Datenschutzerklärung

Stand: 07.11.2026

1. Verantwortlicher

Merhaba [Rechtsform eintragen], [Straße Hausnummer], [PLZ Ort], E-Mail: datenschutz@merhabago.de

2. Überblick

Merhaba ist eine Plattform, auf der Kunden Angebote, Prospekte und Märkte internationaler Supermärkte in ihrer Nähe finden. Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung der Plattform erforderlich ist oder Sie eingewilligt haben.

3. Aufruf der Website / App (Server-Logfiles)

Beim Aufruf werden technisch notwendige Daten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Browser-Typ). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit). Logfiles werden nach spätestens 14 Tagen gelöscht.

4. Standort und Postleitzahl

Damit wir Angebote in Ihrer Nähe anzeigen können, fragen wir Ihre Postleitzahl ab. Diese wird lokal in Ihrem Browser und – falls Sie ein Konto haben – in Ihrem Profil gespeichert. Die Funktion „Standort verwenden“ nutzt die Standortfreigabe Ihres Geräts nur nach Ihrer ausdrücklichen Zustimmung; die Koordinaten werden ausschließlich zur Ermittlung der nächstgelegenen Postleitzahl verwendet und nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO, § 25 Abs. 2 TDDDG.

5. Kundenkonto

Für ein Kundenkonto verarbeiten wir Name, E-Mail-Adresse, Passwort (verschlüsselt), Sprache, Postleitzahl, Merkliste, gefolgte Märkte und gesicherte Coupons. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihr Konto jederzeit in den Kontoeinstellungen löschen und Ihre Daten exportieren.

Bewertungen: Wenn Sie einen Markt bewerten, speichern wir Sterne, Text, Sprache und Datum zusammen mit Ihrem Konto. Öffentlich angezeigt werden nur Ihr Vorname und der erste Buchstabe des Nachnamens. Zur Echtheitsprüfung gleichen wir ab, ob Sie bei diesem Markt eine Reservierung abgeholt haben (Art. 6 Abs. 1 lit. b und f DSGVO; berechtigtes Interesse an glaubwürdigen Bewertungen, § 5b UWG). Sie können Ihre Bewertung jederzeit löschen.

Click & Collect: Für eine Reservierung verarbeiten wir Name, E-Mail-Adresse, optional Telefonnummer, die reservierten Artikel, Filiale und Abholzeit und übermitteln diese an den jeweiligen Händler, der sie zur Abwicklung nutzt (Art. 6 Abs. 1 lit. b DSGVO). Reservierungsdaten löschen wir 12 Monate nach der Abholzeit; abrechnungsrelevante Angaben (Anzahl abgeholter Reservierungen je Händler) bleiben im Rahmen der Aufbewahrungspflichten erhalten.

Coupons: Coupons der Händler können Sie nur mit einem Kundenkonto und bestätigter E-Mail-Adresse sichern. Wenn Sie einen Coupon sichern, speichern wir, welchen Coupon Sie gesichert haben und bei welchem Markt er gilt, einen zufällig erzeugten Einlösecode, den Zeitpunkt des Sicherns und – sobald Sie ihn an der Kasse einlösen – den Zeitpunkt der Einlösung. Diese Angaben benötigen wir, um Ihnen Ihre Coupons anzuzeigen und die Coupon-Bedingungen umzusetzen: Jeder Coupon ist nur einmal einlösbar, pro Einkauf gilt nur ein Coupon (nach einer Einlösung ist beim selben Markt zwei Stunden lang kein weiterer Coupon möglich), und die vom Händler festgelegte Höchstzahl wird eingehalten (Art. 6 Abs. 1 lit. b DSGVO). Die bestätigte E-Mail-Adresse verlangen wir, um Missbrauch durch Mehrfachkonten zu erschweren (Art. 6 Abs. 1 lit. f DSGVO). Beim Einlösen erfassen wir weder Ihren Standort noch Ihren Einkauf. Der Händler erhält keine Namen oder E-Mail-Adressen, sondern nur die Anzahl gesicherter und eingelöster Coupons sowie eine Liste der Einlösecodes mit Einlösezeit, damit er einen vorgezeigten Coupon im Zweifel prüfen kann. Ihre Coupons sind im Datenexport Ihres Kontos enthalten und werden mit Ihrem Konto gelöscht, spätestens jedoch 6 Monate nach Ablauf des jeweiligen Coupons. Die Anzahl gesicherter und eingelöster Coupons bleibt ohne Personenbezug als Statistik erhalten.

