1. Controller
Pareshkumar Shantilal Mistri Einzelunternehmen
Bremer Weg 13, 04158 Leipzig, Deutschland
Privacy contact: support@mistribrothersmarket.de
A data protection officer is identified here only if one has been appointed.
2. Who this policy covers
This policy covers customers, website visitors, merchants and merchant applicants, couriers, support users and other people whose data is processed through the marketplace. Additional notices may apply to individual functions.
3. Categories of data
- Account and profile data: name, email, telephone number, language and account role.
- Order and contract data: basket, merchant, products, quantities, prices, discounts, order status, complaints and refunds.
- Delivery data: recipient, address, telephone number, delivery instructions, delivery status and necessary handover evidence.
- Payment data: payment status, provider references, refund and transaction metadata. Full card numbers and CVV are not stored in our marketplace database.
- Merchant data: business identity, address, register and tax information, contacts, roles, permissions, catalogues, compliance, settlement and operational records.
- Application and onboarding data: partner applications, requested evidence, review status, internal checks and communications.
- Courier data: contact information, status, delivery assignments and information needed for delivery.
- Support and communications: messages, categories, timestamps, handling status and relevant supporting evidence.
- Technical and security data: sessions, authentication events, device and browser information, security events and necessary logs.
- Consent and preferences: cookie or technology choices and consent that has been expressly given or withdrawn.
4. Purposes and legal bases
- Article 6(1)(b) GDPR: performing contracts and pre-contractual steps, including accounts, orders, merchant applications, payments, delivery and support.
- Article 6(1)(c) GDPR: legal obligations, including tax, commercial, consumer, product, safety and compliance duties.
- Article 6(1)(f) GDPR: legitimate interests in fraud prevention, IT security, abuse protection, evidence, reliable operation and appropriate business management, unless the individual's interests override them.
- Article 6(1)(a) GDPR: consent for optional technologies or marketing where consent is required. Withdrawal applies to future processing.
5. Recipients and service providers
- Data is shared only as needed for the relevant function.
- Merchants receive information needed for orders, customer service and their legal obligations.
- Couriers receive only delivery information needed for the specific assignment.
- Vercel provides application hosting and delivery.
- Supabase provides the database, authentication and protected file storage.
- Stripe processes online payments and, with customer permission, securely stores payment methods.
- Resend sends enabled transactional messages, such as account, application, document-request and support emails, and confirmed newsletters.
- Photon and OpenStreetMap Nominatim provide address search and geocoding. The entered address is sent to the relevant service as needed for the requested address and delivery function.
- OpenAI and other expressly configured technical providers are used only for active functions. Unnecessary customer data should not be sent to merchant AI functions.
- Authorities, courts or other bodies receive information where there is a legal duty or another lawful basis.
6. Merchant and platform responsibilities
A merchant selling goods may be a separate controller for its seller, customer-service, tax, product and legal duties. Mistri Brothers Market is responsible for its own platform, account, support, security, payment and, where applicable, delivery processes. The allocation depends on the specific processing.
7. International transfers
If a provider processes personal data outside the European Economic Area, transfers take place only on an applicable GDPR basis, such as an adequacy decision or appropriate safeguards including standard contractual clauses. The applicable basis depends on the provider and configuration actually used.
8. Retention
We retain data only as long as needed for its purpose. Legal retention requirements and unresolved payment, warranty, fraud, security or legal matters may require longer retention. Data is then deleted or anonymised unless another legal basis remains.
Partner application records are not kept indefinitely. Necessary evidence has its own review and, where applicable, expiry or deletion periods. Rejected applications and unnecessary documents should be removed under the retention policy.
9. Security
We use technical and organisational measures to protect data against unauthorised access, loss, alteration or disclosure. Merchant, platform and support access is restricted by role and permission. Significant changes and security events may be logged.
Never send passwords, full card numbers or CVV through support or free-text fields.
