Datenschutzerklärung

1. Verantwortliche

Katharina Schreiner, Einzelunternehmen unter der Geschäftsbezeichnung Trade Mondo, Taunusstraße 29, 60329 Frankfurt am Main, E-Mail info@trade-mondo.com (im Folgenden „Anbieterin“).

Eine Datenschutzbeauftragte ist nicht benannt. Die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) liegen nicht vor: Es sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt, und die Kerntätigkeit erfordert weder eine umfangreiche regelmäßige Überwachung noch die umfangreiche Verarbeitung besonderer Datenkategorien.

2. Zwei Rollen

Für die Kontodaten der Nutzer (Name, E-Mail, Unternehmen, Abrechnung) ist die Anbieterin Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO.

Für die Inhalte, die der Kunde hochlädt (Akkreditive, Rechnungen, Transportdokumente und die darin enthaltenen Daten seiner Geschäftspartner), ist die Anbieterin Auftragsverarbeiterin (Art. 28 DSGVO). Der Kunde bestimmt Zweck und Mittel; die Anbieterin verarbeitet diese Daten ausschließlich nach seiner Weisung. Der Vertrag dazu steht unter Auftragsverarbeitung; er wird mit der Registrierung Vertragsbestandteil.

3. Verarbeitete Daten

• Kontodaten: Vor- und Nachname, E-Mail-Adresse, Unternehmen, Rolle, Passwort (nur als Hashwert), Anmeldeprotokolle, Einstellungen sowie der Fortschritt in den „Ersten Schritten“.
• Dokumente und Prüfdaten: hochgeladene Trade-Finance-Dokumente, die daraus gelesenen Felder, Prüfergebnisse, erzeugte Unterlagen, Protokolleinträge.
• Abrechnungsdaten: Rechnungsanschrift, USt-IdNr., Abo- und Zahlungsstatus. Die Zahlungsdaten selbst (Karte, Konto) verarbeitet Mollie.
• Kontaktanfragen: Name, E-Mail-Adresse, auf Wunsch das Unternehmen und die Nachricht aus dem Kontaktformular. Sie werden nicht in der Datenbank gespeichert, sondern als E-Mail an das Postfach der Anbieterin weitergeleitet; eine Kopie geht an die Adresse des Absenders.
• Server-Logdateien: gekürzte IP-Adresse (nur die ersten beiden Blöcke), Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browserkennung. Sie entstehen bei jedem Abruf und dienen dem sicheren Betrieb.
• Technische Cookies und lokaler Speicher: Anmeldesitzung, vertrautes Gerät und Einstellungen der Oberfläche, kein Tracking, siehe Cookie-Richtlinie.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung der Plattform, Dokumentenprüfung, Erzeugung von Unterlagen — Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Rechnungsstellung und steuerliche Aufbewahrung — Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.
• Sanktions- und Embargoprüfung der in Dokumenten genannten Parteien — im Auftrag des Kunden (Abschnitt 2); der Kunde stützt sie als Verantwortlicher auf Art. 6 Abs. 1 lit. c DSGVO i. V. m. den EU-Sanktionsverordnungen (u. a. VO (EU) 269/2014, 833/2014) und auf Art. 6 Abs. 1 lit. f DSGVO.
• Sicherer Betrieb, Abwehr von Missbrauch, Server-Logdateien — Art. 6 Abs. 1 lit. f DSGVO.
• Beantwortung von Kontaktanfragen — Art. 6 Abs. 1 lit. f DSGVO.
• Einführungs-E-Mails an neu registrierte Nutzer — Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG; jederzeit widersprechbar über den Link in jeder Mail.
• Monatlicher Newsletter — Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Als Nachweis (Art. 7 Abs. 1 DSGVO) speichert die Anbieterin Zeitpunkt und IP-Adresse. Widerruf jederzeit über den Link im Newsletter.

5. Auftragsverarbeiter der Anbieterin

Mit den drei folgenden Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO; sie sind jeweils Bestandteil der Geschäftsbedingungen des Dienstleisters. Die Verarbeitung findet in der Europäischen Union statt.

• IONOS SE, Montabaur (Deutschland) — Server, Datenbank und Dokumentenspeicher, Rechenzentrum Frankfurt am Main.
• Mistral AI SAS, Paris (Frankreich) — Auslesen von Feldern aus Dokumenten, Antworten der Trade-Expertin Mondo (KI) und Zweitmeinungen zu Befunden, jeweils über den EU-Endpunkt. Die Dokumente der Kunden werden nicht zum Training von Modellen verwendet; Mistral bewahrt die Anfragen bis zu 30 Tage zur Erkennung von Missbrauch auf und löscht sie dann.
• Sendinblue GmbH / Brevo (Deutschland, Muttergesellschaft Frankreich) — Versand von E-Mails, auch der Nachrichten aus dem Kontaktformular, sowie Empfang von E-Mails an die Eingangsadresse des Kunden für Dokumente.

Zahlungen wickelt die Mollie B.V., Amsterdam (Niederlande), ab. Mollie ist ein zugelassenes Zahlungsinstitut und verarbeitet die Zahlungsdaten als eigenständig Verantwortliche, nicht im Auftrag der Anbieterin; es gilt die Datenschutzerklärung von Mollie. Die Anbieterin übermittelt dazu Name, E-Mail-Adresse, Betrag und die Bezeichnung des Tarifs (Art. 6 Abs. 1 lit. b DSGVO). Karten- und Kontodaten gibt der Nutzer direkt bei Mollie ein.

