Datenschutzerklärung für das Mapasso-Portal

Stand 8. November 2026. Für die Website mapasso.de und die Mapasso-App im Shopify App Store gelten eigene Datenschutzerklärungen.

1. Verantwortlicher

Maik Gossen, DD-Gossen, Anschrift laut Impressum, E-Mail info@mapasso.de.

Für personenbezogene Daten, die Kunden in ihre Produktpässe eintragen, ist der jeweilige Kunde verantwortlich. Mapasso verarbeitet sie als Auftragsverarbeiter nach dem Vertrag zur Auftragsverarbeitung. Fragen dazu richten Sie bitte an den Kunden, Mapasso leitet sie sonst weiter.

2. Konto und Organisation

Daten: Name, E-Mail-Adresse, Passwort (nur als Hash), Firmendaten der Organisation (Name, Anschrift, Umsatzsteuer-Identifikationsnummer, Kontakt-E-Mail, Website), Rolle im Team, Zeitpunkt der Zustimmung zu AGB und Vertrag zur Auftragsverarbeitung.

Zweck und Rechtsgrundlage: Durchführung des Vertrags (Art. 6 Abs. 1 Buchst. b DSGVO). Die Firmendaten erscheinen als Hersteller in neuen Pässen, wenn der Kunde sie dort übernimmt.

Speicherdauer: bis zur Löschung des Kontos. Daten zum Vertragsschluss und zur Abrechnung bewahrt Mapasso nach den steuerrechtlichen Fristen auf, bis zu zehn Jahre (§ 147 AO, § 14b UStG).

Prüfung der USt-IdNr.: Geben Sie eine Umsatzsteuer-Identifikationsnummer aus einem anderen EU-Staat an, fragt Mapasso beim Bundeszentralamt für Steuern ab, ob sie gültig ist. Dabei gehen die Nummer und, wenn angegeben, Name und Anschrift der Firma an das Bundeszentralamt. Rechtsgrundlage ist die Vertragsdurchführung und unser berechtigtes Interesse an einer richtigen Rechnung ohne deutsche Umsatzsteuer (Art. 6 Abs. 1 Buchst. b und f DSGVO).

3. Anmeldung und Sicherheit

Daten: Sitzungs-Cookie, Zeitpunkt der Anmeldung, IP-Adresse und Browserkennung der Sitzung, Geheimnis für den zweiten Faktor und Backup-Codes (verschlüsselt), öffentliche Schlüssel von Passkeys, Zähler für Fehlversuche, Protokoll sicherheitsrelevanter Änderungen.

Zweck und Rechtsgrundlage: sichere Anmeldung und Schutz vor Missbrauch, Vertragsdurchführung und berechtigtes Interesse an der Sicherheit des Portals (Art. 6 Abs. 1 Buchst. b und f DSGVO).

Passwort-Prüfung: Bei der Wahl eines Passworts prüft das Portal, ob es aus bekannten Datenlecks stammt. Dazu werden nur die ersten fünf Zeichen eines Hashwerts an den Dienst Have I Been Pwned übermittelt, nicht das Passwort und nicht die E-Mail-Adresse.

Cookies: Das Portal setzt nur Cookies, die für die Anmeldung und die gewählte Organisation nötig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Analyse- oder Werbe-Cookies.

Bot-Schutz: Nur auf der Seite zur Registrierung prüft Cloudflare Turnstile, ob ein Mensch das Formular ausfüllt. Dafür lädt die Seite ein Skript von Cloudflare. Es liest technische Merkmale Ihres Browsers aus und sendet sie mit Ihrer IP-Adresse an Cloudflare. Das ist für eine sichere Registrierung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage ist unser berechtigtes Interesse, das Portal vor automatisierten Anmeldungen zu schützen (Art. 6 Abs. 1 Buchst. f DSGVO). Cloudflare handelt dabei als unser Auftragsverarbeiter. Nach eigener Angabe nutzt Cloudflare diese Daten außerdem als eigener Verantwortlicher, um Turnstile zu verbessern. Cloudflare, Inc. sitzt in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert, die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mehr dazu: https://www.cloudflare.com/turnstile-privacy-policy/

