Datenschutz

Verantwortlich für die Bearbeitung ist GR2 SA, die Gesellschaft, die Merka betreibt. Es gilt Schweizer Recht, insbesondere das revidierte Bundesgesetz über den Datenschutz, in Kraft seit dem 1. September 2023.

Für Fragen zu Ihren Daten schreiben Sie an contact@merka.ch. Wenn Sie ein Konto haben, geht das Support-Formular schneller: dort sehen wir Ihre Bestellungen bereits. Ein Datenschutzberater ist nicht ernannt: Das Gesetz verlangt es von einem Unternehmen dieser Grösse nicht, und es antwortet die Geschäftsleitung.

Ihre E-Mail-Adresse, unerlässlich, um Sie anzumelden und über Ihre Verkäufe und Käufe zu informieren. Es gibt kein Passwort: Sie erhalten einen sechsstelligen Code, von dem wir nur einen Hashwert behalten, fünfzehn Minuten gültig.

Ihre WhatsApp-Nummer, wenn Sie unserem Roboter schreiben. Die Merka-Nummer beantwortet Suchanfragen über WhatsApp. Wir behalten dann Ihre Nummer, die Sprache Ihrer Nachricht und das, was Sie ihm anvertrauen: Eine Suche, die Sie verfolgen wollen («Alarm Kinderwagen»), bleibt gespeichert, bis Sie sie entfernen, und eine Kontaktanfrage wird mit Ihrer Nachricht aufbewahrt, damit Sie jemand zurückruft. Ein Merka-Konto ist nicht nötig.

Ihr Pseudonym, Ihr Ort und Ihre Sprache, die Sie selbst wählen. Zusammen mit Ihrem Bild ist das alles, was andere Mitglieder von Ihnen sehen. Bei gewerblichen Verkäufern zeigt der Shop zudem die Firma und die UID; Ihre Privatadresse und Ihre E-Mail-Adresse werden nie gezeigt.

Ihr Profilbild, wenn Sie sich über Google oder Facebook anmelden. Es wird dann auf unsere Server kopiert, statt von deren Servern angezeigt zu werden: sonst erführe der Anbieter die IP-Adresse jeder Person, die eines Ihrer Inserate ansieht. Beim Kopieren werden die Metadaten entfernt.

Ihre Inserate, Bestellungen, Nachrichten, Fragen, Angebote und Bewertungen, die den eigentlichen Inhalt des Dienstes ausmachen. Eine Frage zu einem Inserat lesen nur Sie und die verkaufende Person; eine Bewertung dagegen ist unter Ihrem Pseudonym öffentlich.

Die Fotos, die Sie hochladen. Vor der Speicherung werden sie verkleinert und ALLE Metadaten entfernt, darunter die GPS-Koordinaten, die Ihr Telefon hineinschreibt. Das Foto wird auch vor der automatischen Auswertung neu kodiert, damit seine Metadaten nicht an das Modell gehen.

Die Lieferadresse: Name, Strasse, Zusatz, Postleitzahl, Ort, Land und, wenn Sie sie angeben, die Telefonnummer. Das ist die heikelste Angabe der Website. Die verkaufende Person sieht sie nur so lange, wie sie zum Versand nötig ist: sobald der Verkauf abgerechnet ist, hat sie keinen Zugriff mehr. Sie können eine Adresse in Ihrem Profil hinterlegen, um sie nicht neu zu tippen; diese gehört nur Ihnen.

Was die Zahlung betrifft: der Betrag, der Stand der Bestellung, die Zahlungsreferenz bei unserem Dienstleister, die einbehaltenen Gebühren und (bei Verkäufern) die Tatsache, dass die Bankverbindung geändert wurde, nie die Bankverbindung selbst. Keine Kartennummer erreicht unsere Server.

Einige technische Spuren, und sie gehören benannt: eine Sitzungszeile pro Anmeldung, ein Zähler der Aufrufe je IP-Adresse, um Missbrauch zu stoppen, eine Zeile je angesehenem Inserat, Besucher und Tag (bei nicht angemeldeten Besuchern nicht die IP-Adresse selbst, sondern ein nicht umkehrbarer Hashwert aus ihr und dem Browser) sowie ein Protokoll der Aufrufe des Auswertungsmodells: Ihre Kennung, das Modell, die Anzahl Token, die geschätzten Kosten. Die Fristen stehen weiter unten.

Was die Moderation festhält: löst ein Text oder ein Foto eine Prüfung aus, werden der Grund und die betroffene Stelle mit Ihrer Kennung festgehalten. Dasselbe gilt für eine Meldung, die Sie einreichen, samt Fotos, sowie für eine Kontosperrung und deren Grund. Dieses Protokoll ist über die Website nicht einsehbar (das macht es brauchbar), aber Sie können eine Kopie verlangen.

