1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Dienst Meridian ist:
Pelle Krukow
Meridian
Bei den Mühren 1
20457 Hamburg
Deutschland
E-Mail: support@usemeridian.de
Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.
2. Allgemeine Hinweise
Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung dieser Website und unserer Leistungen erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, insbesondere sicherer und stabiler Betrieb).
Die Bereitstellung bestimmter Daten (insbesondere der Kontodaten bei der Registrierung und der Rechnungsdaten) ist für den Abschluss und die Durchführung des Vertrags erforderlich; ohne diese Daten kann der Vertrag nicht geschlossen oder erfüllt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.
Diese Datenschutzerklärung unterscheidet zwei Rollen: Für den Betrieb der Website, die Kundenkonten, die eigene Abrechnung und den E-Mail-Versand sind wir Verantwortlicher. Für die im Auftrag unserer Kunden importierten und verarbeiteten Zahlungsdaten (siehe Ziffer 11) sind wir Auftragsverarbeiter; Verantwortlicher ist insoweit der jeweilige Kunde.
3. Ihre Rechte als betroffene Person
Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO),
- Recht auf Berichtigung (Art. 16 DSGVO),
- Recht auf Löschung (Art. 17 DSGVO),
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung Ihrer Rechte genügt eine E-Mail an support@usemeridian.de.
Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg.
4. Hosting bei Hetzner
Diese Website und der Dienst Meridian werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Die Server befinden sich in Rechenzentren in Deutschland und Finnland; eine Übermittlung in Drittländer außerhalb des EWR findet auf dieser Ebene nicht statt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, stabilen und performanten Betrieb unseres Angebots. Mit Hetzner haben wir einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Auch die von uns betriebene PostgreSQL-Datenbank, in der Konto- und Anwendungsdaten gespeichert werden, läuft auf dieser Infrastruktur.
5. Server-Logfiles
Beim Aufruf dieser Website werden automatisch Informationen in Server-Logfiles gespeichert, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Datei, übertragene Datenmenge, Browsertyp und Browserversion, verwendetes Betriebssystem sowie die Referrer-URL.
Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Sicherstellung eines störungsfreien Betriebs, der Fehleranalyse und der Abwehr von Angriffen. Die Logfiles werden nach spätestens 14 Tagen gelöscht, sofern nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung einzelner Einträge erfordert.
6. Cloudflare (CDN und Sicherheitsdienst)
Wir nutzen für diese Website den Content-Delivery- und Sicherheitsdienst Cloudflare. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA; Vertragspartner in der EU ist die Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare wird als sogenannter Reverse Proxy vorgeschaltet; sämtlicher Datenverkehr zwischen Ihrem Browser und unserem Server läuft dabei über das Netzwerk von Cloudflare. Verarbeitet werden insbesondere IP-Adressen, Verbindungs- und Metadaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Abwehr von Angriffen (insbesondere DDoS), der Sicherheit der Systeme und der schnellen Auslieferung der Inhalte. Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag geschlossen.
Dabei kann es zu einer Übermittlung personenbezogener Daten in die USA kommen. Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; insoweit liegt ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor. Ergänzend enthält der Auftragsverarbeitungsvertrag mit Cloudflare die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) als zusätzliche Garantie.
Cloudflare kann zur Abwehr automatisierter Zugriffe technisch notwendige Cookies setzen (insbesondere "__cf_bm" und ggf. "cf_clearance"). Diese Cookies sind für die Bereitstellung des von Ihnen aufgerufenen Dienstes unbedingt erforderlich und bedürfen daher keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Informationen: https://www.cloudflare.com/privacypolicy/
7. Lokale Speicherung der Spracheinstellung (localStorage)
Wenn Sie auf dieser Website eine Anzeigesprache auswählen, speichern wir diese Einstellung in Ihrem Browser im sogenannten localStorage (Eintrag mit Ihrer gewählten Sprache, z. B. "lang"). Der Eintrag enthält keine personenbezogenen Profildaten, wird nicht an Dritte übermittelt und bleibt gespeichert, bis Sie ihn über Ihre Browsereinstellungen löschen.
