Datenschutzerklärung

1. Name und Kontaktdaten des Verantwortlichen

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) für die Erhebung und Verarbeitung personenbezogener Daten auf der Website Mercante1 ist:

2. Rollenverteilung nach Art. 4 Nr. 7 und Art. 28 DSGVO

Bei der Nutzung unserer B2B-Plattform unterscheiden wir zwei datenschutzrechtliche Verantwortlichkeiten:

• Mercante1 als Verantwortlicher: Für den Betrieb der öffentlichen Marketing-Website (mercante1.com), die Führung und Verwaltung der Kundenkonten der Großhändler, die Abrechnung der SaaS-Abonnements über Stripe sowie die Beantwortung direkter Supportanfragen fungieren wir als verantwortliche Stelle (Art. 4 Nr. 7 DSGVO).
• Mercante1 als Auftragsverarbeiter (Art. 28 DSGVO): Wenn der Großhändler die Plattform nutzt, um Kundenkontaktdaten seiner Restaurants, Ansprechpartner, Lieferadressen, Bestelldetails und Sonderkonditionen zu speichern und zu verarbeiten, ist der Großhändler die verantwortliche Stelle für diese Daten. Mercante1 verarbeitet diese Daten ausschließlich im Auftrag und auf dokumentierte Weisung des Großhändlers auf Basis einer Vereinbarung zur Auftragsverarbeitung (AVV gemäß Art. 28 Abs. 3 DSGVO).

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

a) Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website erfassen unsere Server automatisiert technische Verbindungsdaten (IP-Adresse, Datum und Uhrzeit des Zugriffs, übertragene Datenmenge, Referrer-URL, Browsertyp und Betriebssystem). Die Verarbeitung erfolgt zur Gewährleistung eines reibungslosen Verbindungsaufbaus und der Systemsicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen und sicheren Betrieb).

b) Registrierung und SaaS-Kontoführung des Großhändlers

Für die Registrierung eines Großhändlers erfassen wir Unternehmensname, Anschrift, E-Mail-Adresse, Passwort (verschlüsselt gehasht via Argon2id), Telefonnummer und Abrechnungsdaten. Diese Daten werden zur Begründung, Durchführung und Verwaltung des SaaS-Vertragsverhältnisses verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

c) Zahlungsabwicklung via Stripe

Abonnementzahlungen werden über Stripe Technology Europe Ltd. (Irland) abgewickelt. Kreditkarten- und Bankdaten werden direkt im Stripe-Element erfasst; Mercante1 speichert oder verarbeitet zu keinem Zeitpunkt sensible Zahlungskartendaten. Wir speichern lediglich die Stripe-Kunden-ID, den Abonnementstatus und Rechnungs-IDs (Art. 6 Abs. 1 lit. b DSGVO).

d) Restaurant-Portal, Bestellungen & Mandantentrennung

Im Rahmen des Restaurant-Portals werden Restaurantnamen, Anschriften, Lieferzeiten, Bestelldaten, Notizen und individuelle Preisabsprachen verarbeitet. Die Daten sind durch strikte Row-Level Security (RLS) auf Datenbankebene mandantenisoliert, sodass kein Zugriff fremder Großhändler oder Dritter möglich ist (Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 28 DSGVO).

e) Transaktions-E-Mails & Benachrichtigungen (Resend)

Für den Versand betriebsnotwendiger Mitteilungen (Auftragsbestätigungen, Einladungs-Zugangscodes, betriebliche Ankündigungen) setzen wir den E-Mail-Dienst Resend ein. Der Versand erfolgt asynchron über ein Transaktions-Outbox-Muster (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

4. Eingesetzte Dienstleister und Unterauftragsverarbeiter

Zur Bereitstellung unserer Infrastruktur bedienen wir uns sorgfältig ausgewählter Dienstleister, mit denen wir Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen haben:

5. Cookies und Speichertechnologien

Keine Werbe- oder Tracking-Cookies: Wir setzen auf unserer Plattform ausdrücklich keine Marketing-, Retargeting- oder verhaltensbasierten Analyse-Cookies (wie Google Analytics, Meta Pixel etc.) ein.

Wir verwenden ausschließlich technisch zwingend notwendige Cookies und lokale Speicherobjekte (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO):

• Authentifizierungs-Session-Token (Supabase Auth): Zur Aufrechterhaltung der sicheren Anmeldung während der Nutzung.
• Sicherheits- und CSRF-Tokens: Zur Abwehr von Cross-Site-Request-Forgery-Angriffen.
• Oberflächen-Einstellung (Theme): Speicherung der Kontrasteinstellung (Light-Modus).

Da ausschließlich technisch notwendige Cookies eingesetzt werden, ist die Einholung einer Einwilligung über ein Cookie-Banner rechtlich nicht erforderlich.

Anonyme Besucherzählung: Auf dieser Website zählen wir Seitenaufrufe als reine Tagessummen je Seite, Herkunftskategorie (z. B. Suchmaschine) und Gerätegröße (mobil oder Desktop). Dafür setzen wir keine Cookies und speichern weder IP-Adressen noch Browserkennungen oder sonstige Merkmale, mit denen sich Besucher wiedererkennen ließen. Die Summen werden bei Supabase in Frankfurt gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung unserer Website).

6. Speicherdauer und Datenlöschung

Personenbezogene Daten werden gelöscht oder gesperrt, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Rechnungs- und abrechnungsrelevante Unterlagen bewahren wir gemäß den steuer- und handelsrechtlichen Vorschriften (§ 147 AO, § 257 HGB) für die Dauer von 6 bis 10 Jahren auf. Nach Beendigung des SaaS-Vertragsverhältnisses werden die tenant-spezifischen Daten des Großhändlers gelöscht.

7. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Betroffenenrechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Auskunft über Ihre von uns verarbeiteten Daten.
• Berichtigungsrecht (Art. 16 DSGVO): Berichtigung unrichtiger Daten.
• Löschungsrecht (Art. 17 DSGVO): Löschung Ihrer bei uns gespeicherten Daten („Recht auf Vergessenwerden“).
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Einschränkung der Datenverarbeitung.
• Datenübertragbarkeit (Art. 20 DSGVO): Übertragung Ihrer Daten in einem strukturierten, gängigen Format.
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für unseren Sitz ist:
  Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

8. Datensicherheit und technische Maßnahmen (TOMs)

Wir schützen Ihre Daten durch fortschrittliche technische und organisatorische Sicherheitsmaßnahmen:

• Mandantentrennung auf Kernelebene: Einsatz von PostgreSQL Row-Level Security (RLS) zur strikten Trennung der Mandantendaten.
• Verschlüsselung nach aktuellem Stand der Technik: Vollständige Transportverschlüsselung mittels TLS 1.3 sowie AES-256-Verschlüsselung im Ruhezustand (Encryption-at-Rest).
• Kryptografische Absicherung: Hashing von Passwörtern und Authentifizierungs-Token mit modernen Algorithmen (Argon2id, Scrypt).