Speicherdauer: Sitzungen enden nach höchstens sieben Tagen oder beim Abmelden. Abgelaufene Sitzungen mit IP-Adresse und Browserkennung löscht Mapasso spätestens nach 30 Tagen. Zähler für Fehlversuche enthalten die IP-Adresse nur als Hash mit Geheimnis und werden nach 24 Stunden gelöscht. Das Protokoll sicherheitsrelevanter Änderungen bewahrt Mapasso auf, solange die Organisation besteht. Löscht jemand sein Konto, bleibt darin nur eine Kennung ohne Namen. Cloudflare und Fly.io verarbeiten die IP-Adresse beim Ausliefern und zum Schutz vor Angriffen als Auftragsverarbeiter von Mapasso und nennen dafür keine feste Frist.

4. E-Mails

Mapasso schickt E-Mails, die zum Konto gehören: Bestätigung der E-Mail-Adresse, Einladungen ins Team, Zurücksetzen des Passworts, Hinweise zur Sicherheit und zur Abrechnung, Ankündigungen von Änderungen nach den AGB. Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 Buchst. b DSGVO). Werbe-E-Mails verschickt das Portal nicht. Den Versand übernimmt Mailjet, ein Versanddienst der Sinch-Gruppe, als Auftragsverarbeiter. Die Daten liegen laut Mailjet in Frankfurt am Main und in Belgien. Für Zugriffe aus Drittländern, etwa beim Support, gelten Standardvertragsklauseln (Art. 46 DSGVO).

Antworten auf E-Mails von Mapasso und Nachrichten an info@mapasso.de landen im Postfach von Mapasso bei Hostinger, Speicherort laut Anbieter Frankreich und Deutschland. Mapasso leitet sie an ein Postfach bei Google (Google Ireland Limited) weiter. Google verarbeitet Daten laut eigener Angabe auch außerhalb der EU. Rechtsgrundlage ist die Vertragsdurchführung oder unser berechtigtes Interesse, Ihre Nachricht zu beantworten (Art. 6 Abs. 1 Buchst. b und f DSGVO).

5. Terminbuchung (Cal.com)

Im Portal bietet Mapasso einen Termin für ein Gespräch an. Die Buchung läuft über Cal.com (Cal.com, Inc., USA), das Gespräch über Cal Video. Den Kalender von Cal.com lädt das Portal erst, wenn Sie im Fenster „Gespräch buchen“ auf „Kalender laden“ klicken. Dann überträgt Ihr Browser Daten wie Ihre IP-Adresse an Cal.com und an Dienste, die Cal.com einbindet, etwa Sentry für Fehlerberichte und Google für Profilbilder. Cal.com speichert dabei eine Kennung im Speicher Ihres Browsers. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 Buchst. a DSGVO, § 25 Abs. 1 TDDDG). Sie gilt nur für diesen Aufruf. Nach dem Neuladen der Seite lädt der Kalender erst nach einem neuen Klick. Die Kennung können Sie in Ihrem Browser löschen. Öffnen Sie den Kalender stattdessen in einem neuen Tab, gilt für Ihren Besuch dort die Datenschutzerklärung von Cal.com.

Buchen Sie einen Termin, verarbeitet Mapasso Name, E-Mail-Adresse, Zeitpunkt und Ihre Notiz, um das Gespräch mit Ihnen zu führen (Art. 6 Abs. 1 Buchst. b und f DSGVO, Vertrag und berechtigtes Interesse, Fragen zu Mapasso zu beantworten). Die Buchung löscht Mapasso spätestens sechs Monate nach dem Termin.

Cal.com verarbeitet Ihre Angaben in den USA. Cal.com ist laut eigener Datenschutzerklärung nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Bestätigungen der Buchung gehen an ein Postfach bei Google (Google Ireland Limited), dort steht der Termin auch im Kalender. Google verarbeitet Daten laut eigener Angabe auch außerhalb der EU.

