Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist:

SEE Service Group, Inhaber Sascha Ernst Franklinstr. 18, 58089 Hagen Deutschland E-Mail: contact@viveqode.com Telefon: +49 2331 6957172

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht bestellt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Datenschutzanfragen richtest du bitte an contact@viveqode.com.

3. Hosting und Aufruf der Website

Website, App-Schnittstelle und Datenbank laufen auf einem eigenen Server der netcup GmbH (Karlsruhe) in einem Rechenzentrum in Nürnberg, Deutschland. Mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf verarbeitet der Server technisch zwingend deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse sowie Browser- und Systemangaben, um die Seite auszuliefern. Unser Webserver schreibt keine Zugriffsprotokolle. Zum Schutz vor Missbrauch zählen wir Anfragen je IP-Adresse kurzzeitig im Arbeitsspeicher (Rate-Limiting); diese Zähler werden nicht dauerhaft gespeichert und verfallen nach spätestens 24 Stunden. Technische Fehlermeldungen der Anwendung enthalten keine IP-Adressen und werden spätestens bei der nächsten Aktualisierung der Anwendung verworfen.

Schriften werden von unserem eigenen Server geladen; es besteht beim Seitenaufruf keine Verbindung zu Google Fonts oder anderen Schrift-Anbietern. Wir setzen keine Analyse-, Werbe- oder Social-Media-Tracker ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Website) bzw. lit. b, soweit du einen Vertrag mit uns nutzt.

4. Cookies und lokale Speicherung

Wir verwenden nur technisch notwendige Cookies (Anmeldung, Schutz vor Formular-Missbrauch, Spracheinstellung) und speichern den Warenkorb lokal in deinem Browser. Dafür ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig. Die vollständige Liste steht auf der Seite Cookies.

Zur Cookie-Übersicht

5. Kundenkonto

• Verarbeitete Daten: E-Mail-Adresse, Benutzername, Passwort (nur als bcrypt-Hash), optional Anrede, Vor- und Nachname, Anschrift, Profilangaben; bei aktivierter Zwei-Faktor-Anmeldung der verschlüsselt gespeicherte TOTP-Schlüssel und Einmal-Backup-Codes (nur als Hash).
• Bei der Registrierung senden wir einen Bestätigungslink an deine E-Mail-Adresse (Double-Opt-in). Nicht bestätigte Konten können sich nicht anmelden.
• Team-Funktion: Lädt ein Konto Teammitglieder ein, verarbeiten wir deren E-Mail-Adresse und Rolle, um den gemeinsamen Zugriff zu ermöglichen.
• Für die iOS-App erhält das Gerät Anmelde-Token; deren Prüfsumme und die Gerätekennung der App (User-Agent) werden gespeichert, damit du dich auf einzelnen Geräten abmelden kannst.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

6. QR-Codes, Inhalte und öffentliche Seiten

• Wir speichern die Inhalte, die du hinter deinen Codes hinterlegst (Texte, Links, Bilder, Logos, Visitenkarten-Angaben, Zeitpläne, QR-Design), und liefern sie beim Scan öffentlich aus. Veröffentliche dort nur Daten, die öffentlich sein sollen; bei Daten Dritter brauchst du deren Einverständnis.
• Öffentliche Seiten sind standardmäßig für Suchmaschinen gesperrt (noindex). In kostenpflichtigen Tarifen kannst du die Anzeige in Suchmaschinen je Seite selbst freigeben; nur dann nehmen wir die Seite in unsere Sitemap auf.
• Eine Web-Visitenkarte bietet Besuchern einen vCard-Download mit den von dir eingetragenen Kontaktdaten an.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Scans und Statistik

Wer einen ViveQode-Code scannt oder einen Link auf einer ViveQode-Seite anklickt, wird über unseren Server weitergeleitet. Gehört der Code zu einem Konto mit Statistik-Funktion (ab Creator) oder zu einer eigenen Kampagne von ViveQode, speichern wir pro Ereignis:

