1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Dienst Meridian ist:
Pelle Krukow
Meridian
Ballindamm 3
20095 Hamburg
Deutschland
E-Mail: [email protected]
Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.
2. Allgemeine Hinweise
Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung dieser Website und unserer Leistungen erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, insbesondere sicherer und stabiler Betrieb).
Die Bereitstellung bestimmter Daten (insbesondere der Kontodaten bei der Registrierung und der Rechnungsdaten) ist für den Abschluss und die Durchführung des Vertrags erforderlich; ohne diese Daten kann der Vertrag nicht geschlossen oder erfüllt werden. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.
Diese Datenschutzerklärung unterscheidet zwei Rollen: Für den Betrieb der Website, die Kundenkonten, die eigene Abrechnung und den E-Mail-Versand sind wir Verantwortlicher. Für die im Auftrag unserer Kunden importierten und verarbeiteten Zahlungsdaten (siehe Ziffer 11) sind wir Auftragsverarbeiter; Verantwortlicher ist insoweit der jeweilige Kunde.
3. Ihre Rechte als betroffene Person
Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:
- Recht auf Auskunft (Art. 15 DSGVO),
- Recht auf Berichtigung (Art. 16 DSGVO),
- Recht auf Löschung (Art. 17 DSGVO),
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung Ihrer Rechte genügt eine E-Mail an [email protected].
Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig für uns ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg.
4. Hosting bei Hetzner
Diese Website und der Dienst Meridian werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Die Server befinden sich in Rechenzentren in Deutschland und Finnland; eine Übermittlung in Drittländer außerhalb des EWR findet auf dieser Ebene nicht statt.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, stabilen und performanten Betrieb unseres Angebots. Mit Hetzner haben wir einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Auch die von uns betriebene PostgreSQL-Datenbank, in der Konto- und Anwendungsdaten gespeichert werden, läuft auf dieser Infrastruktur.
5. Server-Logfiles
Beim Aufruf dieser Website werden automatisch Informationen in Server-Logfiles gespeichert, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Datei, übertragene Datenmenge, Browsertyp und Browserversion, verwendetes Betriebssystem sowie die Referrer-URL.
Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Sicherstellung eines störungsfreien Betriebs, der Fehleranalyse und der Abwehr von Angriffen. Die Logfiles werden nach spätestens 14 Tagen gelöscht, sofern nicht ein konkreter Sicherheitsvorfall eine längere Aufbewahrung einzelner Einträge erfordert.
6. Cloudflare (CDN und Sicherheitsdienst)
Wir nutzen für diese Website den Content-Delivery- und Sicherheitsdienst Cloudflare. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA; Vertragspartner in der EU ist die Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare wird als sogenannter Reverse Proxy vorgeschaltet; sämtlicher Datenverkehr zwischen Ihrem Browser und unserem Server läuft dabei über das Netzwerk von Cloudflare. Verarbeitet werden insbesondere IP-Adressen, Verbindungs- und Metadaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Abwehr von Angriffen (insbesondere DDoS), der Sicherheit der Systeme und der schnellen Auslieferung der Inhalte. Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag geschlossen.
Dabei kann es zu einer Übermittlung personenbezogener Daten in die USA kommen. Cloudflare ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; insoweit liegt ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor. Ergänzend enthält der Auftragsverarbeitungsvertrag mit Cloudflare die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) als zusätzliche Garantie.
Cloudflare kann zur Abwehr automatisierter Zugriffe technisch notwendige Cookies setzen (insbesondere "__cf_bm" und ggf. "cf_clearance"). Diese Cookies sind für die Bereitstellung des von Ihnen aufgerufenen Dienstes unbedingt erforderlich und bedürfen daher keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Informationen: https://www.cloudflare.com/privacypolicy/
7. Lokale Speicherung der Spracheinstellung (localStorage)
Wenn Sie auf dieser Website eine Anzeigesprache auswählen, speichern wir diese Einstellung in Ihrem Browser im sogenannten localStorage (Eintrag mit Ihrer gewählten Sprache, z. B. "lang"). Der Eintrag enthält keine personenbezogenen Profildaten, wird nicht an Dritte übermittelt und bleibt gespeichert, bis Sie ihn über Ihre Browsereinstellungen löschen.
