Datenschutzerklärung

1 Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

Keanu Dutado
Wegkoppel 2
22117 Hamburg
Deutschland

Telefon: +49 179 5047969
E-Mail: info@margenoptimierer.de

Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen.

2 Grundsätze

Personenbezogene Daten werden ausschließlich auf Grundlage der Datenschutz-Grundverordnung und des Bundesdatenschutzgesetzes verarbeitet. Es werden nur die Daten erhoben, die für den jeweiligen Zweck erforderlich sind.

3 Aufruf der Website

Beim Aufruf dieser Website übermittelt der Browser technisch notwendige Daten an den Server. Verarbeitet werden dabei die aufgerufene Adresse, Datum und Uhrzeit des Zugriffs, die übertragene Datenmenge, der Status der Auslieferung, der verwendete Browser und dessen Version, das Betriebssystem sowie die IP-Adresse in gekürzter Form.

Zweck ist die technische Auslieferung der Seite, die Gewährleistung der Betriebssicherheit und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb.

4 Cookies, Analyse und Reichweitenmessung

Diese Website setzt keine Cookies zu Analyse-, Werbe- oder Reichweitenzwecken ein. Es werden keine Analysedienste, keine Werbenetzwerke und keine sozialen Erweiterungen eingebunden. Ausschließlich im angemeldeten Bereich werden technisch notwendige Merkmale gesetzt, die die Anmeldung aufrechterhalten und die Einstellungen der Bedienung merken; ohne sie ist die Nutzung des Kontos nicht möglich. Es sind diese:

sb-…-auth-token hält die Anmeldung, bis zur Abmeldung.
mo_2fa_geraet merkt, dass dieses Gerät für die Zwei-Faktor-Anmeldung als vertraut gilt, 30 Tage.
mo_2fa_rest nennt nach einer Anmeldung mit Wiederherstellungscode einmal, wie viele Codes übrig sind, 5 Minuten.
mo_active_org merkt die gewählte Firma, 1 Jahr.
mo_active_conn merkt das gewählte OTTO-Konto, 1 Jahr.
mo_zeitraum_wahl, mo_zeitraum merkt den gewählten Zeitraum der Auswertungen, 1 Jahr.
mo_zahlfenster merkt, dass das Fenster „Zahlungsdaten hinterlegen“ heute geschlossen wurde, 36 Stunden.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

5 Registrierung und Nutzerkonto

Zur Nutzung der Software ist ein Konto erforderlich. Dabei werden E-Mail-Adresse, Name, ein verschlüsselt gespeichertes Kennwort sowie der Name der Firma verarbeitet, zu der das Konto gehört. Hinzu kommen Zeitpunkte von Anmeldungen sowie Protokolleinträge über sicherheitsrelevante Vorgänge im Konto.

Wer die Zwei-Faktor-Anmeldung einrichtet, für den speichern wir zusätzlich den Schlüssel der Authenticator-App, die Wiederherstellungscodes und die als vertraut gemerkten Geräte, die Codes und Geräte nur in nicht umkehrbar verschlüsselter Form. Kam eine Firma über einen Code oder eine Weiterempfehlung, speichern wir, über welchen Code und welchen Partner. Kündigt eine Firma, speichern wir den genannten Grund und den Freitext an der Firma.

Zweck ist die Bereitstellung des Zugangs und die Zuordnung des Nutzers zu seiner Firma. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden gelöscht, sobald das Konto gelöscht wird und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

6 E-Mails im Rahmen des Kontos

Zum Konto versenden wir E-Mails aus diesen Anlässen:

Zur Bestätigung der Registrierung, zum Zurücksetzen des Kennworts und zur Bestätigung einer neuen E-Mail-Adresse.
Einladungen in eine Firma.
Hinweise zur Einrichtung, wenn das OTTO-Konto verbunden werden kann und wenn die ersten Zahlen da sind.
Erinnerungen vor dem Ende der Testphase und eine Nachricht, wenn der Zugang gesperrt ist.
Rechnungen, Erstattungen und eine Nachricht, wenn eine Zahlung zurückgebucht wurde.
Die Bestätigung einer Kündigung.
Hinweise zur Zwei-Faktor-Anmeldung, wenn sie eingerichtet, ausgeschaltet oder zurückgesetzt oder ein Wiederherstellungscode verwendet wurde.
Nachrichten zu Support-Tickets: die Eingangsbestätigung, unsere Antworten, die Nachricht, wenn ein Support-Ticket gelöst oder eine gewünschte Funktion gebaut ist; an uns gehen dazu Hinweise auf neue und dringende Support-Tickets.

Aus dem Kündigungsablauf geht per E-Mail an uns der Grund einer Kündigung mit dem Freitext, die Bitte um ein gemeinsames Einrichten und die Anfrage nach einer Funktion. Bei einer SEPA-Lastschrift schickt Stripe die Rechnung mit der Ankündigung des Einzugs, und scheitert eine Zahlung, schreibt Stripe dazu. Verarbeitet werden dabei die Empfängeradresse und der Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ein Öffnungs- oder Klickverhalten wird nicht erfasst.

