Datenschutzerklärung

1. Verantwortlicher

maqia ai („MAQIA“, „wir“, „uns“) ist der Verantwortliche für die Verarbeitung personenbezogener Daten, die über unsere Beschaffungsplattform und unsere öffentliche Website erfolgt. Sollte Ihnen etwas in dieser Erklärung unklar sein – oder möchten Sie eines Ihrer Rechte nach der DSGVO geltend machen – schreiben Sie uns einfach eine E-Mail, und ein echter Mensch wird Ihnen antworten.

maqia ai
E-Mail: privacy@maqia.eu

2. Welche personenbezogenen Daten wir erheben

Wir erheben ausschließlich die Daten, die wir benötigen, um den Dienst zu betreiben, Ihnen Rechnungen zu stellen und die Plattform sicher zu halten:

• Kontodaten – Ihr Name, Ihre geschäftliche E-Mail-Adresse, Ihr Unternehmen und Ihre Funktion.
• Abrechnungsdaten – Firmenname, Umsatzsteuer-Identifikationsnummer, Rechnungsanschrift sowie Angaben zum Zahlungsmittel (verarbeitet durch Stripe; siehe Abschnitt 4).
• Nutzungsdaten – Mandantenaktivitäten, die von Ihnen erstellten Beschaffungsdokumente sowie Funktionsinteraktionen innerhalb der Plattform.
• Technische Daten – IP-Adresse, User-Agent und Session-Cookies, die erforderlich sind, um Sie angemeldet zu halten und die Plattform vor Missbrauch zu schützen.
• Kommunikation – sämtliche Inhalte, die Sie uns über den Support, Feedback-Formulare oder per E-Mail zusenden.

3. Rechtsgrundlagen der Verarbeitung

Gemäß Art. 6 DSGVO stützen wir uns für jede Datenkategorie auf die folgende konkrete Rechtsgrundlage:

• Kontodaten – Erfüllung des Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).
• Abrechnungsdaten – Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) in Verbindung mit unserer gesetzlichen Pflicht zur Führung steuerrelevanter Aufzeichnungen (Art. 6 Abs. 1 lit. c DSGVO).
• Nutzungsdaten – unser berechtigtes Interesse am Betrieb, an der Absicherung und an der Weiterentwicklung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
• Marketingkommunikation (sofern einschlägig) – Ihre Einwilligung, die Sie jederzeit widerrufen können (Art. 6 Abs. 1 lit. a DSGVO).

4. Zahlungsabwicklung & Stripe

Wenn Sie auf einen kostenpflichtigen Tarif wechseln, nutzen wir Stripe Payments Europe, Limited (Irland) als Zahlungsdienstleister. Stripe erhebt und verarbeitet in unserem Auftrag Ihren Namen, Ihre Rechnungs-E-Mail-Adresse, Ihre Rechnungsanschrift, Ihre Umsatzsteuer-Identifikationsnummer sowie Angaben zum Zahlungsmittel, um den Vertrag mit Ihnen zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO) und um unseren steuerlichen Pflichten nachzukommen (Art. 6 Abs. 1 lit. c DSGVO).

MAQIA erhält oder speichert zu keinem Zeitpunkt Ihre vollständige Kartennummer oder den CVV. Sämtliche Zahlungsdaten werden durch Stripe tokenisiert.

Stripe kann in begrenztem Umfang personenbezogene Daten an die Stripe, Inc. in den Vereinigten Staaten übermitteln – auf Grundlage des EU-US Data Privacy Framework sowie der Standardvertragsklauseln der Europäischen Kommission. Stripe ist nach dem Data Privacy Framework selbstzertifiziert.

Stripe setzt eine automatisierte Betrugspräventionstechnologie ein (Stripe Radar). Sollte eine Zahlung abgelehnt worden sein und Sie halten dies für einen Fehler, wenden Sie sich bitte an billing@maqia.eu für eine Überprüfung durch einen Menschen (Art. 22 Abs. 2 lit. a und Abs. 3 DSGVO).

Datenschutzerklärung von Stripe: stripe.com/privacy

5. Unterauftragsverarbeiter

Dies sind die Dritten, die personenbezogene Daten in unserem Auftrag verarbeiten. Wir halten diese Liste bewusst kurz – und werden sie hier aktualisieren, bevor wir einen neuen Unterauftragsverarbeiter hinzufügen.

6. Wie lange wir Ihre Daten speichern

Wir speichern Daten nur so lange, wie wir sie benötigen oder wie es gesetzlich vorgeschrieben ist:

• Kontodaten – werden innerhalb von 30 Tagen nach Schließung des Kontos gelöscht, sofern wir nicht aufgrund gesetzlicher Verpflichtungen zur weiteren Aufbewahrung verpflichtet sind.
• Abrechnungsunterlagen – werden für 10 Jahre aufbewahrt, wie es Art. 52 des portugiesischen CIVA und Art. 66 des spanischen LGT (Steuerrecht) sowie § 147 AO (10 Jahre Aufbewahrungsfrist für steuerrelevante Unterlagen in Deutschland) vorschreiben, und anschließend dauerhaft gelöscht.
• Nutzungsprotokolle – 90 Tage im rollierenden Verfahren.
• Audit-Protokolle – 2 Jahre, um unseren Sicherheitspflichten gemäß Art. 32 DSGVO nachzukommen.
• Nachweise über Marketing-Einwilligungen – bis zum Widerruf Ihrer Einwilligung.