Abgleich bekannter Dokumentvorlagen

Zum Schutz vor Dokumentenbetrug bildet die Plattform von jedem hochgeladenen Dokument zwei Prüfsummen (SHA-256): eine über die Datei und eine über die Struktur des Textes, aus der zuvor Namen, Zahlen, Daten, Bankverbindungen und E-Mail-Adressen entfernt wurden. Taucht dieselbe Prüfsumme bei einem anderen Unternehmen auf der Plattform auf, erhält der Kunde einen Hinweis, dass das Dokument oder seine Vorlage schon anderswo vorgelegt wurde. Inhalte, Namen von Unternehmen oder Vorgänge des anderen Unternehmens werden dabei nie angezeigt, nur die Anzahl. Aus einer Prüfsumme lässt sich der Inhalt nicht zurückgewinnen. Die Prüfsummen werden mit dem Vorgang gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die Abwehr von Betrug mit gefälschten oder mehrfach eingereichten Handelsdokumenten.

6. Übermittlung in Drittländer

Alle Dienstleister der Anbieterin haben ihren Sitz in der Europäischen Union, und Speicherung und Verarbeitung finden dort statt. Server, Datenbank und Dokumentenspeicher betreibt ein deutsches Unternehmen (IONOS) in Frankfurt am Main. Eine Übermittlung in Drittländer nimmt die Anbieterin selbst nicht vor. Soweit ein Dienstleister seinerseits Unterauftragnehmer außerhalb der EU einsetzt, ist er vertraglich verpflichtet, dies nur auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) zu tun.

Ausnahme Kartenzahlung: Bei Zahlung per Kreditkarte übermittelt Mollie die für die Autorisierung nötigen Kartendaten an die jeweilige Kartenorganisation (etwa Visa oder Mastercard), die ihren Sitz teils in den USA hat. Das ist zur Durchführung der gewählten Zahlung erforderlich (Art. 49 Abs. 1 lit. b DSGVO). Bei SEPA-Lastschrift und Pay by Bank bleibt die Zahlung innerhalb des europäischen Zahlungsverkehrs.

7. Automatisierte Verarbeitung

Die Plattform prüft Dokumente automatisiert gegen Regelwerke (UCP 600, URDG 758, ISP98, URC 522) und gleicht Namen gegen Sanktionslisten ab. Diese Prüfungen erzeugen Hinweise und Vorschläge. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die gegenüber einer betroffenen Person rechtliche Wirkung entfaltet, findet nicht statt: Ob ein Vorgang eingereicht, freigegeben oder gestoppt wird, entscheidet stets ein Mensch. Jede solche Entscheidung wird mit Name und Zeitpunkt protokolliert.

8. Daten Dritter in den Dokumenten

In hochgeladenen Dokumenten stehen regelmäßig Namen und Kontaktdaten von Geschäftspartnern, Banken und Speditionen. Die Anbieterin verarbeitet sie ausschließlich im Auftrag des Kunden (Abschnitt 2) sowie, soweit gesetzlich geboten, zur Sanktionsprüfung. Eine unmittelbare Information dieser Personen durch die Anbieterin unterbleibt nach Art. 14 Abs. 5 lit. b DSGVO.

9. Speicherdauer

• Konto- und Vorgangsdaten: für die Dauer der Vertragsbeziehung.
• Gelöschte Vorgänge: 30 Tage im Papierkorb, danach endgültig.
• Dokumente der Kunden: werden mit dem Vorgang bzw. dem Konto vollständig gelöscht. Die gesetzliche Aufbewahrung dieser Unterlagen obliegt dem Kunden.
• Rechnungen der Anbieterin: 10 Jahre ab Ablauf des Kalenderjahres (§ 147 AO, § 257 HGB), auch nach einer Kontolöschung; Art. 17 Abs. 3 lit. b DSGVO nimmt sie vom Löschanspruch aus.
• Kontaktanfragen: bis die Anfrage erledigt ist; betrifft sie einen Vertrag, als Handelsbrief 6 Jahre.
• Server-Logdateien: 30 Tage, danach automatisch gelöscht.
• Sicherheitsprotokolle (Anmeldungen, Freigaben): 12 Monate.
• Warteliste: 12 Monate nach dem Eintrag, danach automatisch gelöscht.
• Sicherungen: alle vier Stunden, verschlüsselt, mit einem Rückblick von höchstens 90 Tagen: Was im laufenden Bestand gelöscht wurde, verschwindet spätestens 90 Tage danach auch aus den Sicherungen. Die Rechnungen der Anbieterin sind bis zum Ende ihrer Frist in jeder Sicherung enthalten.

10. Rechte der betroffenen Personen

Betroffene Personen haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21); dazu zählen ausdrücklich die Einführungs-E-Mails. Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3).

Anfragen gehen an info@trade-mondo.com. Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde; für die Anbieterin zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

11. Cookies

Die Plattform verwendet ausschließlich technisch notwendige Cookies; sie bedürfen nach § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung. Tracking-, Marketing- oder Analysewerkzeuge werden nicht eingesetzt. Einzelheiten in der Cookie-Richtlinie.