Es findet kein Versand von Werbe-E-Mails statt.

7 Kontaktaufnahme

Wer per E-Mail Kontakt aufnimmt, dessen Angaben werden zur Bearbeitung der Anfrage verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an der Beantwortung. Die Nachrichten werden gelöscht, sobald sie nicht mehr benötigt werden und keine Aufbewahrungspflichten bestehen.

8 Verbindung mit einem OTTO-Händlerkonto

Verbindet ein Nutzer sein Händlerkonto des OTTO-Marktplatzes, werden die dafür erforderlichen Zugangsdaten verschlüsselt gespeichert und ausschließlich der jeweiligen Firma zugeordnet. Über die Schnittstelle werden Artikel-, Bestell-, Beleg-, Retouren- und Werbedaten abgerufen.

Aus den Bestelldaten werden Bestell- und Belegnummern, Artikelangaben (Kennung, EAN, Titel), Menge, Beträge, Gebühren, Steuersätze, Zeitpunkte und der Lieferstatus übernommen, bei Stornierungen und Retouren auch der von OTTO gemeldete Grund und der Warenzustand. Namen, Anschriften, Kontaktdaten und Zahlungsangaben von Endkunden des Händlers sowie Sendungs- und Rücksendenummern werden beim Einlesen verworfen und nicht gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung kann jederzeit beendet werden.

9 Bezahlung über Stripe

Für die Abrechnung des Abonnements setzen wir den Zahlungsdienst Stripe ein, betrieben von der Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Bevor eine Firma Zahlungsdaten hinterlegt, legen wir sie bei Stripe als Kunden an, mit dem Namen der Firma, der E-Mail-Adresse und einer Kennung der Firma. Hinterlegt der Inhaber oder ein Admin der Firma Zahlungsdaten, erfasst Stripe sie auf einer eigenen Seite: Karten- oder Kontodaten, Name der Firma, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer und die E-Mail-Adresse für Rechnungen. Karten- und Kontodaten erreichen unsere Server nicht. Wir erhalten von Stripe die Art der Zahlungsart mit ihren letzten Ziffern, bei einer Karte auch Marke und Ablauf, den Namen der Firma, das Land, die Umsatzsteuer-Identifikationsnummer und den Stand ihrer Prüfung, die E-Mail-Adresse für Rechnungen sowie den Stand jeder Rechnung und Zahlung. Stripe erstellt die Rechnungen und zieht die Beträge ein. Die Rechnung geht an die angegebene E-Mail-Adresse für Rechnungen, bei einer SEPA-Lastschrift von Stripe zusammen mit der Ankündigung des Einzugs, sonst von uns.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung der Rechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abgabenordnung und § 14b Umsatzsteuergesetz. Stripe verarbeitet Zahlungsdaten zur Vorbeugung gegen Betrug und zur Erfüllung eigener gesetzlicher Pflichten auch in eigener Verantwortung; dabei können Daten an die Stripe, Inc. in den USA übermittelt werden, auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework und der Standardvertragsklauseln. Näheres steht in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

10 Kontaktdaten der Mitglieder einer Firma

Für die Betreuung der Kunden und für Fragen zur Abrechnung sehen wir als Betreiber von MargenOptimierer zu jeder Firma die Mitglieder ihres Kontos: Name, E-Mail-Adresse, Rolle in der Firma, den Status ihrer Einladung und den Zeitpunkt der letzten Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einer erreichbaren Betreuung. Die Angaben werden mit dem Konto des Mitglieds bzw. der Firma gelöscht.

11 Eingesetzte Dienstleister

Für den Betrieb werden Auftragsverarbeiter eingesetzt, mit denen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA
  Betrieb und Auslieferung der Website.
  Verarbeitungsregion Frankfurt am Main.
• Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992
  Datenbank und Kontoverwaltung.
  Verarbeitungsregion Frankfurt am Main.
• Railway Corp., 2093 Philadelphia Pike #9885, Claymont, DE 19703, USA
  Hintergrundverarbeitung.
  Verarbeitungsregion Europäische Union.
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
  Server mit fester IP-Adresse für die Aufrufe an die OTTO-Schnittstelle. Die verschlüsselte Verbindung läuft durch den Server hindurch; Inhalte und Zugangsdaten sind dort nicht lesbar.
  Standort Deutschland.
• Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA
  Versand der E-Mails zum Nutzerkonto, zur Testphase, zur Abrechnung und zur Kündigung.
  Verarbeitungsregion Irland (Europäische Union).

Soweit dabei Daten an Stellen außerhalb der Europäischen Union übermittelt werden können, erfolgt dies auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO.