Auf der Seite von Cal.com gilt zusätzlich die Datenschutzerklärung von Cal.com: https://cal.com/privacy

6. Zahlungen

Bezahlte Pläne buchen und bezahlen Sie über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland. Zahlungsdaten wie Kontoverbindung oder Kartendaten erhebt Stripe selbst, Mapasso erhält keine Kartendaten. Mapasso übergibt Stripe Firmenname, Anschrift, die E-Mail-Adresse für Rechnungen und die Umsatzsteuer-Identifikationsnummer. Stripe erstellt damit die Rechnungen und verschickt sie per E-Mail. Im Kundenportal von Stripe verwalten Sie Zahlungsart, Rechnungen und Kündigung. Mapasso speichert die Kundennummer bei Stripe, den Plan und den Zahlungsstand.

Rechtsgrundlage ist die Vertragsdurchführung (Art. 6 Abs. 1 Buchst. b DSGVO), für die Aufbewahrung der Rechnungen unsere gesetzliche Pflicht (Art. 6 Abs. 1 Buchst. c DSGVO, Fristen in Abschnitt 2). Stripe handelt teils als unser Auftragsverarbeiter, teils als eigener Verantwortlicher, etwa bei der Abwicklung über Banken und bei der Betrugsprävention. Stripe überträgt Daten auch an Stripe, LLC in den USA. Grundlage ist das EU-U.S. Data Privacy Framework (Art. 45 DSGVO), hilfsweise Standardvertragsklauseln (Art. 46 DSGVO). Informationen von Stripe: https://stripe.com/de/privacy

7. Öffentliche Pass-Seiten

Wer eine Pass-Seite aufruft, etwa über den QR-Code auf einem Produkt, wird nicht persönlich erfasst. Mapasso zählt Aufrufe ohne IP-Adresse und ohne Cookie: Land (aus dem Netzwerk ermittelt, die IP-Adresse wird dafür nicht gespeichert), Gerätetyp, Sprache des Browsers und nur die Domain der verweisenden Website, nicht die volle Adresse. Diese Statistik sieht der Kunde in seiner Übersicht.

Für die Auslieferung verarbeiten Fly.io und Cloudflare die IP-Adresse, um die Seite zu senden und Angriffe abzuwehren (berechtigtes Interesse, Art. 6 Abs. 1 Buchst. f DSGVO). Einzelheiten, auch zum Meldeformular auf den Pass-Seiten, stehen in den Hinweisen zum Datenschutz auf den Pass-Seiten.

8. Empfänger und Übermittlung in Drittländer

Mapasso setzt Dienstleister als Auftragsverarbeiter ein, die in der Liste der Unterauftragsverarbeiter stehen, mit Ort der Daten und Grundlage für Übermittlungen in Drittländer (Angemessenheitsbeschluss oder Standardvertragsklauseln nach Art. 45 und 46 DSGVO). Weitere Empfänger stehen in den Abschnitten oben: das Bundeszentralamt für Steuern bei der Prüfung der USt-IdNr. (Abschnitt 2), Have I Been Pwned bei der Wahl eines Passworts (Abschnitt 3, nur ein Teil eines Hashwerts), Hostinger und Google für das Postfach info@mapasso.de (Abschnitt 4), Cal.com und Google bei einer Terminbuchung (Abschnitt 5), Stripe bei Zahlungen (Abschnitt 6). Andere Empfänger erhalten Daten nur, wenn eine rechtliche Pflicht besteht.

9. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15 bis 21 DSGVO). Schreiben Sie dazu an info@mapasso.de. Mapasso antwortet innerhalb eines Monats.

Widerspruch: Verarbeitet Mapasso Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 Buchst. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der Behörde am Sitz von Mapasso.

Eine automatisierte Entscheidungsfindung nach Art. 22 DSGVO findet nicht statt.

10. Pflicht zur Bereitstellung

Ohne Name, E-Mail-Adresse, Passwort und Firmendaten lässt sich kein Konto anlegen. Weitere Angaben sind freiwillig.