Diese Speicherung ist für die Erbringung des von Ihnen ausdrücklich gewünschten Dienstes (Anzeige in der gewählten Sprache) unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO. Da wir darüber hinaus keine einwilligungsbedürftigen Speicher- oder Auslesevorgänge auf Ihrem Endgerät vornehmen, setzen wir keinen Cookie- bzw. Consent-Banner ein.
8. Registrierung und Kundenkonto
Für die Nutzung von Meridian ist ein Kundenkonto erforderlich. Bei der Registrierung und der weiteren Nutzung verarbeiten wir insbesondere: Firma bzw. Unternehmensbezeichnung, Name der handelnden Person, E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash), Rechnungsadresse, ggf. Umsatzsteuer-Identifikationsnummer sowie Vertrags- und Abrechnungsdaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Die Daten werden in einer PostgreSQL-Datenbank auf der unter Ziffer 4 beschriebenen Hetzner-Infrastruktur gespeichert. Von Ihnen hinterlegte API-Zugangsdaten und Tokens (etwa für Mollie, Stripe, PayPal oder CoinGate) werden bei uns verschlüsselt gespeichert (Verschlüsselung at rest) und ausschließlich zur Erbringung der vertraglichen Leistungen verwendet.
Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Löschung des Kontos werden sie gelöscht, soweit nicht gesetzliche Aufbewahrungspflichten (siehe Ziffer 14) eine längere Speicherung einzelner Daten (insbesondere Rechnungs- und Buchungsdaten) verlangen; diese Daten werden für die weitere Nutzung gesperrt.
9. Zahlungsabwicklung über Mollie
Die Abrechnung des Meridian-Abonnements erfolgt über den Zahlungsdienstleister Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Im Rahmen der Zahlungsabwicklung übermitteln wir an Mollie die für die Ausführung der Zahlung erforderlichen Daten, insbesondere Name bzw. Firma, E-Mail-Adresse, Zahlungsdaten (z. B. IBAN oder Kartendaten, die direkt bei Mollie erhoben werden) sowie Betrag und Verwendungszweck.
Mollie ist als beaufsichtigtes Zahlungsinstitut für die Durchführung der Zahlungen eigenständiger Verantwortlicher im Sinne der DSGVO. Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO. Mollie verarbeitet die Daten innerhalb der EU. Weitere Informationen finden Sie in der Datenschutzerklärung von Mollie: https://www.mollie.com/privacy
10. Transaktionale E-Mails über Mailjet
Für den Versand transaktionaler E-Mails (z. B. Registrierungsbestätigung, Passwort-Zurücksetzung, Rechnungs- und Abrechnungshinweise, Sicherheits- und Vertragsinformationen) nutzen wir Mailjet, einen Dienst der Mailjet SAS (Teil der Sinch-Gruppe), 4 Rue Jules Lefebvre, 75009 Paris, Frankreich. Verarbeitet werden E-Mail-Adresse, Name sowie die Inhalte und Metadaten der jeweiligen Nachricht.
Mailjet ist unser Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ist geschlossen. Der Versand erfolgt über Rechenzentren in der EU. Innerhalb der Sinch-Gruppe kann es in Einzelfällen zu Übermittlungen an Konzerngesellschaften in den USA kommen; diese sind durch die Standardvertragsklauseln der Europäischen Kommission sowie die Zertifizierung unter dem EU-US Data Privacy Framework abgesichert. Rechtsgrundlage des Versands ist Art. 6 Abs. 1 lit. b DSGVO sowie, bei Sicherheitshinweisen, Art. 6 Abs. 1 lit. f DSGVO. Werbe-E-Mails versenden wir nur mit ausdrücklicher vorheriger Einwilligung; derzeit findet kein werblicher E-Mail-Versand statt.
