Datenschutzrichtlinie: GDPR-Rollen und Datenflüsse

1. Verantwortlicher

TracePass LTD (UIC 208790302), Shtrossmayer Straße, 1309 Sofia, Bulgarien, EU.

Website: tracepass.eu

Kontakt: info@tracepass.eu

Rollen: Verantwortlicher vs. Auftragsverarbeiter. TracePass ist Verantwortlicher für Websitebesucher, Konto-Registrierungs- und Verwaltungsdaten und Abrechnungsdaten. Für die Produkt- und Passinhalte, die Sie über die Plattform veröffentlichen (technische Spezifikationen, Lieferanteninformationen, Nachweisdokumente usw.), sind Sie der Verantwortliche, und TracePass handelt als Auftragsverarbeiter in Ihrem Auftrag — wir verarbeiten diese Inhalte ausschließlich nach Ihren Weisungen, um Ihre Digitalen Produktpässe zu erstellen, zu hosten und auszuliefern. Das bedeutet auch, dass die Richtigkeit, Rechtmäßigkeit und regulatorische Wahrhaftigkeit der Passdaten in Ihrer Verantwortung bleiben (siehe Nutzungsbedingungen, Abschnitt 6).

2. Welche Daten wir erheben

2.1 Plattform

Daten	Zweck	Rechtsgrundlage	Speicherdauer
Kontodaten (E-Mail, Firma, USt-IdNr.)	Diensterbringung	Vertrag (Art. 6(1)(b))	Bis zu Ihrem Ausstieg; danach mindestens 30 Tage abrufbar; 12 Monate danach teilen wir Ihnen per E-Mail das Löschdatum mit, 90 Tage später, und löschen ab diesem Datum, sofern Sie die Anfrage nicht widerrufen oder sich erneut anmelden (Nutzungsbedingungen, Abschnitt 10a)
Eine verschlüsselte Offline-Kopie der Daten, die wir löschen	Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen	Berechtigtes Interesse (Art. 6 Abs. 1 lit. f); aufbewahrt nach Art. 17 Abs. 3 lit. e	5 Jahre nach dem Löschdatum, danach vernichtet
Hochgeladene Produktdaten	DPP-Generierung	Vertrag (Art. 6(1)(b))	Wie Kontodaten
DPP-Inhalte	Hosting der Pässe	Vertrag (Art. 6(1)(b))	Öffentlich, solange Ihr Tarif die Pässe veröffentlicht hält (Nutzungsbedingungen, Abschnitt 10); nach Ihrem Ausstieg zusammen mit Ihren übrigen Daten gelöscht, wie oben, außer Pässen, die nach Produktrecht verfügbar bleiben müssen (Batterien: bis zum Recycling; Spielzeug und Waschmittel: 10 Jahre nach dem Inverkehrbringen); diese werden ohne personenbezogene Daten aufbewahrt, wie in den Nutzungsbedingungen, Abschnitt 10a, beschrieben. Damit sie nach dem Ende Ihres Tarifs öffentlich verfügbar bleiben, exportieren Sie sie oder übertragen Sie sie zu einem anderen Anbieter.
Nutzungsereignisse in der Anwendung (abgeschlossene Schritte, z. B. Produkt angelegt, Datenblatt hochgeladen — nur Konto- und Unternehmens-IDs, keine Dokumentinhalte)	Verbesserung des Einstiegs und des Produkts	Berechtigtes Interesse (Art. 6(1)(f))	180 Tage
Woher Sie bei der Registrierung kamen (Kampagnenmerkmale im aufgerufenen Link, etwa utm-Parameter oder eine LinkedIn-Klick-ID; die verweisende Website; die Produktkategorie des Leitfadens, von dem Sie kamen)	Erkennen, welche Kanäle und Inhalte zu Registrierungen führen	Berechtigtes Interesse (Art. 6(1)(f))	Wie bei den Kontodaten
Zahlungsdaten	Rechnungsstellung	Vertrag (Art. 6(1)(b))	Gemäß Steuerrecht (i.d.R. 10 Jahre)

2.2 Automatisch erhoben

IP-Adresse, Browsertyp, besuchte Seiten über Standard-Webserver-Logs. Keine Tracking-Cookies. Rechtsgrundlage: Berechtigtes Interesse (Art. 6(1)(f)) für Sicherheit und Dienstverbesserung. Speicherdauer: 90 Tage.

