Datenschutzerklärung

Das Wichtigste in Kürze

WHITESPACE AS in Norwegen (EWR) ist für Website, Konten und eigene Geschäftsabläufe verantwortlich. QR Report wird von WHITESPACE AS als Lizenznehmer bereitgestellt.

Wir verwenden notwendige Anmelde- und Sprach-Cookies, aber keine Analyse- oder Werbe-Cookies. Die öffentliche Website nutzt Plausible; die Scan-Auswertung ist davon getrennt.

Bei QR-Scans handelt der Kunde als Verantwortlicher; wir verarbeiten nach seiner Weisung. Gespeichert werden unter anderem pseudonyme Tageskennungen, Gerätekategorien und IP-abgeleitete Standortangaben. Rohe IP-Adressen und vollständige Browserkennungen stehen nicht in neuen Scan-Datensätzen; Infrastruktur-Logs sind davon getrennt.

Der Kunde bestimmt die erforderliche Speicherdauer seiner Scan-Daten. Einzelheiten zur Speicherung und Löschung stehen in AVV §8. Die Datenbank liegt in Frankfurt; dies bedeutet nicht ausschließlich europäische Verarbeitung durch sämtliche Anbieter.

Datenschutzkontakt und Betroffenenrechte: support@qrreport.app.

1. Verantwortlicher und Kontakt

WHITESPACE AS, Sævarevegen 30, 5628 Herand, Norwegen, Org.-Nr. 916 934 424. Kontakt für Datenschutz, Auskunft und Löschung: support@qrreport.app. Für Kontoführung, eigenen Support, Sicherheit und die Verwaltung unserer Geschäftsbeziehungen sind wir Verantwortlicher. Die Rollen bei Scan-Analysen werden in Abschnitt 6 erläutert.

Diese Hinweise gelten für Website, Nutzerkonten und den Dienst einschließlich vereinbarter Tests. Bei Scan-Daten und Kundeninhalten handeln wir in den in Abschnitt 6 beschriebenen Rollen.

2. Infrastruktur und Empfänger

Vercel betreibt Website, Serverfunktionen und den Weiterleitungsdienst. Supabase stellt Datenbank, Anmeldung und Dateispeicher bereit; die Produktdatenbank liegt in Frankfurt (EU). AhaSend versendet transaktionale E-Mails, etwa für Kontaktanfragen, Anmeldung, Einladungen und Berichte. Unser E-Mail-Versand aktiviert kein Open- oder Click-Tracking. Empfänger-Mailserver verarbeiten zugestellte Nachrichten in eigener Verantwortung.

Polar Software, Inc. verkauft kostenpflichtige Leistungen als Merchant of Record und verarbeitet Kauf-, Rechnungs- und Steuerdaten in eigener Verantwortung. Dazu gehören insbesondere E-Mail, Firmenname, Rechnungsadresse, Steuerkennzeichen und Zahlungsinformationen. Wir erhalten die für Freischaltung und Abonnementverwaltung erforderlichen Kauf- und Statusdaten, aber keine vollständigen Zahlungskartendaten. Es gelten ergänzend Polars Datenschutzhinweise.

Bei Anmeldung über Google werden die für OAuth erforderlichen Kontodaten zwischen Google, Supabase und QR Report ausgetauscht. Schriftdateien werden über unsere eigene Website ausgeliefert; dein Browser muss dafür keine Verbindung zu Google Fonts aufbauen. Gesetzlich erforderliche Offenlegungen können an zuständige Behörden oder zur Durchsetzung rechtlicher Ansprüche erfolgen.

3. Konto und Rechtsgrundlagen

Wir verarbeiten E-Mail-Adresse, Profilangaben, Zugangsdaten über unseren Authentifizierungsanbieter, Organisationsdaten und Mitgliedschaften zur Bereitstellung des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du selbst Vertragspartei bist; bei Beschäftigten oder anderen Vertretern einer Kundenorganisation Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Bereitstellung und Verwaltung des geschäftlichen Zugangs). Pflichtangaben werden zur Kontoerstellung benötigt.

Supportanfragen bearbeiten wir zur Vertragserfüllung oder aufgrund unseres berechtigten Interesses an der Bearbeitung von Anliegen (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Technische Zugriffs- und Fehlerprotokolle dienen dem sicheren Betrieb und der Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO); sie können bei Infrastruktur-Anbietern IP-Adressen enthalten. Gesetzlich erforderliche Geschäftsunterlagen verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.