10. Cookies and similar technologies
Necessary storage supports basket, sign-in, checkout, security and your privacy choice. Optional statistics, usability analysis and diagnostics run only after your separate choice. Change Cookie preferences in the footer at any time. The optional website measurement section describes the data and providers.
11. Automated decisions and profiling
We do not make solely automated decisions with legal or similarly significant effects unless expressly described for a particular function and legally permitted. Technical fraud or risk signals may prioritise a human review.
12. Your privacy rights
- Access to your personal data and the information provided by law.
- Correction of inaccurate data and completion of incomplete data.
- Erasure or restriction where the legal conditions are met.
- Portability for processing to which that right applies.
- Objection to processing based on legitimate interests; direct marketing carries a separate right to object.
- Withdrawal of consent at any time for future processing.
- Complaint to a competent data protection authority.
13. Requests and identity checks
Exercise your rights through our Privacy Centre or by contacting support@mistribrothersmarket.de. We may request additional information where reasonably needed to verify the requester's identity. Only information necessary for verification should be requested.
We handle requests within statutory deadlines and notify you if an exceptional extension is lawful and necessary.
14. Data protection authority
You may complain to a competent data protection authority. The authority responsible for our operator must be configured in Platform Admin and published before launch.
15. Advertising and measurement
Optional website measurement requires voluntary consent. Providers, purposes and data flows are explained below; the current cookie settings show configured services. This does not provide newsletter consent or enable advertising personalisation.
16. Newsletters and promotional emails
Promotional emails require separate newsletter signup and email confirmation. Cookie choices, account creation and acceptance of customer terms do not replace this consent. The legal basis is Article 6(1)(a) GDPR together with section 7 UWG.
We process email address, language, consent text and version, request and confirmation timestamps and unsubscribe status. Resend delivers these messages. Every newsletter offers free unsubscribe without signing in. Unsubscribing does not affect necessary order or account messages. Consent records and suppression entries are retained only as needed to demonstrate consent and honour an objection to marketing.
17. Changes
We update this policy when significant processing, providers or legal requirements change. The date on this page indicates its current version.
Optional website measurement
Statistics, usability analysis and technical diagnostics are separate choices and stay off until you give voluntary consent. The legal bases are Article 6(1)(a) GDPR and section 25(1) TDDDG. Refusal does not affect shopping. Change or withdraw your choice at any time in the footer. New providers require a new choice. Newsletters require separate signup and email confirmation.
Our own statistics and storage
After consent we measure a random session identifier, timestamps, general page categories, device class, language, a broad source category and named shopping steps. These include public store and product identifiers, quantities, basket values, delivery problems and fixed error codes. Confirmed orders and paid purchases are checked against our order and payment records; an internal order identifier prevents double counting. These statistics receive no customer account identifier, name, email, address, search text, form input, payment details or chat messages.
Events are stored in our Supabase database and available only to authorised administrators. A daily job deletes events older than 30 days. Your privacy choice is stored for up to 180 days in the signed mbm_measurement_consent cookie and mbm-measurement-consent-v1 local-storage entry. A random measurement session and source category use session storage only after optional consent. Abuse protection uses a daily rotating HMAC of the technical IP address, deleted after two days. Our statistics do not store the raw IP address. Necessary hosting and security logs are separate.
External measurement services – only when configured and chosen
- Google Analytics 4, Google Ireland Limited: optional source, page and shopping statistics. Our events use cleaned page categories without URL queries or freely entered text. Google signals, advertising storage and ad personalisation are not enabled. Possible cookies: _ga and _ga_…; this site sets a lifetime of up to 180 days. Retention at Google is configured in the relevant project.
- Microsoft Clarity, Microsoft Ireland Operations Limited: separately chosen heatmaps and masked session recordings on home and store pages without URL queries. Page text is masked; checkout, accounts, authentication and staff areas are excluded from replay. Possible cookies: _clck, _clsk and Microsoft cookies according to the consent granted. Retention depends on the project and provider terms.
