Datenschutzerklärung

Stand: November 2026 | Verantwortlicher: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Grundsätze

Wir verarbeiten personenbezogene Daten im Einklang mit der DSGVO (EU) 2016/679. Der Schutz Ihrer Daten ist uns ein zentrales Anliegen. qr3.app wurde nach dem Prinzip Privacy by Design entwickelt: IP-Adressen werden niemals gespeichert — sie werden am Edge (Cloudflare Workers) sofort mit HMAC-SHA-256 aus langlebigem Master-Secret, Zweck und UTC-Tag pseudonymisiert, bevor Daten persistiert werden.

2. Verarbeitete Daten

2.1 API-Nutzung (Registrierte Nutzer)

• Kontodaten: E-Mail-Adresse, Name (via Clerk.com Authentifizierung)
• Abrechnungsdaten: Stripe-Kunden-ID, Abonnementstatus (keine Kreditkartendaten — Stripe verarbeitet diese direkt)
• Nutzungsdaten: Erstellte QR-Codes, Workspace-Konfigurationen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

2.2 Scan-Analytics (Endnutzer, die QR-Codes scannen)

• IP-Pseudonym: HMAC-SHA-256 mit langlebigem Master-Secret, Zweck und UTC-Tag — pseudonymisierte personenbezogene Daten; nicht unmittelbar aus dem Hash zurückrechenbar, ein Inhaber des Secrets kann bekannte IP-Kandidaten für den jeweiligen Tag jedoch erneut berechnen
• Gerätedaten: Device-Typ, OS, Browser (aus User-Agent, anonymisiert)
• Geodaten: Land, Stadt (aus Cloudflare CF-IPCountry Header — keine IP gespeichert)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der QR-Code-Inhaber an Statistiken)
• Aufbewahrung: 90 Tage, danach automatische Löschung

2.3 Website-Besuch (qr3.app)

• Keine Tracking-Cookies
• Server-Logs: Cloudflare verarbeitet Verbindungsdaten gemäß ihrer Datenschutzerklärung

Zur Zählung von Seitenaufrufen je Sprachversion nutzt qr3.app Cloudflare Web Analytics. Der Dienst setzt keine Cookies und kein anderes clientseitiges Speicherverfahren ein, speichert keine IP-Adressen dauerhaft und bildet keine Nutzerprofile. Erfasst werden aggregiert: Seitenpfad, Referrer, Browser- und Gerätetyp sowie Land. Anbieter: Cloudflare, Inc., als Auftragsverarbeiter (Auftragsverarbeitungsvertrag). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweite je Sprachversion). Ein Widerspruchs-Cookie ist nicht erforderlich, da keine Daten auf Ihrem Gerät gespeichert werden.

2.4 Nutzungsstatistik und Webhook-Protokolle (Registrierte Nutzer)

• Nutzungsstatistik: Dashboard-Aktivität je Tag (an welchen UTC-Tagen ein Nutzer das Dashboard eines Workspace geöffnet hat) und API-Nutzungszähler je Operation und Tag (Anzahl der Anfragen eines API-Keys nach Operation und Ergebnis). Gespeichert werden bei der Dashboard-Aktivität die Kennungen von Nutzer, Organisation und Workspace, der UTC-Tag und der Zeitpunkt des ersten Aufrufs an diesem Tag, bei den API-Zählern die Kennungen von Organisation, Workspace und API-Key, der UTC-Tag, Operation, Ergebnis, Anzahl sowie der Zeitpunkt der ersten und der letzten Anfrage des Tages — keine IP-Adresse und kein User-Agent.
• Webhook-Zustellprotokolle: Je Zustellversuch Ereignistyp, Zeitpunkt, Status, HTTP-Statuscode und Antwortzeit, die gesendeten Ereignisdaten sowie das erste Kilobyte (1 KB) der Antwort des Empfängers oder eine Fehlermeldung. Bei Scan-Ereignissen enthalten die Ereignisdaten Land, Gerätetyp, Betriebssystem, Browser und Sprache des Besuchers, bei Code-Ereignissen den vollständigen Code samt Zieladresse und Notizen. Gespeichert werden keine IP-Adresse und kein User-Agent von Besuchern; die Ereignisdaten und die Antwort des Empfängers können aber personenbezogene Daten enthalten.
• Zweck: Betrieb, Fehlersuche und Produktverbesserung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb, an der Fehlersuche und an der Weiterentwicklung des Dienstes)
• Aufbewahrung: 90 Tage (der laufende UTC-Tag und die 89 Vortage), danach automatische Löschung; bei DELETE /v1/account sofort

2.5 Audit-Log (Registrierte Nutzer)

• Inhalt: Je Änderung in einem Workspace (etwa an Codes, API-Keys, Mitgliedern oder Webhooks) Zeitpunkt, Aktion, betroffene Ressource, die geänderten Werte und wer gehandelt hat (Nutzer-ID bzw. Kennung des API-Keys). Bei Aufrufen direkt über die API zusätzlich das IP-Pseudonym (HMAC-SHA-256 je UTC-Tag, eigener Zweck) und der User-Agent. Gespeichert werden keine IP-Adresse, keine Secrets und keine API-Keys.
• Zweck: Nachvollziehbarkeit von Änderungen für das Team eines Workspace und Sicherheit des Dienstes
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an nachvollziehbaren Änderungen und an der Sicherheit des Dienstes)
• Aufbewahrung: IP-Pseudonym und User-Agent 90 Tage, der Eintrag 365 Tage (jeweils der laufende UTC-Tag und die Vortage), danach automatische Löschung; bei DELETE /v1/account werden die Einträge eigener Organisationen sofort gelöscht, in anderen Teams IP-Pseudonym und User-Agent entfernt

3. Weitergabe an Dritte

Wir geben Daten nur an die folgenden Dienstleister weiter. Sie verarbeiten die Daten in unserem Auftrag (Art. 28 DSGVO), soweit nicht anders angegeben. Gelangen dabei Daten in die USA, stützt sich das auf das EU-US Data Privacy Framework, nach dem die US-Gesellschaften dieser Anbieter zertifiziert sind (Angemessenheitsbeschluss, Art. 45 DSGVO), und hilfsweise auf die Standardvertragsklauseln der EU-Kommission in ihren Auftragsverarbeitungsverträgen (Art. 46 Abs. 2 lit. c DSGVO).

