Datenschutzrichtlinie

1. Einleitung

Willkommen bei QRolling. QRolling („QRolling", „wir", „uns", „unser" oder das „Unternehmen"), eine in Georgien unter der Nummer B26345195 (Nationale Agentur des öffentlichen Registers) eingetragene Gesellschaft mit beschränkter Haftung, mit Steuernummer EN3289008 und Sitz in 75A Erosi Manjgaladze Street, Tbilisi 0159, Georgien, betreibt die Website qrolling.com, ihre Subdomains (app, api, view) und die zugehörige Plattform zur Erstellung, Verwaltung, Analyse und Kampagnensteuerung von QR-Codes (zusammen der „Dienst").

QRolling ist der Verantwortliche für die im Zusammenhang mit dem Dienst verarbeiteten personenbezogenen Daten, sofern in dieser Datenschutzrichtlinie nicht angegeben ist, dass wir als Auftragsverarbeiter im Auftrag unserer Kunden handeln (z. B. bei Formulareinreichungen von Endnutzern und bei Scan-Analytik, die über die QR-Codes eines Kunden erhoben wird). Diese Datenschutzrichtlinie erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden, offenlegen, aufbewahren und schützen, wenn Sie unseren Dienst nutzen, unsere Website besuchen oder in sonstiger Weise mit uns interagieren.

Bei Datenschutzfragen erreichen Sie uns unter [email protected]. Ein Datenschutzbeauftragter (DPO) wurde nicht bestellt, da QRolling keine Behörde ist, die Kerntätigkeiten keine umfangreiche, systematische Überwachung von Betroffenen darstellen und keine besonderen Kategorien personenbezogener Daten in großem Umfang im Sinne von Artikel 37 DSGVO verarbeitet werden. Diese Beurteilung wird mit zunehmendem Verarbeitungsumfang neu bewertet.

Durch den Zugriff auf den Dienst oder dessen Nutzung bestätigen Sie, dass Sie diese Datenschutzrichtlinie gelesen und verstanden haben. Wenn Sie mit den hier beschriebenen Praktiken nicht einverstanden sind, nutzen Sie den Dienst bitte nicht.

Diese Datenschutzrichtlinie gilt für:

• Registrierte Nutzer, die über unsere Plattform QR-Codes erstellen und verwalten („Nutzer" oder „QR-Code-Ersteller");
• Personen, die von unseren Nutzern erstellte QR-Codes scannen („Endnutzer" oder „Scanner");
• Besucher unserer Website, die kein Konto besitzen („Besucher"); und
• Teammitglieder, die von Nutzern zur Zusammenarbeit an QR-Code-Projekten eingeladen wurden („Teammitglieder").

2. Internationale Nutzer

QRolling wird von einem in Georgia eingetragenen Unternehmen betrieben, dessen Infrastruktur und Unterauftragsverarbeiter sich in verschiedenen Ländern weltweit befinden. Durch die Nutzung des Dienstes bestätigen Sie, dass Ihre personenbezogenen Daten nach Georgia und in andere Länder übertragen, dort gespeichert und verarbeitet werden können, in denen unsere Unterauftragsverarbeiter tätig sind. Diese Länder können über Datenschutzgesetze verfügen, die von den Gesetzen Ihrer Rechtsordnung abweichen.

QRolling verpflichtet sich, die Datenschutzrechte aller Nutzer unabhängig von ihrem Aufenthaltsort zu respektieren. Wir gestalten unsere Praktiken so, dass sie den Grundsätzen der folgenden Datenschutz- und Privatsphäre-Rahmenwerke (unter anderem) entsprechen:

• GDPR — Datenschutz-Grundverordnung (Europäische Union);
• UK GDPR — Datenschutz-Grundverordnung des Vereinigten Königreichs;
• CCPA/CPRA — California Consumer Privacy Act und California Privacy Rights Act (Vereinigte Staaten);
• LGPD — Lei Geral de Proteção de Dados (Brasilien);
• PIPEDA — Personal Information Protection and Electronic Documents Act (Kanada);
• PIPA — Personal Information Protection Act (Südkorea);
• APPI — Act on the Protection of Personal Information (Japan);
• Privacy Act 1988 — Datenschutzgesetz (Australien);
• KVKK — Kişisel Verilerin Korunması Kanunu (Türkei); und
• alle weiteren geltenden Datenschutz- und Privatsphäre-Gesetze in den Rechtsordnungen, in denen sich unsere Nutzer befinden.