Zur Dokumentation der Vertragsannahme speichern wir Konto-ID, E-Mail-Adresse, Annahmezeitpunkt, Verifizierungszeitpunkt, Annahmeweg, Sprache und Vertragsversion sowie die Zuordnung berechtigt eingerichteter Workspaces. Die Nachweise dienen der Vertragsdurchführung und dem Nachweis rechtlicher Ansprüche (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Sie können hierfür über eine Kontolöschung hinaus erforderlich sein und werden nur solange hierfür erforderlich aufbewahrt. Eine technische Bestandsausnahme dokumentiert keine Annahme.

4. Kontaktformular und E-Mail

Wenn du uns kontaktierst, verarbeiten wir deine E-Mail-Adresse, deine Nachricht und deinen Namen, soweit du ihn angibst. Im Formular sind E-Mail-Adresse und Nachricht erforderlich, damit wir dein Anliegen beantworten können; der Name ist freiwillig. Eine Kontaktanfrage erstellt kein Nutzerkonto und meldet dich nicht zu einem Newsletter an.

Wir verwenden diese Angaben zur Bearbeitung deiner Anfrage und für zugehörige Rückfragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag mit dir; bei sonstigen Anfragen oder wenn du für ein Unternehmen handelst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung geschäftlicher Anfragen).

Das Formular wird über Vercel verarbeitet und die Nachricht über AhaSend an unser Unternehmenspostfach zugestellt. Auch unser E-Mail-Anbieter verarbeitet die Nachricht zur Zustellung und Speicherung im Postfach. Technische Anfragenkennungen und kurzzeitig im Arbeitsspeicher gehaltene, gehashte IP-bezogene Zähler dienen dem Schutz vor Spam und wiederholten Einsendungen (Art. 6 Abs. 1 lit. f DSGVO). Der Versand erfolgt ohne Open- oder Click-Tracking.

Kontaktanfragen bewahren wir so lange auf, wie die Bearbeitung und erforderliche Anschlussfragen es erfordern. Anschließend löschen wir sie, soweit keine gesetzlichen Aufbewahrungspflichten oder konkret erforderlichen Rechtsansprüche eine längere Speicherung begründen.

Unser Unternehmenspostfach wird von Proton AG, Genf, Schweiz (Proton Mail) betrieben. Verarbeitungsorte: Schweiz, Deutschland oder Norwegen laut Proton-Mail-Datenschutzhinweisen. Einzelheiten zu Übermittlungen stehen in Abschnitt 8.

5. Cookies und lokaler Speicher

Wir verwenden Anmelde- und Sprach-Cookies sowie lokalen bzw. Sitzungsspeicher für Einstellungen und unterbrochene Abläufe. Wir setzen keine Analyse- oder Werbe-Cookies ein; der QR-Scan-Pfad setzt keine eigenen Analyse-Cookies.

5a. Statistik der öffentlichen Website

Für die Reichweitenmessung unserer öffentlichen Website nutzen wir Plausible Analytics von Plausible Insights OÜ, Estland. Erfasst werden öffentliche Seitenaufrufe, Verweisquellen, Nutzungsdauer und Scrolltiefe sowie Geräte-, Browser- und Standortkategorien. Zusätzlich zählen wir das Öffnen des Kontaktformulars, erfolgreich versendete Kontaktanfragen, Klicks auf den Anmelde-Link und auf die Schaltflächen zur Registrierung, den erfolgreichen Abschluss einer Registrierung mit dem gewählten Weg (E-Mail oder Google), ohne Angaben zur Person, sowie ausgehende Links und Downloads. Formularinhalte, Namen und E-Mail-Adressen werden nicht an Plausible übermittelt. Die Anmelde- und Registrierungsseiten selbst, interne App-Seiten und QR-Weiterleitungen sind von dieser Website-Statistik ausgeschlossen; nur den Abschluss einer Registrierung übermitteln wir dort einmalig als Ereignis ohne Seitenaufruf, auch wenn Sie zu diesem Zeitpunkt bereits angemeldet sind.

