Datenschutzerklärung

1. Verantwortlicher

Big Boys Company GmbH, Kiehlufer 57, 12059 Berlin, Deutschland (Betreiberin der Plattform CIRRA). Kontakt für Datenschutzanfragen: über unsere Kontaktseite (/contact) oder postalisch an die genannte Anschrift mit dem Betreff „Datenschutz“.

2. Für wen diese Erklärung gilt

Diese Erklärung gilt für Besucher unserer Website, für Nutzer der Plattform (Händler, Produzenten, Lieferanten, Administratoren) und für Endkunden, die über CIRRA bezahlen.

Soweit wir Daten im Auftrag eines Händlers verarbeiten (z. B. Produkt-, Beleg- und Buchhaltungsdaten in dessen Konto), ist der Händler Verantwortlicher und wir sind Auftragsverarbeiter. Anfragen zu diesen Daten richten Sie bitte an den jeweiligen Händler; wir unterstützen ihn dabei.

3. Besuch der Website

Beim Aufruf unserer Seiten verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser-Kennung und Statuscodes. Zweck ist die Auslieferung der Website und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Server-Protokolle werden nach spätestens 12 Monaten gelöscht.

Wir setzen nur technisch notwendige Cookies ein, insbesondere für die Anmeldung (Session-Cookie). Sie sind nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies und keine Tracking-Dienste.

Schriften und Symbole werden von unserem eigenen Server ausgeliefert; beim Seitenaufruf werden keine Daten an Content-Delivery-Netzwerke Dritter übertragen.

4. Registrierung und Nutzerkonto

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als sicherer Hash gespeichert), Rolle, Organisation sowie Anmelde- und Sitzungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Zum Schutz vor automatisierten Angriffen nutzen wir bei Anmeldung und Registrierung den Dienst Cloudflare Turnstile (Cloudflare, Inc., USA). Dabei werden IP-Adresse und technische Browsermerkmale an Cloudflare übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework.

5. Zahlungen über CIRRA

Wenn Sie bei einem Händler über CIRRA bezahlen, verarbeiten wir Betrag, Zahlungsreferenz, Zeitpunkt, Zahlungsstatus und – sofern angegeben – Ihre E-Mail-Adresse für den Beleg. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Aufbewahrung von Buchungsdaten erfolgt nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.

Die Zahlung wird über Ihre Bank ausgelöst. Dafür nutzen wir GoCardless (Kontoinformations- und Zahlungsauslösedienst); Ihre Bankverbindung geben Sie direkt bei Ihrer Bank bzw. GoCardless ein. Die Gutschrift erfolgt über Monerium ehf. (Island, E-Geld-Institut) in einem auf Euro lautenden digitalen Zahlungsmittel.

Die Aufteilung der Zahlung auf Händler, Produzenten und Plattform wird auf der öffentlichen Blockchain Base ausgeführt. Dort werden ausschließlich die Wallet-Adressen der Zahlungsempfänger, die Beträge und eine verschlüsselte Zahlungskennung gespeichert – keine Daten von Endkunden. Blockchain-Einträge sind öffentlich einsehbar und können technisch nicht gelöscht werden.

6. Händler, Produzenten und Lieferanten

Für die Aufnahme als Händler, Produzent oder Lieferant verarbeiten wir Unternehmens- und Ansprechpartnerdaten, Bankverbindung (IBAN, Kontoinhaber), Wallet-Adressen sowie Prüfstatus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit gesetzlich vorgeschrieben Art. 6 Abs. 1 lit. c DSGVO.

Die Identitätsprüfung erfolgt durch IDnow GmbH (München); für die Einrichtung des Zahlungskontos prüft Monerium ehf. die Unternehmensangaben. Ausweisdokumente verbleiben beim jeweiligen Prüfdienst; wir speichern nur das Ergebnis und eine Referenz. Die Freischaltung von Auszahlungen entscheidet ein Mitarbeiter; es findet keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

Auszahlungen an Ihre Bankverbindung erfolgen über Monerium per SEPA-Überweisung.