Keine Bankdaten laufen über unsere Server: die Zahlung erfolgt in einem abgeschotteten Rahmen unseres Dienstleisters, und wir sehen nie eine Kartennummer.

Keine Werbetracker, keine Reichweitenmessung, keine Social-Media-Buttons. Wir wissen nicht, woher Sie kommen und wohin Sie danach gehen.

Keine besonders schützenswerten Daten im Sinne des Gesetzes: weder Herkunft noch Meinung, Gesundheit, Religion oder biometrische Daten. Wir verlangen auch keinen Ausweis: Die Identität einer verkaufenden Person prüft unser Zahlungsdienstleister, bei sich.

Jeder dieser Empfänger entspricht einem Aufruf, den der Code wirklich macht. Weitere gibt es nicht.

Stripe, zum Einziehen und Auszahlen. Ein Verkäufer teilt dort direkt seine Identität und seine Bankverbindung mit, wie es das Gesetz von jedem Institut verlangt, das Geld auszahlt; wir speichern diese Angaben nicht. Für Käufer übermitteln wir den Betrag, die Bestellnummer und die E-Mail-Adresse für die Quittung. Das Kartenformular stammt von Stripe und läuft in Ihrem Browser: dabei sehen sie Ihre IP-Adresse.

Mistral, zur Auswertung der Inseratsfotos und hilfsweise zur Übersetzung. Das neu kodierte Foto geht ohne Metadaten hinaus, ebenso der Inseratstext, wenn die Übersetzung dort erfolgt. Ihr Name, Ihre Adresse und Ihre E-Mail-Adresse werden nie übermittelt.

Infomaniak, betreibt die Website, die Datenbank und die Fotos (in der Schweiz) und übersetzt die Inserate in die beiden anderen Landessprachen. Ein übersetztes Inserat ist im ganzen Land lesbar; übermittelt wird der Inseratstext, sonst nichts.

swisstopo, sobald Sie eine Adresse tippen. Jede Eingabe ab drei Zeichen geht an das eidgenössische Gebäude- und Wohnungsregister, um Ihnen die richtige Adresse vorzuschlagen, und die vollständige Adresse geht einmal dorthin, um zu prüfen, dass es sie gibt: Ein Tippfehler in der Postleitzahl, und das Paket eines Dritten geht verloren. Es ist ein Dienst des Bundes, in der Schweiz gehostet.

Die Post, für die Zustellung des Pakets: Bei jedem bezahlten Verkauf übermitteln wir ihrer Schnittstelle die Lieferadresse und die Adresse der verkaufenden Person, um das Etikett zu erzeugen, das diese ausdruckt und mit dem Paket aufgibt. Wir fragen zudem die Sendungsverfolgung automatisch und mehrmals täglich ab, allein mit der Paketnummer: Die festgestellte Zustellung setzt die Beanstandungsfrist in Gang und löst danach die Auszahlung aus. Eine Rücksendung im Streitfall wird gleich verfolgt.

Open Library, MusicBrainz und die Bibliothèque nationale de France, wenn Sie den Strichcode eines Buchs oder eines Tonträgers scannen, um das Inserat in einem Zug zu füllen: übermittelt werden nur die dreizehn Ziffern des Codes, nichts über Sie. Der Katalog der BnF wird für Bücher abgefragt, die die anderen nicht kennen.

Google, Facebook oder Apple, nur wenn Sie sich über sie anmelden: sie geben uns dann Ihre verifizierte E-Mail-Adresse und gegebenenfalls Ihr Bild. Die Zahlungsseite lädt die benötigte Rubik-Schrift von unseren eigenen Servern, auch innerhalb des Stripe-Rahmens.

Meta Platforms (WhatsApp Business), für alles, was über WhatsApp läuft: Ihre Nachrichten an den Roboter und seine Antworten, die Alarme, die wir Ihnen senden, und den Aktivitätsfeed an unseren eigenen Administrator, der die E-Mail-Adresse jeder neu angemeldeten Person, Titel und Preis eines veröffentlichten oder bezahlten Inserats sowie die Nummer nennt, wer zurückgerufen werden möchte. Meta sieht also diese Nummern und Inhalte; es ist ein amerikanisches Unternehmen.

Der Benachrichtigungsdienst Ihres Browsers (Google, Apple oder Mozilla, je nach Gerät), nur wenn Sie Benachrichtigungen einschalten: Wir übergeben ihm eine Abonnementadresse, die er uns gegeben hat, und eine für Ihr Gerät verschlüsselte Nachricht, die er nicht lesen kann. Nur drei Ereignisse lösen eine aus: ein Angebot, eine Frage, ein Verkauf.