• Cloudflare, Inc. (USA) — Infrastruktur, CDN, Workers: Betrieb von Website, Dashboard und API, Datenbank, Dateispeicher und Warteschlangen, Versand der Systemmails (Cloudflare Email Service) und Web Analytics (Abschnitt 2.3)
• Clerk, Inc. (USA) — Authentifizierung: E-Mail-Adresse, Name, Anmelde- und Sitzungsdaten (darunter IP-Adresse, daraus ermittelter Ort und Browser) und Bestätigungsmails. Bei der Registrierung bindet Clerk einen Schutz vor automatisierten Anmeldungen ein (Cloudflare Turnstile). Wer sich mit einem Google-Konto anmeldet, übergibt Clerk Name und E-Mail-Adresse aus diesem Konto.
• Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung und Rechnungen. Zahlungsdaten erfasst Stripe direkt, wir erhalten keine Kartendaten. Für Betrugsprävention, eigene gesetzliche Pflichten und die Weiterentwicklung seiner Produkte ist Stripe selbst verantwortlich.
• Functional Software, Inc. (Sentry) (USA, Speicherort EU) — Fehleranalyse für API, Weiterleitungen und Dashboard: Fehlermeldungen und Stichproben von Anfragen (Methode, Pfad ohne Parameter, Statuscode, Dauer, interne Kennungen). IP-Adressen, Header, Cookies und Parameter entfernen wir vor dem Versand, E-Mail-Adressen und Schlüssel im Text werden geschwärzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien und sicheren Betrieb)
• Google Cloud EMEA Ltd. (Irland; Google Cloud Web Risk) — Prüfung von Zieladressen auf Phishing und Schadsoftware: beim Anlegen oder Ändern eines Codes, bei einer Prüfung über die API und bei der nächtlichen Nachprüfung die Zieladresse des Codes bzw. die Links seiner Landing Page. Übermittelt wird nur die Adresse, keine Konto- oder Besucherdaten; enthält die Adresse selbst personenbezogene Daten (etwa in einem Parameter), gehen diese mit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Besucher vor betrügerischen Zielen und Sicherheit des Dienstes)
• Microsoft (Microsoft 365) — Postfach office@qr3.app: E-Mails an uns, auch Antworten auf Systemmails, und unsere Antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfragen zum Vertrag) bzw. lit. f (sonstige Anfragen)

Eine Weitergabe zu Werbezwecken findet nicht statt.

4. Ihre Rechte (DSGVO Art. 15–22)

• Auskunft (Art. 15): GET /v1/account/privacy oder E-Mail an office@qr3.app
• Datenportabilität (Art. 20): GET /v1/account/export — JSON-Export aller Daten
• Löschung (Art. 17): DELETE /v1/account oder E-Mail. Gelöscht wird sofort Ihr Konto: Organisationen, deren Eigentümer Sie sind, mit allen Workspaces, Codes, Produktpässen, Dateien und Statistiken (hat eine solche Organisation einen weiteren Organisations-Admin, übernimmt dieser sie samt Daten und Abonnement), Ihre Mitgliedschaften in fremden Organisationen, Ihr Login bei Clerk und Ihr Kundenkonto bei Stripe. Ein laufendes Abonnement endet sofort, ohne anteilige Erstattung. Bei sehr großen Konten ist die Löschung binnen weniger Stunden abgeschlossen. In den Datenbanksicherungen (Cloudflare D1 Time Travel) bleiben gelöschte Daten bis zu 30 Tage wiederherstellbar, danach sind sie endgültig entfernt. Ausgenommen sind Rechnungen, die wir für die gesetzliche Aufbewahrungsfrist von sieben Jahren bei Stripe aufbewahren (§ 132 BAO), und Meldungen Dritter über missbräuchliche Codes (Missbrauchsabwehr).
• Einschränkung (Art. 18): E-Mail an office@qr3.app
• Widerspruch (Art. 21): Jederzeit für berechtigte Interessen

5. Cookies

qr3.app setzt ausschließlich technisch notwendige Session-Cookies (Authentifizierung via Clerk). Keine Marketing- oder Tracking-Cookies. Auch Cloudflare Web Analytics (siehe Abschnitt 2.3) setzt keine Cookies. Einwilligung nach Cookie-Richtlinie ist daher nicht erforderlich.

6. Datensicherheit

Alle Daten werden verschlüsselt übertragen (TLS 1.3). Datenbank-Verschlüsselung at-rest via Cloudflare D1. API-Keys werden gehasht gespeichert. Webhook-Signaturen via HMAC-SHA256.

7. Beschwerderecht

Sie haben das Recht, Beschwerde bei der österreichischen Datenschutzbehörde einzulegen:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Kontakt Datenschutz

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app