Plausible verwendet dafür keine Cookies oder dauerhaften Gerätekennungen. IP-Adresse und Browserkennung werden zur Bildung einer täglich wechselnden Kennung verarbeitet, aber laut Anbieter nicht im Klartext gespeichert. Laut Anbieter werden Besucherdaten ausschließlich in der EU verarbeitet. Plausible speichert einzelne Ereignis- und Sitzungsdatensätze und zeigt daraus aggregierte Statistiken im Dashboard. Wir übermitteln Seitenadressen ohne URL-Parameter oder Fragmente; ausgenommen sind nur die Kampagnenparameter (UTM) utm_source, utm_medium, utm_campaign, utm_content und utm_term. Diese setzen wir in unseren eigenen Anzeigen- und Kampagnenlinks, um die Herkunft von Besuchen auszuwerten; personenbezogene Daten verwenden wir darin nicht. Externe Verweisquellen übermitteln wir nur als Herkunftsadresse ohne Pfad. Einzelheiten erläutert die Datenrichtlinie von Plausible.

Zweck ist die statistische Bewertung und Verbesserung unseres Informationsangebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit personenbezogene Daten verarbeitet werden; unser berechtigtes Interesse ist die Verbesserung unseres öffentlichen Informationsangebots. Informationen zum Widerspruch stehen in Abschnitt 9.

6. QR-Code-Scans und Kundeninhalte

Beim Aufruf einer QR-Weiterleitungsadresse verarbeiten wir Zeitpunkt, Code- und Organisationszuordnung, IP-Adresse und Browserkennung. Wir bilden daraus mit groben Geräte-, Browser- und Betriebssystemkategorien eine pseudonyme Tageskennung je Organisation. Neue Scan-Datensätze speichern weder die IP-Adresse noch einen dauerhaften IP-Hash oder vollständigen User-Agent. Infrastruktur-Logs können gesondert Verbindungsdaten enthalten.

Die Kennung wechselt täglich um 00:00 UTC. Sie dient zur Schätzung eindeutiger Besucher innerhalb desselben Tages und derselben Organisation, auch über mehrere Codes und Kampagnen hinweg. Werte über mehrere Tage summieren tägliche Schätzungen; sie zählen keine verlässlich identifizierten Personen. Gemeinsame Netzwerke oder Gerätewechsel können die Schätzung verzerren.

Gespeichert werden außerdem Gerätekategorien, verweisende Domain und verfügbare IP-abgeleitete Standortangaben (Land, Region, Stadt, Zeitzone und auf eine Nachkommastelle gerundete Koordinaten). Das ist keine feste Kilometer- oder Stadtgenauigkeitsgarantie. Diese Daten werden nicht pauschal als anonym behandelt. Technische Einzelheiten stehen in AVV Anlage 2.

Für kundenseitige Scan-Auswertungen ist der Kunde Verantwortlicher und bestimmt Zweck, Rechtsgrundlage und erforderliche Speicherdauer; WHITESPACE AS ist Auftragsverarbeiter. Bei Agenturketten kann der Kunde selbst Auftragsverarbeiter und WHITESPACE AS Unterauftragsverarbeiter sein. Aufbewahrung und Löschweisungen regelt AVV §8. Eigene Sicherheitsverarbeitung ist davon getrennt. Scanner benötigen kein Konto bei uns.

Der Kunde erfüllt die Informationspflichten gegenüber Scannern und holt erforderliche Einwilligungen ein. UTM-Parameter können an die Zieladresse angefügt werden. Für Zielwebsite, dortige Analysewerkzeuge und erforderliche Einwilligungen ist deren Betreiber verantwortlich; die Weiterleitung ersetzt diese nicht.

7. Aufbewahrung und Löschung

Der Kunde bestimmt als Verantwortlicher, wie lange Scan-Daten für seinen Zweck erforderlich sind. Als Auftragsverarbeiter speichern und löschen wir nach seinen Weisungen. Die Einzelheiten einschließlich Zeitraum-Löschung und Regeln nach Vertragsende stehen ausschließlich in AVV §8. Für technische Maßnahmen gilt AVV Anlage 2.

Eigene Konto-, Vertrags- und Supportdaten speichern wir nur, solange sie für Bereitstellung, Bearbeitung, gesetzliche Pflichten oder konkret erforderliche Rechtsansprüche benötigt werden. Kontolöschung kann über support@qrreport.app angefragt werden. Für erledigte Kontaktanfragen gilt Abschnitt 4; eine starre allgemeine Frist ist nicht festgelegt.