• Zeitpunkt, Code und Art des Ereignisses (Scan, Klick, vCard-Download)
• eine pseudonyme Kennung: Prüfsumme (SHA-256) aus der vorher gekürzten IP-Adresse und der Browserkennung; die IP-Adresse selbst wird nicht gespeichert
• Land und Region, ermittelt aus der gekürzten IP-Adresse mit einer lokalen Datenbank auf unserem Server (keine Weitergabe)
• Geräteklasse (Smartphone, Tablet, Desktop) und, falls übermittelt, nur der Domainname der verweisenden Seite

Für Codes im Free-Tarif speichern wir keine Scan-Ereignisse. Cookies werden beim Scannen nicht gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse unserer Kunden und von uns an einer Reichweitenmessung ohne Personenbezug). Soweit wir Scan-Daten für Kunden verarbeiten, handeln wir als deren Auftragsverarbeiter; einen Vertrag nach Art. 28 DSGVO stellen wir Geschäftskunden auf Anfrage bereit. Kunden, die Scan-Statistiken nutzen, informieren ihre Besucher selbst über die Auswertung.

8. Externe Links und YouTube

Links auf öffentlichen Seiten führen erst nach einer Bestätigung zur Zielseite. Für die Inhalte und den Datenschutz verlinkter Seiten sind deren Betreiber verantwortlich.

Eingebettete YouTube-Videos laden erst, wenn du sie anklickst, und dann über den erweiterten Datenschutzmodus (youtube-nocookie.com) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Erst mit dem Klick werden deine IP-Adresse und Geräteangaben an Google übermittelt; dabei ist eine Übermittlung in die USA möglich (EU-US Data Privacy Framework). Rechtsgrundlage ist deine Einwilligung durch den Klick, Art. 6 Abs. 1 lit. a DSGVO.

9. Schutz vor Bots (ALTCHA)

Registrierung, Anmeldung, Anfrage- und Meldeformular schützen wir mit ALTCHA. Dein Browser löst dabei eine kleine Rechenaufgabe, die unser eigener Server stellt und prüft. Es werden keine Cookies gesetzt und keine Daten an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisiertem Missbrauch).

10. Shop, Abos und Zahlung (Stripe)

• Zur Bezahlung leiten wir dich zu Stripe weiter (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Stripe verarbeitet deine Zahlungsdaten selbst; Karten- oder Kontodaten erhalten wir nicht. Stripe erstellt auch die Rechnungen. Eine Übermittlung an Stripe, Inc. in den USA ist möglich (EU-US Data Privacy Framework, Standardvertragsklauseln).
• Wir speichern Bestellung, Rechnungsanschrift, gegebenenfalls Lieferanschrift, Abo-Status, die Stripe-Kundennummer sowie den Zeitpunkt deiner Zustimmung zu AGB und Widerrufshinweis.
• Physische Artikel (bedruckte oder bestickte Textilien) lässt der Anbieter je nach Produkt bei der Shirtigo GmbH (Köln, Print-on-Demand mit Versand direkt an dich) oder bei der Textildruckerei Backyard Prints (Deutschland) fertigen. Dafür übermitteln wir Name, Lieferanschrift und Bestellinhalt einschließlich des Druckmotivs mit deinem QR-Code. Beide verarbeiten die Daten als unsere Auftragsverarbeiter nach Art. 28 DSGVO. Für die Zustellung erhält das jeweilige Versandunternehmen Name und Lieferanschrift.
• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c (handels- und steuerrechtliche Aufbewahrung).

11. E-Mails, Kontakt und Anfragen

• Systemmails (Bestätigung, Passwort zurücksetzen, Bestell- und Kontohinweise) versenden wir über unseren E-Mail-Server bei der netcup GmbH. Werbe-Newsletter versenden wir nicht.
• Schreibst du uns oder nutzt du die Customization-Anfrage, verarbeiten wir deine Angaben (Name, E-Mail, Firma, Bedarf, Nachricht), um zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) bzw. lit. f.
• Inhalte melden: Über das Meldeformular speichern wir den Grund, deine optionale Nachricht und die betroffene Seite, um die Meldung zu prüfen (Art. 6 Abs. 1 lit. c und f DSGVO, Art. 16 Digital Services Act).