- Sentry, Functional Software, Inc.: optional technical error diagnostics with cleaned stack asset files and line numbers. Error messages, form data, user profiles, request contents and breadcrumbs are removed. Retention depends on the Sentry project. The current cookie settings show which of these providers are available.
- When external services are chosen, necessary connection data, such as IP address and browser information, is transmitted to the provider. Processing outside the EEA is possible; recipients and safeguards depend on the applicable provider and processing agreements. Further information: policies.google.com/privacy, privacy.microsoft.com/privacystatement and sentry.io/privacy/.
Original German wording
1. Verantwortlicher
Pareshkumar Shantilal Mistri Einzelunternehmen
Bremer Weg 13, 04158 Leipzig, Deutschland
Datenschutzkontakt: support@mistribrothersmarket.de
Ein Datenschutzbeauftragter wird an dieser Stelle nur genannt, wenn einer bestellt ist.
2. Für wen diese Erklärung gilt
Diese Datenschutzerklärung gilt für Kunden, Besucher der Website, Händler und Händlerbewerber, Kuriere, Support-Nutzer sowie andere Personen, deren Daten über den Marktplatz verarbeitet werden. Für einzelne Funktionen können zusätzliche Hinweise angezeigt werden.
3. Datenkategorien
- Konto- und Stammdaten: Name, E-Mail-Adresse, Telefonnummer, Sprache und Kontorolle.
- Bestell- und Vertragsdaten: Warenkorb, Händler, Produkte, Mengen, Preise, Rabatte, Bestellstatus, Reklamationen und Erstattungen.
- Lieferdaten: Empfängername, Lieferadresse, Telefonnummer, Lieferhinweise, Zustellstatus und erforderliche Übergabenachweise.
- Zahlungsdaten: Zahlungsstatus, Zahlungsanbieter-Referenzen, Erstattungs- und Transaktionsmetadaten. Vollständige Kartennummern und CVV werden nicht in unserer Marktplatzdatenbank gespeichert.
- Händlerdaten: Geschäftsidentität, Anschrift, Register-/Steuerinformationen, Ansprechpartner, Rollen, Berechtigungen, Katalog-, Compliance-, Abrechnungs- und Betriebsdaten.
- Bewerbungs- und Onboardingdaten: Partneranträge, angeforderte Nachweise, Prüfstatus, interne Prüfschritte und Kommunikation.
- Kurierdaten: Kontaktdaten, Status, Zuordnung zu Lieferungen und erforderliche Zustellinformationen.
- Support- und Kommunikationsdaten: Nachrichten, Kategorien, Zeitpunkte, Bearbeitungsstatus und sachbezogene Nachweise.
- Technische und Sicherheitsdaten: Sitzungsdaten, Login-/Authentifizierungsereignisse, Geräte-/Browserinformationen, Sicherheitsereignisse und technisch erforderliche Protokolle.
- Einwilligungs- und Präferenzdaten: Cookie-/Technologieauswahl sowie ausdrücklich erteilte oder widerrufene Einwilligungen.
4. Zwecke und Rechtsgrundlagen
- Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung und vorvertragliche Maßnahmen, insbesondere Konto, Bestellung, Händlerbewerbung, Zahlung, Lieferung und Support.
- Art. 6 Abs. 1 lit. c DSGVO: gesetzliche Pflichten, insbesondere Steuer-/Handelsrecht, Verbraucher-, Produkt-, Sicherheits- und Compliancepflichten.
- Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen an Betrugsprävention, IT-Sicherheit, Missbrauchsschutz, Beweissicherung, zuverlässigem Plattformbetrieb und angemessener Geschäftssteuerung, soweit keine überwiegenden Interessen der betroffenen Person entgegenstehen.
- Art. 6 Abs. 1 lit. a DSGVO: Einwilligung für optionale Technologien oder Marketing, wenn eine Einwilligung erforderlich ist. Ein Widerruf wirkt für die Zukunft.