11. Verarbeitung von Transaktionsdaten im Auftrag unserer Kunden (Auftragsverarbeitung)
Kernfunktion von Meridian ist der Import und die Aufbereitung von Zahlungsdaten aus den Konten unserer Kunden bei Zahlungsdienstleistern (etwa Mollie, Stripe, PayPal oder CoinGate) sowie aus Transaktionsberichten, die unsere Kunden als Datei hochladen. Diese Daten können personenbezogene Daten der Endkunden unserer Kunden enthalten, insbesondere Namen, E-Mail-Adressen, Anschriften, Zahlungsbeträge, Zeitpunkte, Zahlungsmethoden, das Ausgabeland der verwendeten Karte oder das Land des Zahlungskontos sowie die von unseren Kunden übermittelte IP-Adresse des Endkunden.
Insoweit handeln wir ausschließlich als Auftragsverarbeiter im Sinne des Art. 28 DSGVO auf dokumentierte Weisung des jeweiligen Kunden. Verantwortlicher für diese Daten ist der jeweilige Kunde; ihm obliegen auch die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber seinen Endkunden. Vor dem ersten Datenimport schließen wir mit jedem Kunden einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO, den wir standardisiert und elektronisch abschließbar bereitstellen. Der AVV enthält unter anderem die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO, u. a. verschlüsselte Speicherung der API-Tokens, TLS-Transportverschlüsselung, Zugriffskontrollen) sowie die Liste der eingesetzten Subunternehmer (derzeit: Hetzner Online GmbH für das Hosting, Cloudflare für CDN und Sicherheit, Mailjet SAS für den E-Mail-Versand) mit Informations- und Widerspruchsmechanismus bei Änderungen.
Wenn sich Endkunden unserer Kunden mit Betroffenenanfragen (Art. 15 bis 21 DSGVO) an uns wenden, leiten wir diese Anfragen an den verantwortlichen Kunden weiter und unterstützen ihn bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).
12. Datenübermittlung in Drittländer
Die Verarbeitung findet ganz überwiegend in der EU bzw. im EWR statt (Hetzner: Deutschland und Finnland; Mollie: Niederlande; Mailjet: Frankreich). Übermittlungen in die USA können lediglich im Rahmen der Nutzung von Cloudflare sowie in Einzelfällen bei konzerninternen Übermittlungen der Sinch-Gruppe (Mailjet) auftreten. Beide Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO); ergänzend sind Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart.
13. SSL- bzw. TLS-Verschlüsselung und technische Sicherheit
Diese Website und der Dienst Meridian nutzen aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an "https://" in der Adresszeile Ihres Browsers und am Schloss-Symbol. Darüber hinaus setzen wir technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, insbesondere die verschlüsselte Speicherung hinterlegter API-Tokens, Zugriffsbeschränkungen und regelmäßige Sicherheitsupdates.
14. Speicherdauer und gesetzliche Aufbewahrungsfristen
Soweit in dieser Datenschutzerklärung keine speziellere Speicherdauer genannt ist, speichern wir personenbezogene Daten, bis der Zweck der Verarbeitung entfällt oder Sie uns zur Löschung auffordern bzw. eine Einwilligung widerrufen. Abweichend davon bewahren wir Daten auf, für die gesetzliche Aufbewahrungspflichten bestehen: Buchungsbelege, Rechnungen und Buchführungsunterlagen bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre, Handels- und Geschäftsbriefe bis zu sechs Jahre auf. Nach Ablauf der Fristen werden die Daten gelöscht.
15. Reichweitenmessung ohne Cookies
Um zu verstehen, wie unsere Website gefunden und genutzt wird, zählen wir Seitenaufrufe mit einer eigenen Reichweitenmessung auf unserem Server. Wir setzen dafür keine Cookies und speichern nichts auf Ihrem Endgerät. Externe Analyse- oder Statistik-Tools, Tracking-Pixel, Werbenetzwerke und Social-Media-Plugins setzen wir nicht ein; die Daten der Reichweitenmessung geben wir nicht an Dritte weiter. Schriften und sonstige Assets werden lokal von unseren Servern ausgeliefert; externe Schriftendienste (z. B. Google Fonts) werden nicht eingebunden.
