In dieser Richtlinie wird erläutert, wie wir personenbezogene Daten erfassen, verwenden, weitergeben und schützen, wenn du QRkit.io nutzt.
Aktualisiert:
Verantwortlicher: marc.IT digital solution
Eigentümer / Verantwortlicher: Marc Wolf
Adresse: Rehleite 1, 95326 Kulmbach, Germany
E-Mail: [email protected]
Datenschutzanfragen: Bitte nutze [email protected] und schreibe in die Betreffzeile „Privatsphäre“ oder „Datenschutz“.
Aufsichtsbehörde (Bayern): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany.
Diese Datenschutzrichtlinie gilt für unsere Website, unser Konto-Dashboard, APIs, den Checkout, die Support-Kommunikation und zugehörige Dienste.
Durch die Nutzung von QRkit.io bestätigst du außerdem unsere Nutzungsbedingungen.
Verarbeitete Daten
Zweck: Konten erstellen, Nutzer authentifizieren, die passwortlose Anmeldung und Google Sign-In unterstützen, Sitzungen aktiv halten und sicheren Zugriff auf das Dashboard ermöglichen.
Rechtsgrundlage: Kunst. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. Art. 6 Abs. 1 lit. f DSGVO (Dienstesicherheit und Missbrauchsprävention).
Verarbeitete Daten
Zweck: Kostenpflichtige Abonnements verarbeiten, Stripe-Checkout- und Webhook-Ereignisse abgleichen, Abrechnungsübersichten bereitstellen, Rückerstattungen bearbeiten und Abrechnungsereignisse dokumentieren.
Rechtsgrundlage: Kunst. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungs- und Buchführungspflichten).
Verarbeitete Daten
Zweck: QR-Codes generieren, dynamische Ziele funktionsfähig halten und Scanstatistiken im Dashboard bereitstellen.
Rechtsgrundlage: Kunst. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Verarbeitete Daten
Zweck: Aktivierungs-E-Mails, Anmelde-E-Mails, rechnungsbezogene Benachrichtigungen, Support-Antworten, Stornierungsbestätigungen und Servicebenachrichtigungen über unsere konfigurierte SMTP-Infrastruktur senden.
Rechtsgrundlage: Kunst. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Kundenkommunikation).
Verarbeitete Daten
Zweck: Die Reichweite und Nutzung öffentlicher Seiten nach Einwilligung messen, dir die Google-Anmeldung ermöglichen und, wenn du das in deinen Kontoeinstellungen ausdrücklich anforderst, deine eigene Google-Analytics-Property mit deinem QRkit-Dashboard verbinden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung für nicht notwendige Analyse öffentlicher Seiten) sowie Art. 6 Abs. 1 lit. b DSGVO (Erbringung der angeforderten Anmelde- und Integrationsfunktionen) und Art. 6 Abs. 1 lit. f DSGVO (Kontointegrität und Funktionsbetrieb).
Verarbeitete Daten
Zweck: Missbrauch erkennen, wiederholte Anmeldeversuche begrenzen, Vorfälle untersuchen, Server- und Anwendungsprotokolle mit Anfragen korrelieren und den Dienst stabil halten.
Rechtsgrundlage: Kunst. Art. 6 Abs. 1 lit. f DSGVO (Dienstsicherheit, Betrugsprävention und betriebliche Integrität).
Wir verwenden wesentliche Cookies und vergleichbare Token, um dich anzumelden, authentifizierte Dashboard-Sitzungen aktiv zu halten und kontobezogene Anfragen zu schützen. Unser primäres Sitzungscookie heißt qr_auth_session. Es ist als HTTP-only konfiguriert, verwendet SameSite=Lax und soll bis zu 30 Tage gültig sein, es sei denn, du meldest dich ab oder es wird anderweitig gelöscht.
Wir generieren auch kurzlebige Aktionstoken für die Kontoaktivierung und passwortlose Anmeldevorgänge. Diese Token werden nicht für Werbung verwendet; sie dienen dazu, von dir angeforderte Authentifizierungsschritte abzuschließen und laufen in der Regel nach etwa einer Stunde ab.
Wenn du Analytics zustimmst, kann QRkit.io auf öffentlichen Seiten Google Tag Manager und Google Analytics laden, um Seitenaufrufe, Seitenpfade, Referrer, ungefähre Standortdaten, Geräte- oder Browserdaten sowie ausgewählte Interaktionsereignisse zu messen. Wenn du dich dafür entscheidest, dein eigenes Google-Analytics-Konto innerhalb des Dashboards zu verbinden, bleibt dies eine separate, von dir angeforderte Produktintegration, die unten beschrieben wird.