6. Händlerkonto und Zahlungsabwicklung

Für Händler verarbeiten wir Firmen- und Kontaktdaten, Steuer- und Registerangaben, Nachweise (z. B. Gewerbeanmeldung) sowie Vertrags- und Abrechnungsdaten. Die Zahlungsabwicklung erfolgt über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Datenübermittlungen in die USA sind über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, steuerliche Aufbewahrungspflichten bis zu 10 Jahre).

7. Newsletter

Den Newsletter erhalten Sie nur nach Bestätigung (Double-Opt-In). Wir speichern E-Mail-Adresse, Sprache, Postleitzahl, Zeitpunkt der Anmeldung und Bestätigung sowie eine Prüfsumme der IP-Adresse als Nachweis. Wir werten aus, ob Newsletter geöffnet und Links angeklickt werden, um die Inhalte zu verbessern. Die Abmeldung ist jederzeit über den Link in jeder E-Mail möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

8. Push-Benachrichtigungen

Push-Benachrichtigungen erhalten Sie nur, wenn Sie diese in Ihrem Browser bzw. Gerät erlauben. Dabei wird ein technischer Empfangsschlüssel gespeichert, ggf. verknüpft mit Postleitzahl, Sprache und gefolgten Märkten. Folgen Sie einem Markt, informieren wir Sie über dessen neue Prospekte und Coupons. Der Versand erfolgt über die Push-Dienste der Browser-Hersteller (z. B. Google, Apple, Mozilla). Sie können die Erlaubnis jederzeit in den Browser- bzw. App-Einstellungen widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

9. Reichweitenmessung und Werbung

Wir zählen Aufrufe von Märkten, Produkten, Prospekten, Coupons und Werbeanzeigen sowie Klicks ausschließlich aggregiert pro Tag. Dafür werden weder Cookies gesetzt noch personenbezogene Nutzerprofile erstellt. Werbeanzeigen werden anhand von Postleitzahl, Sprache und aufgerufener Kategorie ausgewählt (kontextbezogen), nicht anhand eines Profils. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Webanalyse mit Matomo (optional): Sofern Sie unter „Statistik“ eingewilligt haben, nutzen wir die Open-Source-Software Matomo auf unserem eigenen Server. Es werden keine Cookies gesetzt, IP-Adressen werden vor der Speicherung um zwei Bytes gekürzt, Daten werden nicht an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Die Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ widerrufen.

10. Karten

Karten (OpenStreetMap) werden erst geladen, wenn Sie zustimmen. Dabei wird Ihre IP-Adresse an den Kartenserver übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

11. Cookies und lokaler Speicher

Wir verwenden nur technisch notwendige Cookies (Sitzung, Sicherheit, Sprache, Einwilligungsstatus) sowie lokalen Speicher für PLZ, Merkliste und Hinweise der App (z. B. ob Sie den Hinweis zur Installation oder zu Benachrichtigungen bereits geschlossen haben). Optionale Dienste werden nur nach Einwilligung aktiviert. Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ im Footer ändern.

12. Hosting und E-Mail-Versand

Die Plattform wird bei einem Hosting-Anbieter in der EU betrieben, mit dem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht. Für den Versand von E-Mails nutzen wir einen Dienstleister in der EU auf Grundlage eines Auftragsverarbeitungsvertrags. [Anbieter bitte eintragen]

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren.

14. Speicherdauer

Wir löschen Daten, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Kundenkonten, die 24 Monate lang nicht genutzt wurden (keine Anmeldung und kein Aufruf mit angemeldetem Konto), löschen wir automatisch mit allen zugehörigen Daten. Etwa einen Monat vorher erhalten Sie eine E-Mail mit dem Löschdatum; melden Sie sich bis dahin an, bleibt Ihr Konto bestehen. Dafür speichern wir, wann Ihr Konto zuletzt genutzt wurde (höchstens einmal täglich aktualisiert), und wann wir Sie benachrichtigt haben. Händlerkonten sind davon ausgenommen, sie richten sich nach dem Vertrag.

Sicherheit und Nachvollziehbarkeit: Änderungen im Admin- und Händlerbereich (z. B. Paketwechsel, Sperrungen, Moderationsentscheidungen, Rechnungen) protokollieren wir mit Zeitpunkt und handelnder Person, um Missbrauch aufzuklären und Entscheidungen nachweisen zu können (Art. 6 Abs. 1 lit. c und f DSGVO, Art. 17 und 20 DSA); das Protokoll wird nach 12 Monaten gelöscht. Verschlüsselte Datensicherungen werden täglich erstellt und nach einem festen Rotationsplan gelöscht (spätestens nach 2 Jahren).