Diese Speicherung ist für die Erbringung des von Ihnen ausdrücklich gewünschten Dienstes (Anzeige in der gewählten Sprache) unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig; die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO. Da wir darüber hinaus keine einwilligungsbedürftigen Speicher- oder Auslesevorgänge auf Ihrem Endgerät vornehmen, setzen wir keinen Cookie- bzw. Consent-Banner ein.
8. Registrierung und Kundenkonto
Für die Nutzung von Meridian ist ein Kundenkonto erforderlich. Bei der Registrierung und der weiteren Nutzung verarbeiten wir insbesondere: Firma bzw. Unternehmensbezeichnung, Name der handelnden Person, E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash), Rechnungsadresse, ggf. Umsatzsteuer-Identifikationsnummer sowie Vertrags- und Abrechnungsdaten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Die Daten werden in einer PostgreSQL-Datenbank auf der unter Ziffer 4 beschriebenen Hetzner-Infrastruktur gespeichert. Von Ihnen hinterlegte API-Zugangsdaten und Tokens (etwa für Mollie) werden bei uns verschlüsselt gespeichert (Verschlüsselung at rest) und ausschließlich zur Erbringung der vertraglichen Leistungen verwendet.
Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert. Nach Löschung des Kontos werden sie gelöscht, soweit nicht gesetzliche Aufbewahrungspflichten (siehe Ziffer 14) eine längere Speicherung einzelner Daten (insbesondere Rechnungs- und Buchungsdaten) verlangen; diese Daten werden für die weitere Nutzung gesperrt.
9. Zahlungsabwicklung über Mollie
Die Abrechnung des Meridian-Abonnements erfolgt über den Zahlungsdienstleister Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Im Rahmen der Zahlungsabwicklung übermitteln wir an Mollie die für die Ausführung der Zahlung erforderlichen Daten, insbesondere Name bzw. Firma, E-Mail-Adresse, Zahlungsdaten (z. B. IBAN oder Kartendaten, die direkt bei Mollie erhoben werden) sowie Betrag und Verwendungszweck.
Mollie ist als beaufsichtigtes Zahlungsinstitut für die Durchführung der Zahlungen eigenständiger Verantwortlicher im Sinne der DSGVO. Rechtsgrundlage der Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO. Mollie verarbeitet die Daten innerhalb der EU. Weitere Informationen finden Sie in der Datenschutzerklärung von Mollie: https://www.mollie.com/privacy
10. Transaktionale E-Mails über Mailjet
Für den Versand transaktionaler E-Mails (z. B. Registrierungsbestätigung, Passwort-Zurücksetzung, Rechnungs- und Abrechnungshinweise, Sicherheits- und Vertragsinformationen) nutzen wir Mailjet, einen Dienst der Mailjet SAS (Teil der Sinch-Gruppe), 4 Rue Jules Lefebvre, 75009 Paris, Frankreich. Verarbeitet werden E-Mail-Adresse, Name sowie die Inhalte und Metadaten der jeweiligen Nachricht.
Mailjet ist unser Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ist geschlossen. Der Versand erfolgt über Rechenzentren in der EU. Innerhalb der Sinch-Gruppe kann es in Einzelfällen zu Übermittlungen an Konzerngesellschaften in den USA kommen; diese sind durch die Standardvertragsklauseln der Europäischen Kommission sowie die Zertifizierung unter dem EU-US Data Privacy Framework abgesichert. Rechtsgrundlage des Versands ist Art. 6 Abs. 1 lit. b DSGVO sowie, bei Sicherheitshinweisen, Art. 6 Abs. 1 lit. f DSGVO. Werbe-E-Mails versenden wir nur mit ausdrücklicher vorheriger Einwilligung; derzeit findet kein werblicher E-Mail-Versand statt.