Wenn du Marketing zustimmst und die jeweilige Integration aktiviert ist, kann QRkit.io auf öffentlichen Seiten zusätzlich Marketing- oder Attributionstechnologien wie Meta Pixel laden. Nicht notwendige Analytics- und Marketing-Technologien bleiben deaktiviert, bis du sie in den Cookie-Einstellungen freigibst, und du kannst deine Auswahl dort später jederzeit ändern.
Zahlungen für kostenpflichtige Pläne werden von Stripe verarbeitet. Wir speichern keine rohen Zahlungskartendaten in der QRkit.io-Anwendung. Stattdessen speichern wir den Stripe-Kunden, das Abonnement, den Plan, den Status, die Rechnungsreferenzen und die zugehörigen Abrechnungszeitstempel, die erforderlich sind, um den Status deines Abonnements synchronisiert und in deinem Konto sichtbar zu halten.
Wenn für dein Konto ein Zugang zum Abrechnungsportal verfügbar ist, erhält Stripe auch die Daten, die du benötigst, damit du Rechnungen, Details zur Zahlungsmethode oder den Abonnementstatus im Kundenportal von Stripe einsehen kannst.
Stripe kann im Rahmen des Bezahlvorgangs und der wiederkehrenden Abrechnung auch Signale zur Betrugsbekämpfung und zum Zahlungsrisiko verarbeiten. Weitere Informationen findest du in unserer Rückerstattungsrichtlinie.
Wenn du dich bei Google anmeldest, fungiert Google als Identitätsanbieter und sendet uns die zur Authentifizierung deines Kontos erforderlichen Profildaten. Wenn du Google Sign-In nicht verwendest, findet diese Verarbeitung nicht statt.
Separat kann QRkit eine optionale Google-Analytics-Verbindung innerhalb des Dashboards anbieten, wenn du sie explizit in deinen Kontoeinstellungen initiierst. In diesem Fall speichern wir die Zugriffsdaten, die zum Abrufen deiner ausgewählten Google-Analytics-Property erforderlich sind, und zeigen diese Analysen in deinem Dashboard an, bis du die Integration trennst.
Bei dynamischen QR-Codes zeichnen wir Scan-Ereignisse auf, damit die Dashboard-Analyse funktioniert. Abhängig von den verfügbaren Anfragemetadaten können dazu die Scanzeit, das Betriebssystem, das Land, die Stadt, der betroffene QR-Code und ein aus Anfrageattributen abgeleiteter gehashter Fingerabdruck gehören, um die Duplikatzählung zu reduzieren und die Berichtsqualität zu verbessern.
Wir verarbeiten außerdem zustimmungsbasierte Analyse-Daten öffentlicher Seiten, etwa Seitenaufrufe, Seitenpfade, Referrer-Informationen, ungefähre Standortdaten, Geräte- oder Browsersignale sowie ausgewählte Interaktionsereignisse einschließlich Anmeldung, QR-Erstellung oder QR-Downloads. Zusätzlich zeichnen wir Dashboard-Aktivitätsereignisse auf, wenn authentifizierte Benutzer relevante Dashboard-Endpunkte erfolgreich nutzen. Zu diesen Ereignissen können Routenname, Funktionsschlüssel, HTTP-Methode, Antwortstatus, Akteurkonto, Besitzerkonto und zugehörige Anforderungs-IDs gehören, sodass Produktnutzung, Support und Vorfallanalyse nachvollziehbar bleiben.
Wir nutzen technische und organisatorische Sicherheitsmaßnahmen zum Schutz personenbezogener Daten, einschließlich verschlüsselter Übertragung, Zugriffskontrollen, serverseitige Authentifizierungsprüfungen, Ratenbegrenzung, Anforderungsvalidierung und Betriebsüberwachung.
Um Missbrauch wie wiederholte fehlgeschlagene Anmeldeversuche oder verdächtige Kontoaktivitäten zu verhindern, speichern wir möglicherweise sicherheitsrelevante Ereignisdaten, einschließlich gehashter IP- oder E-Mail-Referenzen, Ereignisergebnisse, Dauermessungen und technischen Anfragekontext. Bei der Untersuchung von Vorfällen, Betrugssignalen oder Webhook-Zustellungsproblemen können wir Anforderungs-IDs auch mit Webserver-Zugriffsprotokollen, Anwendungsfehlerprotokollen und Infrastrukturprotokollen korrelieren.