Wenn jemand einen öffentlichen Produktpass öffnet (zum Beispiel durch Scannen des QR-Codes), ermitteln wir aus der IP-Adresse einen ungefähren Standort (Land, Region und Stadt) mithilfe einer Geolokalisierungsdatenbank auf unserem eigenen Server und speichern nur diesen Standort zusammen mit dem Scan, für die Scan-Statistiken des Pass-Inhabers. Die IP-Adresse wird nicht mit dem Scan gespeichert und an keinen Dritten übermittelt; um eindeutige Besucher zu zählen, speichern wir einen Einweg-Hash aus IP-Adresse, Browser und Datum, aus dem sich die Adresse nicht zurückgewinnen lässt. Rechtsgrundlage: Berechtigtes Interesse (Art. 6(1)(f)), Herstellern zusammengefasste Scan-Statistiken bereitzustellen. Geolokalisierungsdaten von DB-IP (db-ip.com).

2.3 Leitfaden-Downloads

Wenn jemand ein Leitfaden-PDF anfordert, erheben wir die E-Mail-Adresse, den Firmennamen (optional), die gewählte Leitfaden-Kategorie und die Sprachpräferenz, um den Leitfaden und eine Bestätigungskopie zu versenden. Rechtsgrundlage: Berechtigtes Interesse (Art. 6(1)(f)). Falls das optionale Marketing-Kästchen angekreuzt wird, halten wir außerdem den exakten angezeigten Einwilligungstext und den Zeitpunkt der Einwilligung fest und können gelegentliche DPP-Compliance-Updates versenden. Rechtsgrundlage für optionale E-Mails: Einwilligung (Art. 6(1)(a)). Um die Einwilligung jederzeit zu widerrufen, antworten Sie auf eine solche E-Mail mit dem Wort "unsubscribe" oder schreiben Sie an info@tracepass.eu.

Enthält der aufgerufene Link Kampagnenmerkmale (utm-Parameter) oder eine LinkedIn-Klick-ID, speichern wir sie mit der Anfrage, um zu erkennen, aus welcher Kampagne sie stammt. Rechtsgrundlage: Berechtigtes Interesse (Art. 6(1)(f)). Nur wenn Sie Cookies akzeptiert haben (Abschnitt 7), melden wir den Download außerdem als Werbe-Conversion an LinkedIn; LinkedIn erhält Ihre E-Mail-Adresse dann nur als Einweg-Hash, nie in lesbarer Form, und gegebenenfalls die Klick-ID.

3. Wie wir Ihre Daten verwenden

Um Sie zu Ihrem Konto, Abrechnung, Sicherheit und wesentlichen Produktänderungen zu kontaktieren
Zur Bereitstellung des DPP-Generierungs- und Hosting-Dienstes
Zum Hosten und Bereitstellen Ihrer Digitalen Produktpässe
Zur Verbesserung unserer Plattform und Behebung von Problemen
Zur Erfüllung gesetzlicher Pflichten

Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten NICHT mit Dritten zu Marketingzwecken.

4. Auftragsverarbeiter (Drittanbieter)

Dienst	Zweck	Standort	Status
Cloudflare	DNS	Global (EU-Knoten)	Aktiv
Hetzner	Hosting der Plattform und der Website	Deutschland	Aktiv
Cloudflare R2	Dokumenten- und Bildspeicher, Datenbank-Backups	EU (Kundendateien, Backups); öffentliche Bilder nicht beschränkt	Aktiv
Stripe	Zahlungsabwicklung	Irland (Stripe Payments Europe); Stripe, Inc. (USA) kann sie ebenfalls verarbeiten	Aktiv
Resend	Transaktionale E-Mails	Versandregion in der EU (Irland); Resend, Inc. hat ihren Sitz in den USA	Aktiv
Anthropic (Claude API)	KI-Dokumentenverarbeitung	USA (zur Extraktion hochgeladene Dokumente)	Aktiv

5. Datenspeicherung und Sicherheit

Die Anwendung, ihre Datenbank und die Website werden in der EU gehostet (Hetzner, Deutschland). Hochgeladene Dateien, erzeugte Dokumente und Datenbank-Backups werden bei Cloudflare R2 in dessen EU-Rechtsraum gespeichert; die öffentlichen Bilder, die veröffentlichte Pässe zeigen, liegen dort ohne EU-Beschränkung. Daten werden bei der Übertragung (HTTPS/TLS) verschlüsselt, und gespeicherte Dateien, die Datenbank und ihre Backups sind auch im Ruhezustand verschlüsselt. Wir verwenden branchenübliche Sicherheitsmaßnahmen zum Schutz Ihrer Daten.