12. iOS-App

• App Store: Download und Updates laufen über Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland), das dafür selbst verantwortlich ist. In der App gibt es keine Käufe.
• Kamera und Fotos: Scannen und das Lesen von QR-Codes aus Fotos geschehen auf dem Gerät. Bilder werden nicht hochgeladen.
• Ohne Konto: Scanner, Link-Prüfung und Schnell-QR funktionieren ohne Anmeldung; dabei speichern wir nichts zu deiner Person.
• Scan-Verlauf: wird auf dem Gerät gespeichert und lässt sich in den Einstellungen abschalten. Nur wenn du den Cloud-Sync einschaltest (standardmäßig aus), speichern wir die Einträge in deinem Konto; beim Ausschalten löschen wir die Cloud-Kopie.
• Standort (optional): Erlaubst du den Zugriff, vermerkt die App den ungefähren Ort eines Scans im Verlauf auf dem Gerät.
• Nutzungsstatistik (optional, standardmäßig aus): Schaltest du „Analytics senden“ ein, übermittelt die App bei Scans Art und Quelle des Scans sowie, falls der Standortzugriff erlaubt ist, die Koordinaten an dein Konto. Wir nutzen das, um die App zu verbessern, und löschen die Daten nach 12 Monaten. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du in den Einstellungen jederzeit widerrufen kannst.
• Safe Scan (Link-Prüfung): Die App prüft gescannte Links zunächst auf dem Gerät. Kurzlinks löst sie auf, indem sie die Adresse selbst aufruft; der Betreiber des Kurzlink-Dienstes sieht dabei deine IP-Adresse. Für weitere Prüfungen fragt die App unseren Server: Auf dem Gerät liegt aus Platzgründen nur ein Teil der Google-Liste gefährlicher Seiten. Damit trotzdem die vollständige Liste zählt, sendet die App bei jedem geprüften Link gekürzte Prüfsummen (4-Byte-Hash-Präfixe) an unseren Server – nie die Adresse selbst und nie die vollständige Prüfsumme. Der Server gleicht sie mit seiner Kopie der Liste ab; ob ein Treffer wirklich zur Adresse passt, entscheidet die App auf dem Gerät. Die Prüfsummen speichern und protokollieren wir nicht; deine IP-Adresse verarbeiten wir dabei nur kurzzeitig im Arbeitsspeicher zur Begrenzung von Anfragen. Diesen Abgleich kannst du in den Einstellungen unter „Vollständige Google-Liste nutzen“ abschalten. Tippst du auf „Genauer prüfen“, erfragt der Server bei der zuständigen Domain-Registrierungsstelle per RDAP nur das Registrierungsdatum der Domain. Für Bestätigungen gleicht unser Server gekürzte Prüfsummen mit der Google Web Risk API ab (Google Ireland Limited). Google erhält dabei weder die Adresse noch deine IP-Adresse oder Kontodaten, sondern nur die Anfrage unseres Servers. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Schutz vor betrügerischen Links).
• Prüfung von Weiterleitungszielen: Hinterlegst du für einen Code eine externe Ziel-Adresse (Direkt-Weiterleitung oder Linkliste), gleicht unser Server diese Adresse beim Speichern, beim Aufruf des Codes und regelmäßig im Hintergrund mit der Google Web Risk API ab – auf dieselbe Weise wie bei Safe Scan, also nur über gekürzte Prüfsummen. Steht das Ziel auf Googles Liste gefährlicher Seiten, lehnen wir das Speichern ab oder sperren den Code und informieren dich per E-Mail; die Sperre und die Ziel-Adresse halten wir zur Prüfung und Nachvollziehbarkeit fest. Wenn die App einen ViveQode-Code prüft, ruft sie dessen Adresse einmal auf, um das Ziel zu ermitteln; dieser Prüfaufruf zählt nicht als Scan in der Statistik. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Schutz der Besucher vor betrügerischen Weiterleitungen).
• Meldungen aus Safe Scan: Tippst du in der Prüfkarte auf „Als Betrug melden“ oder „Fehlalarm melden“, senden wir die Art der Meldung, die Domain, die Einstufung der App und die App-Version per E-Mail an unser Team. Die vollständige Adresse geht nur mit, wenn du das in diesem Schritt ausdrücklich auswählst. Kontodaten werden nicht übermittelt. Wir nutzen die Meldung nur, um Warnungen zu verbessern, und löschen sie nach der Bearbeitung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, für die vollständige Adresse deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Anmeldedaten liegen im Schlüsselbund des Geräts; Widget-Daten (dein eigener Code) nur in einem gemeinsamen Speicher von App und Widget auf dem Gerät. Push-Mitteilungen, Werbe-IDs und Tracking-SDKs verwendet die App nicht.