Kein Online-System ist völlig risikofrei, daher können wir keine absolute Sicherheit garantieren.
Wir verkaufen keine personenbezogenen Daten. Wir geben Daten nur dann weiter, wenn dies für den Betrieb des Dienstes, die Durchführung angeforderter Transaktionen, die Zustellung von Mitteilungen oder die Einhaltung gesetzlicher Verpflichtungen erforderlich ist.
Rolle: Hosting- und Infrastrukturanbieter für Anwendungsserver, Datenbanken, Speicher, Backups und operative Netzwerkdienste, die zur Ausführung von QRkit.io verwendet werden.
Typische Daten: Kontodatensätze, QR-Code-Inhalte, generierte Assets, Scan-Analysen, Serverprotokolle und technische Telemetrie, die für Hosting, Backup und Reaktion auf Vorfälle benötigt werden.
Rolle: Zahlungsabwickler für den Checkout, die Abonnementverwaltung, die Rechnungsbearbeitung, den Zugriff auf das Kundenportal und die Überprüfung auf Zahlungsbetrug.
Typische Daten: Rechnungs-E-Mail, Abonnement- und Rechnungsmetadaten, zahlungsbezogene Kennungen und Webhook-bezogene Transaktionsreferenzen.
Rolle: Analyseanbieter für zustimmungsbasierte öffentliche Seitenanalyse, Identitätsanbieter für Google Sign-In und optionaler Anbieter für eine vom Benutzer angeforderte Google Analytics-Verbindung.
Typische Daten: Zustimmungsbasierte öffentliche Analysedaten wie Seitenaufrufe, Seitenpfade, Referrer-Informationen, ungefähre Standortdaten und ausgewählte Interaktionsereignisse sowie OAuth-Kennungen, für die Anmeldung erforderliche Kontoprofilgrundlagen und, wenn du es selbst verbindest, Google-Analytics-Konto- oder Property-Metadaten sowie Zugriffstokens.
Rolle: Optionaler Marketing- und Attributionsanbieter, wenn Meta Pixel aktiviert ist und du auf öffentlichen Seiten Marketing-Cookies zustimmst.
Typische Daten: Zustimmungsbasierte Marketing- und Attributionsdaten öffentlicher Seiten wie Seitenaufrufe, Ereignisdaten, Browser-Kennungen und Marketing-Cookie-Werte.
Rolle: E-Mail-Zustellungsanbieter, der für Transaktions-E-Mails über den konfigurierten SMTP-Host smtps.udag.de verwendet wird.
Typische Daten: Empfängeradresse, Absendermetadaten, Nachrichteninhalt und alle für die Nachricht erforderlichen Rechnungs- oder Supportanhänge.
Wir können Informationen auch offenlegen, wenn dies gesetzlich vorgeschrieben ist, um unsere Richtlinien durchzusetzen, Rechtsansprüche zu verteidigen oder die Rechte, Sicherheit und Integrität des Dienstes zu schützen.
Wir bewahren diese Daten auf, solange dein Konto aktiv ist und solange sie für die Bereitstellung des Dienstes erforderlich sind. Wenn ein Konto gelöscht oder gekündigt wird, entfernen oder sperren wir die verbleibenden Daten, es sei denn, die weitere Aufbewahrung ist aus rechtlichen Gründen, zur Missbrauchsprävention oder aufgrund gesetzlicher Verpflichtungen erforderlich.
Unser primäres Sitzungscookie kann bis zu 30 Tage lang gültig bleiben, es sei denn, du meldest dich ab oder es wird früher gelöscht. Aktivierungs- und Anmeldeaktionstoken sind im Allgemeinen nur von kurzer Dauer und verfallen in der Regel nach etwa einer Stunde.
Abrechnungsrelevante Aufzeichnungen werden für die gesetzlich vorgeschriebene Aufbewahrungsfrist aufbewahrt, in der Regel bis zu 10 Jahren, sofern Handels- oder Steuerrecht Anwendung findet.