7. Hochgeladene Dokumente

Rechnungen und Nachweise, die Sie hochladen, können zur automatischen Texterkennung an Mistral AI SAS (Paris, Frankreich) übermittelt werden. Die Verarbeitung erfolgt in der EU in unserem Auftrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Kontakt, Support und E-Mails

Bei Anfragen über das Kontaktformular oder im Support verarbeiten wir Name, E-Mail-Adresse und Ihre Nachricht, um die Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Support-Vorgänge löschen wir 24 Monate nach Abschluss.

Systemnachrichten (z. B. Bestätigungen, Passwort-Zurücksetzen, Belege) versenden wir über einen E-Mail-Dienstleister in unserem Auftrag.

9. Sicherheit und Protokollierung

Zur Erkennung und Aufklärung von Missbrauch protokollieren wir sicherheitsrelevante Ereignisse (z. B. Anmeldeversuche) mit gehashter IP-Adresse und Browser-Kennung sowie administrative Änderungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sicherheitsprotokolle löschen wir nach 12 Monaten, Administrationsprotokolle nach 24 Monaten.

Die Datenübertragung erfolgt verschlüsselt (TLS). Weitere Maßnahmen beschreiben wir in unseren technischen und organisatorischen Maßnahmen, die wir Geschäftskunden auf Anfrage bereitstellen.

10. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein, jeweils nur im erforderlichen Umfang und – soweit sie in unserem Auftrag handeln – auf Grundlage eines Vertrags nach Art. 28 DSGVO:

• Hostinger International Ltd. (Zypern) – Server-Hosting in der EU
• GoCardless – Zahlungsauslösung über Ihre Bank
• Monerium ehf. (Island) – E-Geld, Zahlungskonto, Auszahlungen
• IDnow GmbH (Deutschland) – Identitätsprüfung
• Mistral AI SAS (Frankreich) – Texterkennung in Dokumenten
• Cloudflare, Inc. (USA) – Schutz vor automatisierten Anmeldeversuchen
• Amazon Web Services EMEA SARL (Luxemburg) – Schlüsselverwaltung für Transaktionssignaturen, ohne personenbezogene Daten
• E-Mail-Dienstleister – Versand von Systemnachrichten

Händler erhalten die Daten der bei ihnen getätigten Zahlungen. Eine Weitergabe zu Werbezwecken findet nicht statt.

11. Übermittlung in Drittländer

Eine Übermittlung außerhalb der EU/des EWR erfolgt nur, soweit oben angegeben, und nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. Vereinigtes Königreich, EU-US Data Privacy Framework) oder von Standardvertragsklauseln der EU-Kommission.

12. Speicherdauer

• Kontodaten: bis 12 Monate nach Vertragsende
• Buchungs- und Zahlungsdaten: 10 Jahre (Buchungsbelege 8 Jahre) nach § 257 HGB, § 147 AO; während dieser Zeit gesperrt
• Unterlagen zur Identitätsprüfung, soweit gesetzlich vorgeschrieben: 5 Jahre nach Ende der Geschäftsbeziehung
• Support-Vorgänge: 24 Monate
• Sicherheitsprotokolle: 12 Monate; Administrationsprotokolle: 24 Monate
• Datensicherungen: bis zu 12 Monate (verschlüsselt)

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wir beantworten Anfragen innerhalb eines Monats.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Berliner Beauftragten für Datenschutz und Informationsfreiheit.

14. Pflicht zur Bereitstellung

Für Konto, Zahlung und Auszahlung erforderliche Angaben sind für den Vertragsschluss notwendig; ohne sie können wir den Dienst nicht erbringen. Angaben zur Identitätsprüfung sind gesetzlich bzw. durch unsere regulierten Zahlungspartner vorgeschrieben.