Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie Contenza K/S („wir", „uns", „QRStandard") personenbezogene Daten erhebt, verwendet und schützt, wenn Sie qrstandard.eu nutzen. Wir sind der Verantwortliche für alle personenbezogenen Daten, die über diesen Dienst verarbeitet werden.

1. Wer wir sind

Contenza K/S
CVR: 43349023 · USt-IdNr.: DK43349023
Dänemark
Kontakt: qrstandard.eu/contact

2. Welche Daten wir erheben

Wir erheben nur die Mindestdaten, die für den Betrieb des Dienstes erforderlich sind:

• Kontodaten: Ihre E-Mail-Adresse, die bei der Registrierung oder Anmeldung erhoben wird. Wir verwenden ein Magic-Link-Authentifizierungssystem — es werden nie Passwörter gespeichert.
• QR-Code-Daten: Die Labels, Ziel-URLs und Konfigurationen, die Sie für Ihre QR-Codes erstellen.
• Scan-Analytik: Wenn ein QR-Code gescannt wird, erfassen wir Zeitstempel, ungefähres Land (abgeleitet aus der IP-Adresse, nicht gespeichert), Gerätetyp und Referrer-URL. Wir speichern keine IP-Adressen aus Scans.
• Abrechnungsdaten: Bei einem Abonnement verarbeitet Stripe Ihre Zahlungsdaten direkt. Wir speichern Ihre Stripe-Kunden-ID und den Abonnementstatus. Wir sehen oder speichern keine Kartennummern.
• Nutzungsdaten: Server-Zugriffsprotokolle (IP-Adresse, Anfragepfad, Zeitstempel) werden bis zu 30 Tage für Sicherheits- und Debugging-Zwecke aufbewahrt.

3. Rechtsgrundlage der Verarbeitung

• Vertrag (Art. 6(1)(b) DSGVO): Verarbeitung Ihrer E-Mail-Adresse und QR-Code-Daten zur Erbringung des von Ihnen abonnierten Dienstes.
• Berechtigte Interessen (Art. 6(1)(f) DSGVO): Server-Protokolle für Sicherheit und Missbrauchsprävention; Scan-Analytik zur Bereitstellung von Weiterleitungsleistungsdaten für Sie.
• Rechtliche Verpflichtung (Art. 6(1)(c) DSGVO): Aufbewahrung von Abrechnungsunterlagen gemäß dänischem Buchhaltungsrecht (Bogføringsloven).

4. Wo Ihre Daten gespeichert werden

Alle Daten werden auf Servern in Deutschland (Hetzner Cloud, Rechenzentrum Nürnberg) gespeichert und verlassen den Europäischen Wirtschaftsraum nicht. Wir verwenden keine US-amerikanischen Cloud-Anbieter für die Speicherung personenbezogener Daten.

5. Unterauftragsverarbeiter

Wir nutzen folgende Drittanbieter-Verarbeiter:

• Hetzner Online GmbH (Deutschland) — Server-Infrastruktur und Speicherung
• Stripe, Inc. — Zahlungsabwicklung. Stripe ist PCI-DSS-zertifiziert und DSGVO-konform. Die Datenübermittlung in die USA ist durch den EU-US-Datenschutzrahmen abgedeckt.
• Resend, Inc. — Transaktionale E-Mails (Magic-Link-Versand, Quittungen). Daten werden gemäß DSGVO auf Basis von Standardvertragsklauseln verarbeitet.

6. Datenspeicherdauer

• Anmelde-Token: Laufen nach 15 Minuten ab und werden nach erstmaliger Verwendung dauerhaft ungültig gemacht.
• Sitzungs-Cookies: Laufen nach 30 Tagen Inaktivität ab.
• QR-Codes und Weiterleitungsdaten: Werden aufbewahrt, bis Sie diese löschen oder Ihr Konto schließen.
• Scan-Ereignisse: Werden 24 Monate aufbewahrt, dann gelöscht.
• Abrechnungsunterlagen: Werden 5 Jahre gemäß dänischem Buchhaltungsrecht aufbewahrt.
• Server-Protokolle: Werden 30 Tage aufbewahrt.

7. Ihre Rechte gemäß DSGVO

Als betroffene Person haben Sie folgende Rechte:

• Auskunft (Art. 15): Anforderung einer Kopie aller personenbezogenen Daten, die wir über Sie haben.
• Berichtigung (Art. 16): Korrektur unrichtiger Daten. Sie können Ihre E-Mail-Adresse durch Kontaktaufnahme mit uns aktualisieren.
• Löschung (Art. 17): Antrag auf Löschung Ihres Kontos und aller zugehörigen Daten. Wir kommen dem innerhalb von 30 Tagen nach, vorbehaltlich unserer gesetzlichen Aufbewahrungspflichten für Abrechnungsunterlagen.
• Datenportabilität (Art. 20): Anforderung Ihrer Daten in maschinenlesbarem Format (JSON).
• Einschränkung (Art. 18): Antrag auf Einschränkung der Verarbeitung Ihrer Daten, während eine Beschwerde anhängig ist.
• Widerspruch (Art. 21): Widerspruch gegen die auf berechtigten Interessen gestützte Verarbeitung.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns über unser Kontaktformular. Wir antworten innerhalb von 30 Tagen. Sie haben auch das Recht, eine Beschwerde beim Dänischen Datenschutzbeauftragten (Datatilsynet) einzureichen unter datatilsynet.dk.

8. Cookies

Wir verwenden ein Erstanbieter-Cookie:

• qrr_session — ein Authentifizierungs-Sitzungstoken. HttpOnly, Secure, SameSite=Lax. Läuft nach 30 Tagen ab. Dieses Cookie ist für die Funktionsfähigkeit des Dienstes unbedingt erforderlich und benötigt gemäß Art. 5(3) der ePrivacy-Richtlinie keine Einwilligung.

Wir verwenden keine Tracking-Cookies, Werbe-Cookies oder Drittanbieter-Analyse-Skripte. Wir verwenden kein Google Analytics, Meta Pixel oder ähnliche Tools.

9. Sicherheit

Alle Daten werden über TLS (HTTPS) übertragen. Passwörter werden nie gespeichert — die Authentifizierung verwendet kryptografisch signierte Einmal-Token. Der Datenbankzugriff ist auf Anwendungsprozesse beschränkt, die auf demselben Server laufen. Backups sind verschlüsselt gespeichert.

10. Änderungen dieser Erklärung

Wir benachrichtigen registrierte Benutzer über wesentliche Änderungen dieser Erklärung per E-Mail mindestens 14 Tage, bevor sie in Kraft treten. Die aktuelle Version ist stets unter qrstandard.eu/privacy verfügbar.