13. Empfänger und Übermittlung in Drittländer

Empfänger sind nur die oben genannten Dienstleister: netcup GmbH (Hosting, E-Mail; Auftragsverarbeiter), Shirtigo GmbH und Backyard Prints (Textilfertigung; Auftragsverarbeiter), Stripe (Zahlung), Google (Web Risk; YouTube nur nach Klick), Apple (App-Vertrieb) und das jeweilige Versandunternehmen. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder geeigneter Garantien nach Art. 46 DSGVO (Standardvertragsklauseln). Behörden erhalten Daten nur, wenn wir gesetzlich dazu verpflichtet sind.

14. Speicherdauer

• Kontodaten und Inhalte: bis zur Löschung deines Kontos.
• Scan- und Klick-Ereignisse (pseudonym): 24 Monate, danach automatische Löschung; mit dem Löschen eines Codes sofort.
• Optionale App-Nutzungsstatistik: 12 Monate.
• Scan-Verlauf im Konto (Cloud-Sync): bis du ihn löschst oder den Sync abschaltest.
• Bestell-, Rechnungs- und Zahlungsdaten sowie Zustimmungsnachweise: 10 Jahre (§ 147 AO, § 257 HGB).
• Customization-Anfragen: 12 Monate nach der letzten Bearbeitung; erledigte Inhaltsmeldungen: 24 Monate.
• Sicherheits- und Änderungsprotokoll (Audit-Log): 36 Monate; Einträge zu Bestellungen und Zahlungen wie Rechnungsdaten.
• Datensicherungen erstellen wir täglich und löschen sie nach 14 Tagen; gelöschte Daten verschwinden spätestens dann auch aus den Sicherungen.

15. Konto löschen und QR-Code-Garantie

Du kannst dein Konto im Dashboard oder in der App selbst löschen. Wir entfernen dabei deine persönlichen Daten und Inhalte. Gekaufte Lifetime-Codes (Code-Packs, Textilien, Web-Visitenkarte) bleiben ohne Personenbezug scanbar und zeigen eine allgemeine ViveQode-Seite, damit bereits gedruckte Materialien nicht ins Leere laufen. Daten, die wir gesetzlich aufbewahren müssen, sperren wir bis zum Ablauf der Frist.

16. Deine Rechte

• Auskunft (Art. 15 DSGVO); einen Export deiner Daten kannst du im Dashboard unter Konto selbst herunterladen.
• Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3), z. B. durch Ausschalten von „Analytics senden“ in der App.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

17. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Du bist nicht verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse können wir aber kein Konto anlegen und ohne Zahlungs- und Anschriftsdaten keine Bestellung abwickeln. Automatisierte Entscheidungen oder Profiling nach Art. 22 DSGVO finden nicht statt.

18. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt (mit HSTS). Passwörter speichern wir nur als bcrypt-Hash. Weitere Maßnahmen: Content-Security-Policy, Prüfung der Stripe-Signaturen, Bereinigung hochgeladener Inhalte, Begrenzung von Anfragen, tägliche Datensicherungen und Zwei-Faktor-Anmeldung für alle Konten.

19. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Über wesentliche Änderungen informieren wir registrierte Nutzer per E-Mail.