Datenschutzerklärung

Diese Übersetzung dient ausschließlich der Information. Bei Abweichungen zwischen dieser Fassung und der spanischen Fassung ist die spanische Fassung maßgeblich.

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung ist Juan José Camacho, ansässig in 04005, Almería, Spanien. Datenschutzkontakt: support@qr-branding.com.

2. Welche Daten wir erheben

Das Minimum, das nötig ist, um den Dienst zu erbringen und unsere gesetzlichen Pflichten zu erfüllen:

• Konto: E-Mail-Adresse (genutzt für Quittungen, den Rückerstattungslink und Auszahlungen an Affiliate-Partner).
• Abrechnung: vollständig von unserem Merchant of Record abgewickelt – wir erhalten eine Kunden-ID sowie den Bestellbetrag + die Währung. Kartendaten sehen wir nie.
• Nutzung: Metadaten pro Anfrage (Zeitstempel, Endpunkt, Änderung des Credit-Guthabens, IP für das Rate-Limit, Ländercode zur Erkennung der Währung).
• QR-Inhalt: der Text oder die URL, die du codierst. Wird nur für die Dauer der Anfrage gespeichert, es sei denn, du speicherst ihn ausdrücklich im Editor; in diesem Fall wird er im Verlauf deines Kontos gespeichert.
• KI-Prompts: werden 30 Tage als SHA-256-Hash für den Idempotenz-Cache aufbewahrt; der Prompt im Klartext wird nach der Anfrage verworfen.
• Cookielose Analyse: Den aggregierten Traffic (Seitenaufrufe, Land, Geräte- und Browsertyp, Ladezeiten) messen wir mit Cloudflare Web Analytics. Es nutzt keine Cookies oder dauerhaften Kennungen, speichert deine IP nicht und verfolgt dich nicht über Websites hinweg.
• Eigene Nutzungsereignisse: In unserer eigenen Datenbank erfassen wir die wichtigsten Schritte im Produkt: den Einstiegsbesuch und seine Herkunft (Kampagnen-Kennzeichen oder verweisende Domain, nie die vollständige URL), das Öffnen des Editors, den Export eines Designs (und dessen Format), das Erzeugen eines Designs mit KI, die Kontoerstellung, Beginn und Abschluss eines Kaufs, Rückerstattungen sowie das Installieren oder Öffnen der App. Jedes Ereignis speichert die Plattform (Web am Computer, Web am Smartphone oder installierte App), die Sprache, deine mit einem geheimen Schlüssel pseudonymisierte IP und, wenn du angemeldet bist, deine Kunden-ID. Es enthält weder deine QR-Inhalte noch den Text deiner Prompts und nutzt keine Cookies.
• Cookies: NEXT_LOCALE, NEXT_CURRENCY, NEXT_COUNTRY (Einstellungen), qr_ref (Affiliate-Zuordnung, 90 Tage). Keine Werbe- oder Analyse-Cookies.
• Lokaler Speicher: qrb_install_dismissed merkt sich 30 Tage lang, dass du den Hinweis zum Installieren der App geschlossen hast. Er wird nie an unsere Server gesendet.

3. Rechtsgrundlagen

• Vertragserfüllung – Konto-, Abrechnungs- und Nutzungsdaten, die nötig sind, um die bezahlten Credits bereitzustellen.
• Rechtliche Verpflichtung – steuerliche Aufzeichnungen (von unserem Merchant of Record 5 Jahre aufbewahrt).
• Berechtigtes Interesse – Missbrauchsprävention (IP, Rate-Limit-Zähler).
• Berechtigtes Interesse – aggregierte Messung der Reichweite und des Produkt-Funnels, um den Dienst zu verbessern (cookielose Analyse und eigene Nutzungsereignisse).

4. Kategorien von Auftragsverarbeitern

Wir setzen eine kleine Zahl spezialisierter Auftragsverarbeiter ein. Jeder ist durch einen schriftlichen Auftragsverarbeitungsvertrag (AVV) gebunden und handelt nur auf dokumentierte Weisung. Die folgenden Kategorien beschreiben, was der jeweilige Empfänger tut; die vollständige namentliche Liste der Unterauftragsverarbeiter (mit juristischer Person und Region) ist unter /subprocessors veröffentlicht und wird bei jedem Wechsel eines Unterauftragsverarbeiters aktualisiert.

