURN-Server als Verbindungshilfe einsetzen, läuft dieser auf unserem Server in der EU. Übermittlungen in die USA sind über EU-Standardvertragsklauseln abgesichert.
• Video-Hosting: BunnyWay d.o.o. (Slowenien, EU) stellt unter „Bunny Stream" das Ausspielen hochgeladener Kurs-/Produktvideos über ein Content-Delivery-Netzwerk bereit; die Originaldateien verbleiben im EU-Objektspeicher (Cloudflare R2).
• Push-Benachrichtigungen: Aktivieren Sie Web-Push in Ihrem Browser, wird die (verschlüsselte) Benachrichtigung über den Push-Dienst Ihres jeweiligen Browser-/Geräteherstellers zugestellt; die Auswahl dieses Dienstes trifft Ihr Browser.
• Seller: Bei einem Kauf erhält der jeweilige Verkäufer die für die Vertragsabwicklung erforderlichen Daten (Name, E-Mail, Bestelldaten) als eigener Verantwortlicher und kann Sie im Rahmen der gesetzlichen Vorgaben (bzw. Ihrer Einwilligung) kontaktieren.
• Partner: Haben Sie sich als Seller über den Link eines Partners unseres Partnerprogramms registriert, sieht dieser Partner im Partner-Portal den Namen Ihres Shops, Ihre teilweise unkenntlich gemachte E-Mail-Adresse, das Registrierungsdatum, Ihren Plan und Status sowie die daraus entstandenen Provisionen. Der Partner ist insoweit eigener Verantwortlicher; Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. f DSGVO (nachvollziehbare Provisionsabrechnung).
• App-Produkte („Works with Merchavio"): Kaufen Sie ein Software-Produkt (App) eines Sellers, übermitteln wir die für die Freischaltung erforderlichen Bestelldaten (Name, E-Mail, Bestellnummer, Tarif) signiert und transportverschlüsselt an den vom Seller hierfür konfigurierten App-Dienst; Verantwortlicher für diese Verarbeitung ist der Seller.

Die vorstehend genannten technischen Dienstleister (Hetzner, Cloudflare, Stripe, PayPal, Google, Brevo, Zoho, LiveKit, Bunny) sind zugleich die Unterauftragsverarbeiter im Sinne des Auftragsverarbeitungsvertrags; die dortige Liste (Seite „AVV (Art. 28)", Ziffer 7) ist mit dieser Aufzählung identisch. Seller, Partner, App-Anbieter und der Push-Dienst Ihres Browsers sind demgegenüber eigene Verantwortliche bzw. keine Auftragsverarbeiter für uns.

Soweit Daten an Empfänger in den USA (Cloudflare, Stripe, Google, Zoho, LiveKit) übermittelt werden, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss (EU-U.S. Data Privacy Framework) und/oder auf EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Schutzmaßnahmen. Hetzner, Brevo und Bunny verarbeiten innerhalb der EU/des EWR; PayPal (Europe) hat seinen Sitz in Luxemburg. Eine Kopie der Garantien kann über unsere Kontaktstelle angefordert werden.

• Verbindungsdaten: nur für die Dauer der Anfrage; Zugriffsprotokolle mit IP-Adressen führen wir nicht. Fehlerprotokolle des Servers sind in der Größe begrenzt und werden automatisch überschrieben.
• Konto-Daten: bis zur Löschung des Kontos; danach werden Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
• Bestell- und Rechnungsdaten: gemäß den gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen (in der Regel 6–10 Jahre). Die Nachweise der Erklärungen bei Registrierung und Kauf speichern wir zusammen mit den Konto- bzw. Bestelldaten.
• Besuchsstatistik und Klicks auf Partner-Links: 90 Tage, danach automatische Löschung.
• Einträge in Ihrem Browser: Besucher-ID bis zum Widerruf der Einwilligung oder bis Sie sie im Browser löschen; Partner-Codes der Seller 30 Tage; Partner-Code des Plattform-Partnerprogramms und zugehöriger Cookie 90 Tage; Marketplace-Cookie 24 Stunden.
• Zuordnung eines Kontos zu einem Partner: solange daraus Provisionen entstehen können, danach gemäß den steuerrechtlichen Aufbewahrungsfristen für die Abrechnungen.
• Community-Inhalte (Beiträge, Chat-Nachrichten): bis zur Löschung durch Sie, den Seller bzw. Moderator oder bei Beendigung der Community-Mitgliedschaft. Live-Audio/-Video aus Streams/Voice-Rooms wird nicht dauerhaft von uns gespeichert, sofern keine Aufzeichnung ausdrücklich angeboten und aktiviert wird.
• Belege und Auswertungen im Finanz- und Buchhaltungsmodul: bis zur Löschung durch den Seller; über die Löschung entscheidet der Seller im Rahmen der ihn treffenden handels- und steuerrechtlichen Aufbewahrungsfristen.

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten,
• Berichtigung (Art. 16) und Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zur Ausübung genügt eine formlose Nachricht an team@merchavio.com.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der für uns zuständigen Behörde: Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal, www.cnpd.pt, oder bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts.

Die Angabe der beim Kauf bzw. bei der Registrierung abgefragten Daten ist für den Vertragsschluss erforderlich; ohne sie können wir die Leistung nicht erbringen. Darüber hinaus besteht keine Pflicht zur Bereitstellung.

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet durch uns nicht statt. Der Zahlungsdienstleister Stripe kann zur Betrugsprävention automatisierte Prüfungen vornehmen; hierfür ist Stripe eigenständig verantwortlich.

Verarbeiten wir Kundendaten im Auftrag eines Sellers (z. B. dessen Bestell-/Kundenliste), ist der Seller Verantwortlicher und wir Auftragsverarbeiter. Für diese Verarbeitung gilt ergänzend der Auftragsverarbeitungsvertrag (Seite „AVV (Art. 28)").

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.