12 Fehlerberichte über Sentry

Damit wir Fehler in MargenOptimierer erkennen und beheben können, setzen wir den Dienst Sentry ein, betrieben von der Functional Software, Inc. (Sentry), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Tritt in der Anwendung oder in unserer Hintergrundverarbeitung ein Fehler auf, geht ein Fehlerbericht an Sentry. Er enthält die Fehlermeldung, die Stelle im Programm, an der der Fehler entstand, die aufgerufene Seite ohne Suchangaben und ohne Werte im Pfad, den Zeitpunkt, Browser und Betriebssystem sowie den Programmstand. Vor dem Senden entfernen wir Angaben zum Nutzer, Kopfzeilen, Cookies, Eingaben und Anfrageinhalte ganz; in den Texten ersetzen wir E-Mail-Adressen, Beträge, Bankverbindungen, Umsatzsteuer-Identifikations- und Steuernummern, Telefonnummern, Anschriften, Kennungen bei Stripe sowie Namen von Personen und Firmen, auch ohne Rechtsform. Namen erkennt der Filter an der Schreibweise; ein Name, der so nicht zu erkennen ist, kann im Bericht stehen bleiben. Sitzungen und Bildschirminhalte werden nicht aufgezeichnet.

Sentry speichert die Fehlerberichte in der Europäischen Union, in Frankfurt am Main, und löscht sie spätestens nach 90 Tagen. Soweit Sentry Daten in den USA verarbeitet, geschieht das auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework, an dem Sentry teilnimmt, und der Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in einer fehlerfreien und sicheren Anwendung.

13 Verfügbarkeitsprüfung über Better Stack

Ob MargenOptimierer erreichbar ist, prüft der Dienst Better Stack, betrieben von der Better Stack, Inc., USA. Better Stack ruft dazu in kurzen Abständen die Startseite und eine Prüfadresse der Anwendung auf und erhält von unserer Hintergrundverarbeitung regelmäßig ein Lebenszeichen. Dabei werden keine Daten von Besuchern, Nutzern oder Kunden übermittelt; Better Stack erfährt nur, ob und wie schnell die Seiten antworten. Bleibt eine Antwort aus, schreibt Better Stack eine E-Mail an uns. Gespeichert werden dafür die Ergebnisse der Prüfungen und die E-Mail-Adresse unseres eigenen Kontos bei Better Stack.

Better Stack verarbeitet Daten nach eigener Angabe vorwiegend in der Europäischen Union. Soweit Daten in die USA übermittelt werden, geschieht das auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework und der Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, Ausfälle schnell zu bemerken und zu beheben.

14 Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Server-Protokolle werden nach spätestens 30 Tagen gelöscht. Kontodaten werden mit der Löschung des Kontos entfernt.

15 Löschung nach Kündigung oder Sperre

Wird das Abonnement einer Firma gekündigt oder ihr Zugang gesperrt, etwa weil die Testphase abgelaufen oder eine Zahlung offen ist, bleiben ihre Daten 365 Tage gespeichert und werden danach gelöscht: die Firma mit ihren Mitgliedschaften, ihren Daten aus OTTO und den Zugangsdaten zu ihren OTTO-Händlerkonten sowie die Nutzerkonten, die zu keiner anderen Firma gehören. Eine Firma, die nie ein OTTO-Händlerkonto verbunden hat, löschen wir 365 Tage nach der letzten Anmeldung eines Mitglieds.

Erhalten bleiben die Rechnungen mit ihren Abrechnungsgrundlagen, dazu der Name der Firma, das Land, die Kennung des Kunden bei Stripe und der Code und Partner, über die die Firma kam, solange die gesetzlichen Aufbewahrungsfristen gelten, längstens 10 Jahre nach der Löschung; danach löschen wir auch sie. Den Kunden bei Stripe löschen wir, sobald keine Rechnung mehr offen ist. Ohne Frist bleiben eine nicht umkehrbar verschlüsselte Kennung jedes verbundenen OTTO-Händlerkontos, damit Angebote für Neukunden und die Testphase je Händlerkonto nur einmal gelten, und das Protokoll unserer Handlungen als Betreiber, ohne die E-Mail-Adressen der Mitglieder.

Wer die Löschung früher wünscht, schreibt an info@margenoptimierer.de. Rechtsgrundlage für die Aufbewahrung der Rechnungen ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abgabenordnung und § 14b Umsatzsteuergesetz, für die Kennung des Händlerkontos Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass ein Angebot für Neukunden nicht mehrfach genutzt wird.

16 Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf Auskunft nach Art. 15 DSGVO, auf Berichtigung nach Art. 16 DSGVO, auf Löschung nach Art. 17 DSGVO, auf Einschränkung der Verarbeitung nach Art. 18 DSGVO, auf Datenübertragbarkeit nach Art. 20 DSGVO sowie auf Widerspruch nach Art. 21 DSGVO gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen.

Zur Ausübung dieser Rechte genügt eine Nachricht an die oben genannte E-Mail-Adresse.

17 Beschwerderecht

Unabhängig davon besteht nach Art. 77 DSGVO ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

18 Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich die beschriebenen Verarbeitungen ändern. Maßgeblich ist die jeweils auf dieser Seite abrufbare Fassung.