• Unser Merchant of Record (in der EU registrierter Zahlungsdienstleister) – Abrechnung, Rechnungen, Rückerstattungen.
• Unser Anbieter für Transaktions-E-Mails – Zustellung von Quittungen und Konto-E-Mails.
• Unser CDN- und Edge-Runtime-Anbieter – Hosting des Frontends, CDN für Assets und aggregierte Webanalyse ohne Cookies.
• Unser Anbieter einer verwalteten Postgres-Datenbank (Region USA) – Bestell- und Credit-Register.
• Unser Anbieter für verwalteten Cache und Rate-Limit-Zähler – Caching, Rate-Limits, Idempotenz von Webhooks.
• Unser Host für Serverless-Funktionen (Region EU) – Backend-API und Rendering-Engine.
• Externe LLM-Anbieter – werden nur aufgerufen, wenn du der KI-Generierung ausdrücklich zustimmst; der pro Anfrage genutzte Anbieter wird zur Kostenabstimmung protokolliert. Übermittelt werden nur Prompt + Parameter; keine E-Mail- oder Abrechnungsdaten.

5. Internationale Übermittlungen

Einige Auftragsverarbeiter haben ihren Sitz in den Vereinigten Staaten. Übermittlungen aus dem EWR/Vereinigten Königreich stützen sich, je nach Fall, auf das EU-US Data Privacy Framework oder auf die EU-Standardvertragsklauseln. Kopien der maßgeblichen SCC erhältst du auf Anfrage unter support@qr-branding.com.

6. Speicherdauer

• Konto-E-Mail: solange dein Konto aktiv ist + 90 Tage.
• Bestellungen, Quittungen und Credit-Register: 5 Jahre (steuerliche Pflicht).
• Nutzungsprotokolle (IP, Endpunkt, Zeitstempel): 30 Tage.
• Cache-Schlüssel der KI-Prompts: 30 Tage. Ursprünglicher Prompt-Text: wird nicht über die Anfrage hinaus gespeichert.
• Eigene Nutzungsereignisse: 13 Monate. Schließt du dein Konto, werden sie davon getrennt; die anonymen Zählungen bleiben erhalten. Vor dem Löschen fassen wir sie zu anonymen Tagessummen zusammen (Anzahl der Ereignisse pro Tag, Plattform und Herkunft, ohne Kundenkennung oder IP), die wir zu statistischen Zwecken unbefristet aufbewahren.

7. Deine Rechte

Nach der DSGVO / UK-DSGVO / vergleichbaren Gesetzen kannst du Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung der Verarbeitung und Widerspruch verlangen. Schreib dazu von der mit deinem Konto verknüpften E-Mail-Adresse an support@qr-branding.com – wir antworten innerhalb von 30 Tagen. Du kannst außerdem Beschwerde bei der Agencia Española de Protección de Datos (AEPD) einlegen.

8. Sicherheit

Der gesamte Datenverkehr läuft ausschließlich über HTTPS. Datenbankverbindungen sind TLS-verschlüsselt. Secrets werden als verschlüsselte Umgebungsvariablen gespeichert, die von unseren Hosting-Anbietern verwaltet werden. Backups sind im Ruhezustand verschlüsselt. Wesentliche Datenvorfälle melden wir innerhalb von 72 Stunden nach ihrer Entdeckung gemäß unserem Verfahren zur Reaktion auf Vorfälle.

9. Kinder

Der Dienst richtet sich nicht an Personen unter 16 Jahren. Wir erheben nicht wissentlich Daten von Kindern. Kontaktiere uns, falls du glaubst, dass dies geschehen ist.

10. Änderungen

Wesentliche Änderungen werden 30 Tage im Voraus per E-Mail an die hinterlegte Adresse angekündigt. Das Datum „Aktualisiert“ oben auf dieser Seite gibt die letzte Änderung an.