Sicherheitsrelevante Daten, Authentifizierungsereignisse, Zugriffsprotokolle und technische Protokolle werden nur so lange aufbewahrt, wie dies für die Ratenbegrenzung, Reaktion auf Vorfälle, Betrugsprävention und Dienstintegrität erforderlich ist. Liegt ein Vorfall oder Streit vor, können ausgewählte Beweismittel länger aufbewahrt werden, bis die Angelegenheit geklärt ist.
Wir bewahren Supportgespräche, Stornierungsanfragen und Servicekommunikation so lange auf, wie es für die Bearbeitung der Anfrage, die Dokumentation des Ergebnisses und die Einhaltung von Aufbewahrungs- oder Streitbeilegungspflichten erforderlich ist.
Mit QR-Kampagnen verknüpfte Scananalysen bleiben erhalten, solange der zugehörige QR-Code oder die Kontodaten für die Dashboard-Analysefunktion benötigt werden, es sei denn, eine frühere Löschung ist beantragt oder gesetzlich vorgeschrieben.
Einige unserer Anbieter verarbeiten personenbezogene Daten über mehrere Länder hinweg. Bei der Übermittlung von Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums stützen wir uns auf geeignete Schutzmaßnahmen wie Angemessenheitsentscheidungen, vertragliche Schutzmaßnahmen und vergleichbare Übermittlungsmechanismen, die nach geltendem Recht erforderlich sind.
Typischer Standort: Germany / Europäische Union
Unser geplantes Produktions-Hosting-Setup ist EU-basiert. Wir beabsichtigen keine regelmäßigen Drittlandtransfers über den Core-Hosting-Stack selbst.
Typischer Standort: EWR, Vereinigtes Königreich, Vereinigte Staaten und andere Standorte der Stripe-Gruppe
Stripe kann Zahlungs- und Abrechnungsdaten in seiner internationalen Konzerninfrastruktur verarbeiten. Wenn personenbezogene Daten den EWR verlassen, wendet Stripe die im Rahmen seiner Vertragsbedingungen und des geltenden Rechts angebotenen Übertragungsmechanismen an.
Typischer Standort: EWR, USA und andere Google-Standorte
Zustimmungsbasierte öffentliche Analyse über Google, Google Sign-In und jede vom Benutzer angeforderte Google Analytics-Verbindung können eine Verarbeitung in Ländern außerhalb des EWR, einschließlich der Vereinigten Staaten, erfordern.
Typischer Standort: EWR, Vereinigte Staaten und andere Meta-Standorte
Wenn Marketing-Einwilligung erteilt wurde und Meta Pixel aktiviert ist, kann Meta Attributions- und werbebezogene Daten öffentlicher Seiten über seine internationale Infrastruktur verarbeiten, auch außerhalb des EWR.
Typischer Standort: Anbieterabhängig
Transaktions-E-Mails werden über die für QRkit.io konfigurierte SMTP-Infrastruktur weitergeleitet. Je nach Anbieter und Empfängerdomäne kann die Nachrichtenverarbeitung ein grenzüberschreitendes Routing beinhalten.
Um deine Rechte auszuüben, kontaktiere uns unter [email protected]. Möglicherweise müssen wir deine Identität überprüfen, bevor wir bestimmte Anfragen bearbeiten können. Dieselbe Adresse kannst du auch für allgemeine Datenschutzanfragen verwenden.
Unser Service richtet sich nicht an Kinder unter 13 Jahren. Wir erfassen wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren. Wenn du glaubst, dass ein Kind uns Daten bereitgestellt hat, kontaktiere uns bitte, damit wir die entsprechenden Schritte einleiten können.
Unsere Website und unser Dashboard können Links zu Diensten Dritter enthalten. Deren Datenschutzpraktiken unterliegen ihren eigenen Richtlinien, nicht dieser Datenschutzrichtlinie.
Wir können diese Datenschutzrichtlinie aktualisieren, um Produkt-, Betriebs-, Rechts- oder Anbieteränderungen Rechnung zu tragen. Wesentliche Änderungen werden durch die Aktualisierung des Datums oben auf dieser Seite angezeigt. Die fortgesetzte Nutzung des Dienstes nach Aktualisierungen bedeutet, dass du die überarbeitete Richtlinie akzeptierst.
Wenn du Fragen zu dieser Datenschutzrichtlinie oder unseren Datenpraktiken hast, kontaktiere uns unter [email protected] für Datenschutz-, Rechnungs- oder kontobezogene Anfragen oder über unsere Kontaktseite.