5. Empfänger und Dienstleister
Personenbezogene Daten werden nur soweit erforderlich an Empfänger weitergegeben, die für die jeweilige Funktion benötigt werden.
- Händler erhalten die für Bestellung, Kundenservice und gesetzliche Händlerpflichten erforderlichen Informationen.
- Kuriere erhalten nur die für die konkrete Zustellung erforderlichen Lieferinformationen.
- Vercel wird für Hosting und Auslieferung der Webanwendung eingesetzt.
- Supabase wird für Datenbank, Authentifizierung und geschützten Dateispeicher eingesetzt.
- Stripe wird für Online-Zahlungsabwicklung und – wenn vom Kunden freigegeben – sichere Speicherung von Zahlungsmethoden eingesetzt.
- Resend wird für transaktionale Kontonachrichten, Bewerbungs- und Supportnachrichten sowie gesondert bestätigte Newsletter eingesetzt.
- Photon und OpenStreetMap Nominatim werden für die Adresssuche und Geokodierung verwendet. Dazu wird die eingegebene Adresse an den jeweiligen Dienst übermittelt, soweit dies für die angeforderte Adress- und Lieferfunktion erforderlich ist.
- OpenAI und gegebenenfalls weitere ausdrücklich konfigurierte technische Anbieter werden nur für aktiv genutzte Funktionen eingesetzt; unnötige Kundendaten sollen nicht an Händler-AI-Funktionen übermittelt werden.
- Behörden, Gerichte oder andere Stellen erhalten Daten nur, wenn eine rechtliche Verpflichtung oder eine sonstige Rechtsgrundlage besteht.
6. Händler und Plattform als Verantwortliche
Soweit ein Händler Waren über den Marktplatz verkauft, kann der Händler für eigene Verkäufer-, Kundenservice-, Steuer-, Produkt- und gesetzliche Pflichten selbst datenschutzrechtlich Verantwortlicher sein. Mistri Brothers Market ist für die eigenen Plattform-, Konto-, Support-, Sicherheits-, Zahlungs- und gegebenenfalls Lieferprozesse verantwortlich. Die konkrete Rollenverteilung richtet sich nach dem jeweiligen Verarbeitungsvorgang.
7. Drittlandübermittlungen
Wenn ein Dienstleister personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, erfolgt die Übermittlung nur auf einer anwendbaren Grundlage der DSGVO, etwa einem Angemessenheitsbeschluss oder geeigneten Garantien wie Standardvertragsklauseln. Welche Grundlage gilt, hängt vom tatsächlich eingesetzten Anbieter und dessen Konfiguration ab.
8. Speicherdauer
Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie sie für den jeweiligen Zweck benötigt werden. Gesetzliche Aufbewahrungsfristen, offene Zahlungs-, Gewährleistungs-, Betrugs-, Sicherheits- oder Rechtsfälle können eine längere Speicherung erfordern. Daten werden anschließend gelöscht oder anonymisiert, soweit keine weitere Rechtsgrundlage besteht.
Partnerbewerbungsunterlagen werden nicht unbegrenzt aufbewahrt. Erforderliche Nachweise erhalten eigene Prüf- und gegebenenfalls Ablauf-/Löschfristen. Abgelehnte Bewerbungen und nicht mehr erforderliche Unterlagen sollen nach dem festgelegten Aufbewahrungskonzept entfernt werden.
9. Sicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen unbefugten Zugriff, Verlust, Veränderung oder Offenlegung zu schützen. Zugriffe auf Händler-, Plattform- und Supportfunktionen werden rollen- und berechtigungsbezogen beschränkt; wichtige Änderungen und Sicherheitsereignisse können protokolliert werden.
Bitte übermitteln Sie über Support- oder Freitextfelder niemals Passwörter, vollständige Kartennummern oder CVV.
