Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlich im Sinne der DSGVO ist die MerhabaTech UG (haftungsbeschränkt) i. G., Borchener Str. 2, 33098 Paderborn, Deutschland, vertreten durch den Geschäftsführer Erdem Oflu.

Datenschutzkontakt: Erdem Oflu, E-Mail datenschutz@merhabaone.com. Ein förmlich bestellter Datenschutzbeauftragter ist derzeit nicht bestellt.

Zuständige Aufsichtsbehörde für den Unternehmenssitz in Nordrhein-Westfalen: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Telefon 0211 38424-0, poststelle@ldi.nrw.de, https://www.ldi.nrw.de.

2. Diese Website (merhabaone.com)

Die Website stellt Produktinformationen sowie Datenschutz-, Nutzungs-, Impressums- und Löschungshinweise bereit. MerhabaOne setzt auf dieser Website keine Marketing-Cookies und keine Analyse- oder Werbe-Tracker ein.

Hosting erfolgt über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA (Vercel Pro). Beim Aufruf können technisch erforderliche Verbindungsdaten verarbeitet werden (insbesondere IP-Adresse, Zeitpunkt, aufgerufene URL, User-Agent, übertragene Datenmenge). Zweck: Auslieferung, Betrieb und Absicherung der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Dabei kann eine Übermittlung in die USA stattfinden. Vercel veröffentlicht eine Datenschutzrichtlinie und einen Auftragsverarbeitungsvertrag (DPA); Vercel ist nach Angaben des Anbieters im EU-US Data Privacy Framework zertifiziert. Details: https://vercel.com/legal/privacy-policy und https://vercel.com/legal/dpa.

DNS und ggf. Proxy können über Cloudflare erfolgen, sobald die Domain produktiv angebunden ist. Cloudflare kann dann ebenfalls Verbindungsdaten als CDN/DNS-Anbieter verarbeiten. Die konkrete Proxy-Konfiguration wird bei Domainfreigabe dokumentiert; bis dahin ist Cloudflare für diese Website nicht als aktiver Inhalts-Host dieser Preview anzunehmen.

Vercel kann auf Preview-Deployments eine eigene Authentifizierungsschicht (Vercel Authentication) und optionale Toolbar-/Feedback-Skripte einsetzen. Das dient dem Zugriffsschutz und der Voransicht, nicht dem Marketing-Tracking durch MerhabaOne.

3. MerhabaOne-App – Konto und Profil

Für die App ist ein Benutzerkonto erforderlich. Authentifizierung erfolgt über den Auth-Dienst von Supabase (E-Mail-OTP sowie Apple- und Google-Anmeldung). Es wird keine MerhabaOne-Telefonnummer als Konto-Login verwendet.

Supabase speichert Kontoidentitäten (insbesondere Benutzer-ID, E-Mail und Anbieter-Identitäten) in den Auth-Systemtabellen. Optional vorgesehen ist ein App-Profil (Anzeigename, Avatar-URL, Sprache, Zeitzone).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Nutzung der App) sowie, soweit erforderlich, Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit).

4. Geräte, Verbindungen und Push

Geräte können mit dem Konto registriert werden (u. a. Plattform, Installationskennungen, Metadaten ohne Geheimnisse). Quellen können gerätegebunden verknüpft werden.

Für entfernte Push-Benachrichtigungen können Gerätekennungen und Push-Tokens (APNs/FCM) sowie Einwilligungszustände pro Quelle gespeichert werden, soweit du Push freigibst. Push kann pilotiert oder abgeschaltet sein; Freigabe im Betriebssystem und in der App sind Voraussetzung.

Rechtsgrundlage für Push: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), widerrufbar über System-/App-Einstellungen und durch Abmelden/Deaktivieren des Geräts.

5. Messaging-Quellen – was tatsächlich verarbeitet wird

WhatsApp und Telegram: Verbindungen sind gerätegebunden. Chat-Inhalte und Sitzungsgeheimnisse verbleiben auf dem Gerät bzw. in den lokalen Client-Speichern. An den MerhabaOne-Backend-Dienst werden für diese Quellen nach dem implementierten Stand nur opake Verbindungsmetadaten übermittelt – keine Chat-Inhalte und keine Sitzungsgeheimnisse.