Bei jedem Aufruf einer öffentlichen Seite bilden wir aus Ihrer IP-Adresse und der Browserkennung (User-Agent), die Ihr Browser ohnehin an unseren Server übermittelt, zusammen mit einem Zufallswert eine gekürzte Prüfsumme (Hash). Der Zufallswert wird jeden Tag neu erzeugt; gespeichert wird nur der Wert des laufenden Tages, ältere Werte löschen wir. Aufrufe lassen sich dadurch nur innerhalb desselben Kalendertags demselben Besucher zuordnen und danach auch von uns nicht mehr. Die IP-Adresse selbst speichern wir für die Reichweitenmessung nicht.
Zu jedem Seitenaufruf speichern wir die aufgerufene Seite, Datum und Uhrzeit, die genannte Prüfsumme, die Herkunft des Aufrufs (Domain und Pfad der verweisenden Seite, bei Suchmaschinen und Anzeigen ggf. den übermittelten Suchbegriff, Kampagnenparameter wie utm_source aus der Adresse), das aus der IP-Adresse abgeleitete Land sowie eine grobe Geräteklasse (Desktop, Mobilgerät oder Bot). Außerdem erfassen wir, ob der Preisbereich sichtbar war und ob ein Bestellvorgang begonnen wurde. Aufrufe durch Suchmaschinen- und KI-Crawler zählen wir getrennt nach Name des Crawlers und Seite. Im Kundenbereich und in der Verwaltung findet keine Messung statt. Für eine Live-Ansicht halten wir die Aufrufe der letzten sechs Stunden zusätzlich im Arbeitsspeicher; diese Liste wird nicht dauerhaft gespeichert.
Wenn Sie ein Kundenkonto abschließen, ordnen wir die Seitenaufrufe desselben Tages Ihrem Konto zu (erste und letzte Herkunft, bis zu 40 aufgerufene Seiten, Land und Geräteklasse), um nachvollziehen zu können, über welche Wege neue Kunden zu uns finden. Diese Angaben speichern wir zusammen mit Ihrem Kundenkonto und löschen sie mit dem Konto.
Die einzelnen Seitenaufrufe löschen wir nach 13 Monaten; danach bleiben nur zusammengefasste Tageswerte ohne Personenbezug erhalten. Die Crawler-Zählungen bewahren wir 25 Monate auf.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Reichweite unserer Website zu messen, unsere Marketingkanäle zu bewerten und das Angebot zu verbessern. Da wir weder Informationen auf Ihrem Endgerät speichern noch dort gespeicherte Informationen auslesen, holen wir hierfür keine Einwilligung nach § 25 TDDDG ein. Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen, etwa per E-Mail an support@usemeridian.de.
16. Anfragen zu Anbindungen und Support
Sie können uns über das Formular „Anbieter anfragen“ auf unserer Website oder per E-Mail kontaktieren. Wir verarbeiten dabei Ihre E-Mail-Adresse, den genannten Zahlungsanbieter, Ihre Nachricht, den Zeitpunkt der Anfrage und die Seite, auf der Sie sie gestellt haben. Jede Anfrage legen wir als Vorgang in unserer Datenbank auf der unter Ziffer 4 beschriebenen Hetzner-Infrastruktur an und bestätigen den Eingang per E-Mail über Mailjet (Ziffer 10). Um Missbrauch zu verhindern, begrenzen wir die Zahl der Anfragen je IP-Adresse; die IP-Adresse wird dafür nur kurzzeitig im Arbeitsspeicher verarbeitet und nicht gespeichert.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Anfragen zu beantworten. Wir speichern die Daten, solange es für die Bearbeitung und etwaige Rückfragen erforderlich ist, und löschen sie danach, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
17. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, sobald sich unser Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt jeweils die auf dieser Website veröffentlichte aktuelle Fassung.
Stand: Oktober 2026