10. Cookies und ähnliche Technologien
Erforderliche Speicherung unterstützt Warenkorb, Anmeldung, Checkout, Sicherheit und Ihre Datenschutzwahl. Optionale Statistik, Bedienungsanalyse und Diagnose werden nur nach Ihrer gesonderten Auswahl aktiviert. Im Footer können Sie die Cookie-Einstellungen jederzeit ändern. Die Details zu Daten und Anbietern stehen im Abschnitt zur optionalen Website-Messung.
11. Automatisierte Entscheidungen und Profiling
Wir treffen keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung, sofern dies nicht ausdrücklich für eine konkrete Funktion beschrieben und rechtlich zulässig ist. Technische Betrugs- oder Risikosignale können zur Priorisierung einer menschlichen Prüfung genutzt werden.
12. Ihre Datenschutzrechte
- Auskunft über verarbeitete personenbezogene Daten und die gesetzlich vorgesehenen Informationen.
- Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten.
- Löschung, soweit die gesetzlichen Voraussetzungen erfüllt sind.
- Einschränkung der Verarbeitung, soweit die gesetzlichen Voraussetzungen erfüllt sind.
- Datenübertragbarkeit für dafür geeignete Verarbeitungen.
- Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen; bei Direktwerbung besteht ein gesondertes Widerspruchsrecht.
- Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft.
- Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde.
13. Datenschutzanfragen und Identitätsprüfung
Datenschutzrechte können über unser Privacy Centre oder an support@mistribrothersmarket.de geltend gemacht werden. Wir können zusätzliche Informationen verlangen, wenn dies erforderlich ist, um die Identität der anfragenden Person angemessen zu prüfen. Es sollen dabei nur die zur Verifikation erforderlichen Daten angefordert werden.
Wir bearbeiten Datenschutzanfragen innerhalb der gesetzlichen Fristen und informieren, wenn eine Fristverlängerung ausnahmsweise zulässig und erforderlich ist.
14. Zuständige Datenschutzaufsicht
Sie können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren. Die für unseren Betreiber konkret zuständige Behörde wird im Platform Admin hinterlegt und vor öffentlichem Start veröffentlicht.
15. Werbepartner und Messdienste
Optionale Website-Messung wird nur nach freiwilliger Einwilligung aktiviert. Anbieter, Zwecke und Datenflüsse werden unten erläutert; die aktuellen Cookie-Einstellungen zeigen die eingerichteten Dienste. Eine Newsletter-Einwilligung oder Werbepersonalisierung ergibt sich daraus nicht.
16. Newsletter und Werbe-E-Mails
Werbe-E-Mails werden nur nach gesonderter Newsletter-Anmeldung und Bestätigung der E-Mail-Adresse versendet. Cookie-Einstellungen, Kontoerstellung und die Zustimmung zu Kundenbedingungen ersetzen diese Einwilligung nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 UWG.
Wir verarbeiten die E-Mail-Adresse, Sprache, den Einwilligungstext und dessen Version, Anmelde- und Bestätigungszeitpunkt sowie den Abmeldestatus. Der Versand erfolgt über Resend. Jeder Newsletter enthält eine kostenlose Abmeldemöglichkeit ohne Anmeldung im Kundenkonto. Eine Abmeldung hat keinen Einfluss auf erforderliche Bestell- oder Kontonachrichten. Einwilligungsnachweise und Sperrvermerke werden nur so lange gespeichert, wie dies zur Nachweisführung und zur Beachtung des Werbewiderspruchs erforderlich ist.
17. Änderungen dieser Datenschutzerklärung
Wir aktualisieren diese Datenschutzerklärung, wenn sich wesentliche Verarbeitungsvorgänge, eingesetzte Dienste oder rechtliche Anforderungen ändern. Das am Seitenende angegebene Datum zeigt den aktuellen Stand.
Optionale Website-Messung
Statistik, Bedienungsanalyse und technische Diagnose sind unabhängig wählbar und bis zu Ihrer freiwilligen Einwilligung ausgeschaltet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ablehnen beeinträchtigt den Einkauf nicht. Im Footer können Sie Ihre Auswahl jederzeit ändern oder widerrufen. Neue Anbieter erfordern eine neue Auswahl. Newsletter benötigen eine getrennte Anmeldung und E-Mail-Bestätigung.