6. Ihre Rechte (DSGVO)

Sie haben das Recht auf:

Auskunft (Art. 15) — eine Kopie Ihrer Daten anfordern
Berichtigung (Art. 16) — unrichtige Daten korrigieren
Löschung (Art. 17) — die Löschung Ihrer Daten beantragen
Einschränkung (Art. 18) — die Verarbeitung Ihrer Daten einschränken
Datenübertragbarkeit (Art. 20) — Ihre Daten in maschinenlesbarem Format erhalten
Widerspruch (Art. 21) — der Verarbeitung auf Grundlage berechtigter Interessen widersprechen
Widerruf der Einwilligung (Art. 7(3)) — jederzeit, ohne Auswirkung auf die vorherige Verarbeitung

So üben Sie Ihre Rechte aus: Senden Sie eine E-Mail an info@tracepass.eu mit Ihrem Antrag. Wir werden Ihre Identität überprüfen und innerhalb von 30 Tagen antworten. Wenn wir mehr Zeit benötigen, informieren wir Sie innerhalb der ersten 30 Tage.

Beschwerderecht: Sie haben das Recht, eine Beschwerde bei der Kommission für den Schutz personenbezogener Daten (KZLD), Bulgarien, oder bei Ihrer zuständigen Aufsichtsbehörde einzureichen.

7. Cookies

Wir verwenden Google Analytics 4 zur Analyse des Website-Verkehrs und das LinkedIn Insight Tag zur Messung der Performance unserer Werbekampagnen. Beide werden erst geladen, nachdem Sie der Cookie-Nutzung über unser Einwilligungsbanner zugestimmt haben — bei Ablehnung werden keine Drittanbieter-Skripte ausgeführt. Funktionale Cookies (z.B. Sitzungsverwaltung im Anwendungs-Portal) können unabhängig von Ihrer Wahl verwendet werden.

Wenn Sie Cookies akzeptieren, speichern wir außerdem die Kampagnenmerkmale Ihres Besuchs (utm-Parameter, LinkedIn-Klick-ID und die verweisende Website) im Sitzungsspeicher Ihres Browsers, damit sie noch bekannt sind, wenn Sie sich auf einer anderen Seite registrieren oder einen Leitfaden anfordern. Der Sitzungsspeicher wird gelöscht, wenn Sie den Tab schließen. Lehnen Sie ab, wird nichts gespeichert: Die Merkmale werden nur von der aktuellen Seite gelesen.

8. Internationale Übermittlungen

Die Anwendung, ihre Datenbank und die Website werden in der EU gehostet. Einige der von uns genutzten Dienste (Abschnitt 4 und die Cookies in Abschnitt 7) haben ihren Sitz in den USA oder können Daten dort verarbeiten:

Anthropic (KI-Dokumentenverarbeitung). Die Dokumente, die Sie zur Extraktion hochladen, werden an sie gesendet und können personenbezogene Daten enthalten, wenn ein Dokument solche enthält (etwa einen Ansprechpartner in einem Datenblatt).
Cloudflare (Dateispeicher und Datenbank-Backups).
Stripe, Inc. und Resend, Inc., die US-Muttergesellschaften unserer Zahlungs- und E-Mail-Anbieter.
Google und LinkedIn, nur wenn Sie Analyse-Cookies akzeptieren (Abschnitt 7).

Jede Übermittlung stützt sich auf das EU-US Data Privacy Framework, sofern der Empfänger danach zertifiziert ist, und andernfalls auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag des Empfängers. Eine Kopie der Garantien können Sie unter info@tracepass.eu anfordern.

9. Änderungen dieser Richtlinie

Wir können diese Richtlinie aktualisieren. Änderungen werden auf dieser Seite mit aktualisiertem Datum veröffentlicht. Wesentliche Änderungen werden per E-Mail an registrierte Benutzer kommuniziert.

10. Kontakt

Für datenschutzbezogene Fragen oder Anfragen:

E-Mail: info@tracepass.eu

TracePass LTD, Shtrossmayer Straße, 1309 Sofia, Bulgarien, EU