11. Verarbeitung von Transaktionsdaten im Auftrag unserer Kunden (Auftragsverarbeitung)
Kernfunktion von Meridian ist der Import und die Aufbereitung von Zahlungsdaten aus den Mollie-Konten unserer Kunden. Diese Daten können personenbezogene Daten der Endkunden unserer Kunden enthalten, insbesondere Namen, E-Mail-Adressen, Zahlungsbeträge, Zeitpunkte, Zahlungsmethoden und das Ausgabeland der verwendeten Karte.
Insoweit handeln wir ausschließlich als Auftragsverarbeiter im Sinne des Art. 28 DSGVO auf dokumentierte Weisung des jeweiligen Kunden. Verantwortlicher für diese Daten ist der jeweilige Kunde; ihm obliegen auch die Informationspflichten nach Art. 13 und 14 DSGVO gegenüber seinen Endkunden. Vor dem ersten Datenimport schließen wir mit jedem Kunden einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Abs. 3 DSGVO, den wir standardisiert und elektronisch abschließbar bereitstellen. Der AVV enthält unter anderem die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO, u. a. verschlüsselte Speicherung der API-Tokens, TLS-Transportverschlüsselung, Zugriffskontrollen) sowie die Liste der eingesetzten Subunternehmer (derzeit: Hetzner Online GmbH für das Hosting, Cloudflare für CDN und Sicherheit, Mailjet SAS für den E-Mail-Versand) mit Informations- und Widerspruchsmechanismus bei Änderungen.
Wenn sich Endkunden unserer Kunden mit Betroffenenanfragen (Art. 15 bis 21 DSGVO) an uns wenden, leiten wir diese Anfragen an den verantwortlichen Kunden weiter und unterstützen ihn bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).
12. Datenübermittlung in Drittländer
Die Verarbeitung findet ganz überwiegend in der EU bzw. im EWR statt (Hetzner: Deutschland und Finnland; Mollie: Niederlande; Mailjet: Frankreich). Übermittlungen in die USA können lediglich im Rahmen der Nutzung von Cloudflare sowie in Einzelfällen bei konzerninternen Übermittlungen der Sinch-Gruppe (Mailjet) auftreten. Beide Anbieter sind unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO); ergänzend sind Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart.
13. SSL- bzw. TLS-Verschlüsselung und technische Sicherheit
Diese Website und der Dienst Meridian nutzen aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an "https://" in der Adresszeile Ihres Browsers und am Schloss-Symbol. Darüber hinaus setzen wir technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, insbesondere die verschlüsselte Speicherung hinterlegter API-Tokens, Zugriffsbeschränkungen und regelmäßige Sicherheitsupdates.
14. Speicherdauer und gesetzliche Aufbewahrungsfristen
Soweit in dieser Datenschutzerklärung keine speziellere Speicherdauer genannt ist, speichern wir personenbezogene Daten, bis der Zweck der Verarbeitung entfällt oder Sie uns zur Löschung auffordern bzw. eine Einwilligung widerrufen. Abweichend davon bewahren wir Daten auf, für die gesetzliche Aufbewahrungspflichten bestehen: Buchungsbelege, Rechnungen und Buchführungsunterlagen bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre, Handels- und Geschäftsbriefe bis zu sechs Jahre auf. Nach Ablauf der Fristen werden die Daten gelöscht.
15. Keine Analyse-, Tracking- oder Werbetools
Wir setzen auf dieser Website keine Analyse- oder Statistik-Tools, keine Tracking-Pixel, keine Werbenetzwerke und keine Social-Media-Plugins ein. Es werden keine Nutzungsprofile erstellt und keine Daten zu Werbezwecken an Dritte weitergegeben. Schriften und sonstige Assets werden lokal von unseren Servern ausgeliefert; externe Schriftendienste (z. B. Google Fonts) werden nicht eingebunden.
16. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, sobald sich unser Dienst, die eingesetzten Dienstleister oder die Rechtslage ändern. Es gilt jeweils die auf dieser Website veröffentlichte aktuelle Fassung.
Stand: Juli 2026