Eigene Statistik und Speicherung
Nach Einwilligung messen wir eine zufällige Sitzungskennung, Zeitpunkte, allgemeine Seitenkategorien, Geräteklasse, Sprache, eine grobe Herkunftskategorie und benannte Einkaufsschritte. Dazu gehören öffentliche Shop- und Produktkennungen, Mengen, Warenwerte, Lieferprobleme und feste Fehlercodes. Bestätigte Bestellungen und bezahlte Käufe werden anhand unserer Bestell- und Zahlungsdaten geprüft; die interne Bestellkennung dient der Vermeidung von Doppelzählungen. Die Statistik erhält keine Kundenkontokennung, Namen, E-Mail, Adresse, Suchtexte, Formulareingaben, Zahlungsdaten oder Chatnachrichten.
Die Ereignisse liegen in unserer Supabase-Datenbank und sind nur für berechtigte Administratoren sichtbar. Sie werden nach 30 Tagen täglich gelöscht. Die Datenschutzwahl liegt bis zu 180 Tage im signierten Cookie mbm_measurement_consent und im lokalen Schlüssel mbm-measurement-consent-v1. Zufällige Mess-Sitzung und Herkunft werden nur bei optionaler Einwilligung im Sitzungsspeicher geführt. Zur Missbrauchsbegrenzung verwenden wir einen täglich wechselnden HMAC-Wert aus der technischen IP-Adresse; dieser wird nach zwei Tagen gelöscht. Die Statistik speichert die IP-Adresse nicht im Klartext. Erforderliche Hosting- und Sicherheitsprotokolle sind davon getrennt.
Externe Messdienste – nur soweit eingerichtet und gewählt
- Google Analytics 4, Google Ireland Limited: optionale Statistik zu Herkunft, Seiten und Einkaufsschritten. Unsere Ereignisse verwenden bereinigte Seitenkategorien ohne URL-Abfragen und keine frei eingegebenen Texte. Google-Signale, Werbespeicherung und Werbepersonalisierung werden nicht freigegeben. Mögliche Cookies: _ga und _ga_…; die Website setzt eine Laufzeit von bis zu 180 Tagen. Datenaufbewahrung bei Google wird im jeweiligen Projekt eingestellt.
- Microsoft Clarity, Microsoft Ireland Operations Limited: gesondert wählbare Heatmaps und maskierte Sitzungsaufzeichnungen auf Start- und Shopseiten ohne URL-Abfragen. Textinhalte werden maskiert; Checkout, Konto, Anmeldung und Mitarbeiterbereiche werden nicht aufgezeichnet. Mögliche Cookies: _clck, _clsk sowie Microsoft-Cookies nach der gewählten Einwilligung. Die Datenaufbewahrung richtet sich nach dem Projekt und den Anbieterbedingungen.
- Sentry, Functional Software, Inc.: optionale technische Fehlerdiagnose mit bereinigten Stack-Dateien und Zeilennummern. Fehlermeldungstexte, Formulardaten, Nutzerprofile, Anfrageinhalte und Breadcrumbs werden entfernt. Datenaufbewahrung richtet sich nach dem Sentry-Projekt. Die genaue Verfügbarkeit dieser Anbieter sehen Sie in den aktuellen Cookie-Einstellungen.
- Bei gewählten externen Diensten werden technisch notwendige Verbindungsdaten, etwa IP-Adresse und Browserinformationen, an den jeweiligen Anbieter übertragen. Verarbeitung außerhalb des EWR ist möglich; Empfänger und Garantien richten sich nach den geltenden Anbieter- und Auftragsverarbeitungsvereinbarungen. Weitere Informationen: policies.google.com/privacy, privacy.microsoft.com/privacystatement und sentry.io/privacy/.