Einzelheiten zum Schutz Ihrer Daten bei internationalen Übermittlungen finden Sie in Abschnitt 9 — Internationale Datenübermittlungen. Informationen zu Ihren spezifischen Rechten finden Sie in den für Ihre Rechtsordnung geltenden Abschnitten (GDPR, CCPA/CPRA, LGPD).

3. Von uns erhobene Daten

Wir erheben Daten in zwei Hauptkategorien: Daten, die Sie uns direkt zur Verfügung stellen, und Daten, die automatisch durch Ihre Nutzung des Dienstes erhoben werden.

3.1 Von Ihnen bereitgestellte Daten

Kontodaten. Bei der Registrierung eines Kontos erheben wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (in sicher gehashter Form gespeichert; wir speichern Passwörter niemals im Klartext), Ihr Profilbild (falls hochgeladen), Ihre bevorzugte Sprache und Ihre Kontorolle. Wir erfassen außerdem Datum und Uhrzeit der Kontoerstellung.

Zahlungs- und Abrechnungsdaten. Wenn Sie ein kostenpflichtiges Abonnement abschließen oder einen Kauf tätigen, erheben wir Ihre Rechnungsadresse, Transaktionshistorie, Abonnement-Details und Rechnungsunterlagen. Zahlungsmitteldetails (wie Kredit- oder Debitkartennummern) werden ausschließlich von unseren PCI DSS-konformen externen Zahlungsdienstleistern erhoben und verarbeitet.

QR-Code-Inhalte. Wir speichern alle Daten, die Sie in QR-Codes eingeben, die Sie über den Dienst erstellen. Dies kann unter anderem URLs, Klartext, Kontaktinformationen (vCard-Daten), WLAN-Netzwerkzugangsdaten, Social-Media-Links, PDF-Dokumente, Bilder, Videodateien und alle anderen Inhalte umfassen, die Sie kodieren möchten. Diese Inhalte werden auf unseren Servern gespeichert, damit dynamische QR-Codes zum vorgesehenen Ziel aufgelöst werden können.

Teamdaten. Wenn Sie unsere Teamkollaborationsfunktionen nutzen, erheben wir E-Mail-Adressen der Teammitglieder, zugewiesene Rollen (z. B. Administrator, Bearbeiter, Betrachter) und Aktivitätsprotokolle, die aufzeichnen, welches Teammitglied bestimmte Ressourcen wann erstellt, bearbeitet oder gelöscht hat.

Kampagnendaten. Wenn Sie Marketingkampagnen erstellen, erheben wir Kampagnennamen, Beschreibungen, Tags, Ziele und Informationen darüber, welche QR-Codes mit jeder Kampagne verknüpft sind.

Kommunikationsdaten. Wenn Sie uns für Support kontaktieren, Feedback übermitteln oder auf andere Weise mit uns kommunizieren, erheben wir den Inhalt dieser Kommunikation zusammen mit den zugehörigen Metadaten (z. B. Datum, E-Mail-Adresse, Betreffzeile).

OAuth- und Drittanbieter-Anmeldedaten. Wenn Sie sich über einen Drittanbieter-Authentifizierungsdienst wie Google oder Apple bei QRolling anmelden („Mit Google anmelden" oder „Mit Apple anmelden"), erhalten wir vom Anbieter folgende Informationen: Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild (falls verfügbar und wenn Sie dem Anbieter die Weitergabe genehmigt haben). Wir erhalten keinen Zugang zu Ihrem Passwort von diesen Anbietern. Wir verwenden diese Informationen ausschließlich zur Erstellung und Pflege Ihres QRolling-Kontos. Sie können den Zugriff von QRolling auf Ihr Konto jederzeit über Ihre Google-Kontoeinstellungen (myaccount.google.com/permissions) oder Apple-ID-Einstellungen (appleid.apple.com) verwalten oder widerrufen.