7. Ihre Rechte nach der DSGVO

Sofern Sie sich im EWR oder im Vereinigten Königreich befinden, stehen Ihnen in Bezug auf Ihre personenbezogenen Daten die folgenden Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO) – Sie können uns fragen, welche Daten wir über Sie speichern.
• Recht auf Berichtigung (Art. 16 DSGVO) – unrichtige Angaben können korrigiert werden.
• Recht auf Löschung (Art. 17 DSGVO) – Löschung Ihrer Daten, vorbehaltlich der oben beschriebenen steuerlichen Aufbewahrungsfristen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) – Aussetzung der Verarbeitung, während wir eine Beschwerde prüfen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) – Herausgabe Ihrer Daten in einem maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21 DSGVO) – Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen, oder gegen Direktwerbung.
• Recht auf Widerruf der Einwilligung – jederzeit möglich, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Um eines dieser Rechte auszuüben, senden Sie uns eine E-Mail an privacy@maqia.eu. Wir antworten Ihnen innerhalb von 30 Tagen.

Ihnen steht zudem das Recht zu, Beschwerde bei einer Aufsichtsbehörde einzulegen. In Portugal ist dies die Comissão Nacional de Proteção de Dados – cnpd.pt. In Spanien ist es die Agencia Española de Protección de Datos – aepd.es. Soweit eine deutsche Aufsichtsbehörde zuständig ist, ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) bzw. die zuständige Landesdatenschutzbehörde der Ansprechpartner.

8. Internationale Datenübermittlungen

Standardmäßig verbleiben Ihre Daten innerhalb der Europäischen Union. Die wesentliche Ausnahme ist Stripe, das wie in Abschnitt 4 beschrieben in begrenztem Umfang Abrechnungsdaten auf Grundlage des EU-US Data Privacy Framework sowie der Standardvertragsklauseln in die Vereinigten Staaten übermitteln kann. Wir übermitteln personenbezogene Daten an keine weiteren Orte, ohne dies zuvor hier offenzulegen.

9. Sicherheit

Wir nehmen Art. 32 DSGVO ernst. Zu unseren Mindeststandards gehören:

• Verschlüsselung bei der Übertragung (TLS 1.2+) und bei der Speicherung.
• Zwei-Faktor-Authentifizierung sowie optionale organisationsweite Durchsetzung der MFA.
• Audit-Protokollierung sensibler administrativer Vorgänge.
• Zugriffskontrollen nach dem Prinzip der geringsten Rechte sowie mandantenbezogene Isolation auf Zeilenebene.
• Ein dokumentierter Incident-Response-Plan und eine Meldung von Datenschutzverletzungen innerhalb von 72 Stunden an CNPD / AEPD gemäß Art. 33 DSGVO.

10. Cookies

Wir verwenden Cookies für die Authentifizierung, Zahlungsabwicklung, Betrugsprävention und – mit Ihrer Einwilligung – für Analysezwecke. Über das Cookie-Banner am unteren Seitenrand können Sie Ihre Präferenzen verwalten; eine vollständige Liste der Kategorien finden Sie im Cookie-Bereich unseres Einwilligungsdialogs.

11. Kinder

MAQIA ist ein B2B-Dienst und richtet sich nicht an Personen unter 16 Jahren. Sollten Sie der Auffassung sein, dass wir versehentlich Daten eines Kindes erhoben haben, schreiben Sie uns an privacy@maqia.eu, und wir werden diese löschen.

12. Änderungen dieser Datenschutzerklärung

Sollten wir wesentliche Änderungen an dieser Erklärung vornehmen, informieren wir Sie mindestens 30 Tage vor deren Inkrafttreten per E-Mail und/oder innerhalb der Plattform. Unwesentliche Klarstellungen (Tippfehler, Formatierung) können jederzeit vorgenommen werden.

13. Kontakt

Für alle datenschutzbezogenen Anliegen erreichen Sie uns unter einer der folgenden Adressen:

Anfragen betroffener Personen: privacy@maqia.eu
Fragen zu Abrechnung & Stripe: billing@maqia.eu
Datenschutzbeauftragter: dpo@maqia.eu

Hinweis: MAQIA ist möglicherweise nicht förmlich verpflichtet, gemäß Art. 37 DSGVO einen Datenschutzbeauftragten zu benennen. Sofern keine Benennungspflicht besteht, wird diese Adresse durch unser Datenschutzteam betreut.