Provider-Protokolle: Vercel hält Laufzeitprotokolle im genutzten Pro-Tarif ohne Observability Plus für einen Tag vor. Bei Supabase Pro beträgt die Aufbewahrung der API- und Datenbankprotokolle sieben Tage. Diese Angaben beziehen sich auf die genannten Protokollkategorien, nicht pauschal auf alle Sicherheits- oder Abrechnungsdaten der Anbieter. Für AhaSend gelten die zweckbezogenen Fristen der Anbieter-Datenschutzhinweise; für eigene IP-haltige Serverprotokolle zu Sicherheits- und Betriebszwecken nennt AhaSend einen Monat. Das ist keine pauschale Frist für E-Mail-Inhalte oder Versandmetadaten; deren Speicherung richtet sich nach den für den Versand geltenden Vereinbarungen und Einstellungen.

Website-Statistik: bis zu fünf Jahre im Tarif Plausible Business. Wird die Website in Plausible vorher entfernt, werden ihre Statistikdaten früher gelöscht. Auch nach Ende des Plausible-Abonnements kann der Anbieter die Daten früher löschen.

Unternehmenspostfach: E-Mails bewahren wir bis zur Erledigung des Anliegens einschließlich erforderlicher Anschlussfragen auf. Korrespondenz mit Buchhaltungs- oder Vertragsbezug unterliegt den jeweils einschlägigen gesetzlichen Aufbewahrungsfristen; im Übrigen wird sie anschließend gelöscht, soweit nicht konkret erforderliche Rechtsansprüche eine längere Speicherung begründen.

Gesetzlich aufzubewahrende Geschäftsunterlagen: Für primäre Buchhaltungsunterlagen, etwa Buchungsbelege und Jahresabschlüsse, gelten nach §13 des norwegischen Buchführungsgesetzes (bokføringsloven) grundsätzlich fünf Jahre nach Ende des Geschäftsjahres. Für aufbewahrungspflichtige ergänzende Unterlagen, etwa bestimmte Verträge und Geschäftskorrespondenz, gelten grundsätzlich drei Jahre und sechs Monate nach Ende des Geschäftsjahres; dienen sie selbst als Buchungsbeleg, gilt die Frist für primäre Unterlagen. Besondere gesetzliche Pflichten oder behördliche Anordnungen können längere Fristen verlangen. Rechnungen an Kunden stellt Polar als Merchant of Record aus; unsere eigenen Buchführungs- und Nachweispflichten bleiben bestehen.

Datenbank-Sicherungen sind keine Live-Daten; ihre Abgrenzung zur Löschung von Auftragsdaten steht in AVV §8.

8. Übermittlungen außerhalb des EWR

Norwegen gehört zum EWR. Ein EU-Datenbankstandort ist keine Zusage ausschließlich europäischer Verarbeitung. Die folgende Übersicht trennt Anbieter, Zweck und mögliche Drittlandzugriffe. Kopien einschlägiger Garantien können beim Datenschutzkontakt angefragt werden.

9. Deine Rechte

Du hast unter den gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15–20 DSGVO). Gegen eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen (Art. 21 DSGVO). Den Widerspruch gegen die Website-Statistik richtest du über die Opt-out-Seite ein; sie setzt in deinem Browser den Eintrag plausible_ignore. Soweit eine Verarbeitung auf Einwilligung beruht, kannst du sie für die Zukunft widerrufen. Anfragen bitte an support@qrreport.app. Wir prüfen deine Berechtigung und antworten grundsätzlich innerhalb eines Monats; über eine gesetzlich zulässige Verlängerung informieren wir dich innerhalb dieser Frist.

Bei Scan-Daten unterstützen wir den verantwortlichen Kunden bei der Bearbeitung deiner Anfrage. Bitte nenne möglichst den QR-Link und den ungefähren Scan-Zeitpunkt, damit die Anfrage zugeordnet werden kann. Du kannst dich bei Datatilsynet in Norwegen oder einer zuständigen Datenschutzaufsicht, etwa an deinem gewöhnlichen Aufenthaltsort im EWR, beschweren.

Wir treffen im beschriebenen Dienst keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Personen im Sinne von Art. 22 DSGVO.

10. Änderungen

Wir aktualisieren diese Hinweise bei Änderungen der Verarbeitung. Über wesentliche Änderungen informieren wir betroffene Kontoinhaber angemessen. Maßgeblich ist das oben angegebene Datum des Inkrafttretens.