Twilio, im Code vorgesehen für eine SMS «Artikel verkauft» an den Verkäufer, der eine Mobilnummer angegeben hat, aber bis heute nicht angeschlossen: Solange das so ist, geht keine SMS hinaus und nichts wird übermittelt.

Niemand sonst. Wir verkaufen und vermieten keine Daten und geben keine zu Werbezwecken weiter.

Ihre veröffentlichten Inserate sind ohne Konto lesbar: über unsere Katalog-Feeds, unsere öffentliche API und unseren Konnektor für Assistenten (MCP). Diese Kanäle geben den Inhalt des Inserats aus: Titel, Beschreibung, Preis, Zustand, Kategorie, den im Inserat angegebenen Ort, Fotos, den Link zum Inserat und die Angabe, ob es von einem gewerblichen Shop stammt. Sie geben niemals Ihren Namen, Ihr Pseudonym, Ihre E-Mail-Adresse, Ihre Nummer, Ihre Postadresse oder Ihre Kontokennung aus.

Wer diese Kanäle abfragt, erfährt also nichts über Sie. Von ihm behalten wir nur einen gesalzenen, gekürzten Fingerabdruck der IP-Adresse, höchstens dreissig Tage, um Aufrufe zu zählen und Missbrauch zu stoppen. Ein zurückgezogenes oder verkauftes Inserat verschwindet beim nächsten Abruf aus diesen Kanälen.

Hosting, Datenbank, Fotos und Übersetzung bleiben in der Schweiz. Sie verlassen: Stripe, dessen für uns tätige Gesellschaft irisch und dessen Konzern amerikanisch ist; Mistral in Frankreich, das die Inseratsfotos erhält; die Bibliothèque nationale de France, die wie die amerikanischen Open Library und MusicBrainz nur einen Strichcode erhält; Meta Platforms, amerikanisch, über das alles läuft, was über WhatsApp geht; und der Benachrichtigungsdienst Ihres Browsers (Google, Apple oder Mozilla, amerikanisch), der nur eine verschlüsselte Nachricht erhält. Irland und Frankreich gehören zu den Staaten, denen der Bundesrat einen angemessenen Schutz zuerkennt.

Ihr Konto und Ihre Inserate bleiben erhalten, solange Sie sie behalten. Bestellungen und die dazugehörige Korrespondenz werden darüber hinaus aufbewahrt, weil sie im Streitfall als Nachweis dienen und weil die Buchführung es verlangt. Im Einzelnen:

Drei Mechanismen laufen ohne menschliches Zutun, und Sie sollen davon wissen. Ein Modell liest Ihre Fotos, um das Inserat zu schreiben, eine Kategorie vorzuschlagen und die Paketgrösse zu schätzen: das ist nur ein Vorschlag, Sie korrigieren alles vor der Veröffentlichung.

Ein Wortfilter und die Auswertung des Fotos können eine Veröffentlichung ablehnen oder zur Nachprüfung markieren. Und im Streitfall ergeht kein Entscheid automatisch: Eine Person prüft jedes Dossier und entscheidet.

Schreiben Sie uns in jedem dieser Fälle: eine Person prüft den Entscheid erneut.

Die Datenbank trennt die Rechte Zeile für Zeile: eine in Ihrem Namen gestellte Abfrage kann nichts lesen, was jemand anderem gehört, selbst wenn der Code sich irrt. Sitzungstoken und Anmeldecodes werden nur als Hashwert gespeichert: Ein Datenleck erlaubte den Zugang zu keinem Konto. Fotos verlieren ihre Metadaten. Der Zugang zur Betriebskonsole ist auf eine Adressliste beschränkt, die ausserhalb der Datenbank geführt wird.

Sie können Ihre Daten einsehen, berichtigen, löschen lassen, einer Bearbeitung widersprechen und eine Kopie verlangen. Pseudonym, Ort, Sprache, Bild und hinterlegte Adresse ändern Sie in Ihrem Profil; für alles Übrige schreiben Sie uns: Es gibt noch keinen Knopf, es geschieht von Hand, und wir antworten innert dreissig Tagen.

Die Löschung eines Kontos kann abgeschlossene Bestellungen nicht mitnehmen: sie verpflichten eine andere Person als Sie, die Belege eines Verkaufs müssen im Streitfall verfügbar bleiben, und die Buchführung hält sie zehn Jahre. Was übrig bleibt, beschränkt sich auf das, was diese Pflichten verlangen.

Wenn Sie in der Europäischen Union wohnen, gilt für Sie zusätzlich die DSGVO: dieselben Rechte, dazu die Datenübertragbarkeit und die Möglichkeit, sich an die Aufsichtsbehörde Ihres Landes zu wenden.

In der Schweiz können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten in Bern wenden.