Facebook Messenger (Seitenpostfach): Wenn du eine Facebook-Seite verbindest, speichert MerhabaOne OAuth-/Seitentokens serverseitig verschlüsselt (AES-GCM-Envelope) und kann Seitennachrichten sowie Konversationsmetadaten über den offiziellen Meta-Pfad verarbeiten und speichern. Persönliche Messenger-Postfächer werden nicht unterstützt. Diese Integration ist technisch vorhanden, aber nicht als allgemein freigegebene Produktionsfunktion zu verstehen.

Instagram Professional: Wenn du ein Professional-/Business-/Creator-Konto verbindest, speichert MerhabaOne OAuth-Tokens serverseitig verschlüsselt und kann Messaging-Ereignisse für freigegebene Konten verarbeiten. Persönliche Consumer-DMs werden nicht unterstützt. Auch diese Integration ist technisch vorbereitet und derzeit nicht als allgemein freigegeben zu verstehen.

Der Bereich Aktivität ist Produktplanung bzw. UI-Vorbereitung und erzeugt keine produktive Datenverarbeitung allein aufgrund von Katalogeinträgen oder Logos.

6. Empfänger und Dienstleister

Supabase (Auth, Datenbank, Edge Functions) – derzeit dokumentierte Entwicklungs-/Cloud-Region: EU (eu-west-1). Supabase verarbeitet Konto-, Verbindungs- und – soweit aktiviert – Relay-Nachrichtendaten im Auftrag des Verantwortlichen.

Meta Platforms Ireland Ltd. / Meta-Dienste: bei verbundenen Facebook-Seiten oder Instagram-Professional-Konten (OAuth, Graph/Webhooks).

Apple (APNs) und Google (Firebase Cloud Messaging), soweit Push aktiviert ist.

Telegram und WhatsApp als Kommunikationsnetze der jeweiligen Anbieter; MerhabaOne betreibt diese Dienste nicht.

Vercel für diese Website (siehe Abschnitt 2).

7. Verschlüsselung und internationale Transfers

Meta-/Instagram-Zugriffstoken werden serverseitig verschlüsselt abgelegt. Nachrichteninhalte im Meta-/Instagram-Relay werden im aktuellen Stand als Klartext in der Datenbank gespeichert. Eine Ende-zu-Ende-Verschlüsselung der Relay-Inhalte zwischen MerhabaOne-Nutzern wird nicht behauptet.

WhatsApp-Chats können auf dem Gerät den von WhatsApp bekannten Transportschutz nutzen; das ersetzt keine MerhabaOne-Cloud-E2EE für Relay-Daten.

Dienstleister mit Sitz oder Infrastruktur außerhalb des EWR (u. a. Meta, Apple, Google, Vercel) können Daten in Drittländer übermitteln. Soweit einschlägig, stützen sich Transfers auf Angemessenheitsbeschlüsse / EU-US Data Privacy Framework, Standardvertragsklauseln oder vergleichbare Garantien der jeweiligen Anbieter. Einzelheiten ergeben sich aus deren Datenschutzdokumenten und den mit ihnen geschlossenen Auftragsverarbeitungsverträgen.

8. Speicherdauer und Löschung

Kontodaten und zugehörige Verbindungsdaten werden verarbeitet, solange das Konto besteht oder die jeweilige Verbindung aktiv ist, und danach gelöscht oder eingeschränkt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Server- und CDN-Protokolle der Website-Hosts werden nach den Fristen der Anbieter für Betrieb und Sicherheit vorgehalten.

Ein vollautomatischer Self-Service zur vollständigen Kontolöschung ist derzeit nicht implementiert. Du kannst Verbindungen in der App trennen und Löschanfragen an datenschutz@merhabaone.com richten (siehe Seite Datenlöschung). Das Trennen einer Meta-/Instagram-Verbindung entfernt Bindungen und Tokens im vorgesehenen Umfang; eine vollständige Löschung historischer Relay-Nachrichten ist damit nicht automatisch nachgewiesen und wird auf Anfrage geprüft.

9. Rechte der betroffenen Personen

Du hast nach Maßgabe der DSGVO insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Einwilligungen kannst du widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Anfragen: datenschutz@merhabaone.com. Wir prüfen die Identität angemessen und antworten in der Regel innerhalb eines Monats (Art. 12 Abs. 3 DSGVO); die Frist kann um weitere zwei Monate verlängert werden, wenn die Anfrage komplex ist – darüber wirst du informiert.

Beschwerde: bei der LDI NRW (siehe Abschnitt 1) oder einer anderen zuständigen Aufsichtsbehörde.

Es findet keine ausschließlich automatisierte Entscheidungsfindung mit Rechtswirkung im Sinne von Art. 22 DSGVO statt.