3.2 Automatisch erhobene Daten

Scan-Analysedaten. Wenn ein Endnutzer einen über unseren Dienst generierten QR-Code scannt, erheben wir automatisch die folgenden Datenpunkte, um dem QR-Code-Ersteller Analysen bereitzustellen:

• IP-Adresse des scannenden Geräts;
• Ungefähre Geolokalisierung (Land und Stadt), abgeleitet von der IP-Adresse — wir erheben keine präzisen GPS-Koordinaten;
• Gerätetyp (Mobilgerät, Desktop oder Tablet);
• Betriebssystem des scannenden Geräts;
• Browsername und -version;
• Spracheinstellung wie vom Browser gemeldet;
• Zeitstempel des Scans;
• Eindeutiger Besucher-Fingerprint — ein sicher gehashter Identifikator, der aus Geräte- und Browsermerkmalen generiert wird und ausschließlich dazu dient, einmalige Scans von wiederholten Scans zu unterscheiden (wir verwenden diesen Fingerprint nicht zur Identifizierung von Personen);
• Referrer-URL (die Seite, von der der Scan ausging, sofern verfügbar).

Nutzungsdaten. Wir erheben Informationen darüber, wie Sie mit dem Dienst interagieren, einschließlich besuchter Seiten, genutzter Funktionen, Sitzungsdauer, Clickstream-Daten und innerhalb der Plattform durchgeführter Aktionen.

Cookie- und Local-Storage-Daten. Wir verwenden Cookies und den lokalen Browserspeicher, um Authentifizierungssitzungen aufrechtzuerhalten, Spracheinstellungen zu speichern und Übersetzungsdaten zwischenzuspeichern. Vollständige Details zur Verwendung von Cookies und ähnlichen Technologien finden Sie in Abschnitt 13.

4. Verwendung Ihrer Daten

Wir verwenden die von uns erhobenen Daten für folgende Zwecke:

• Dienstbereitstellung. Zur Bereitstellung, zum Betrieb und zur Wartung des Dienstes, einschließlich der Erstellung, des Hostings und der Auflösung von QR-Codes; der Verarbeitung von Scan-Weiterleitungen; und der Bereitstellung von Analyse-Dashboards für Nutzer.
• Authentifizierung und Sicherheit. Zur Überprüfung Ihrer Identität, zur Aufrechterhaltung Ihrer Sitzung, zum Schutz von Konten vor unbefugtem Zugriff, zur Erkennung und Verhinderung von Betrug und zur Durchsetzung unserer Nutzungsbedingungen.
• Abrechnung und Zahlungen. Zur Verarbeitung von Abonnements, Erstellung von Rechnungen, Verwaltung von Zahlungstransaktionen über unsere externen Zahlungsdienstleister und Bearbeitung von Abrechnungsanfragen.
• Analysen und Erkenntnisse. Zur Zusammenstellung, Aggregation und Darstellung von Scan-Analysedaten für QR-Code-Ersteller, damit diese verstehen können, wie ihre QR-Codes genutzt werden.
• Kommunikation. Zum Versand transaktionsbezogener E-Mails (Kontoverifizierung, Passwortzurücksetzungen, Abrechnungsbelege), zur Beantwortung von Support-Anfragen und, sofern Sie dem zugestimmt haben, zum Versand von Marketing-Mitteilungen über neue Funktionen oder Aktionen.
• Dienstverbesserung. Zur Analyse von Nutzungsmustern, Diagnose technischer Probleme, Durchführung interner Forschung und Entwicklung neuer Funktionen und Verbesserungen des Dienstes.
• Teamzusammenarbeit. Zur Erleichterung von Teameinladungen, Verwaltung von Rollen und Berechtigungen und Pflege von Aktivitätsauditprotokollen.
• Rechtliche Einhaltung. Zur Einhaltung geltender Gesetze, Vorschriften, rechtlicher Verfahren oder behördlicher Anfragen und zur Begründung, Ausübung oder Verteidigung rechtlicher Ansprüche.

5. Rechtsgrundlage der Verarbeitung (GDPR)

Wenn Sie sich im Europäischen Wirtschaftsraum (EWR), im Vereinigten Königreich oder in einer anderen Rechtsordnung befinden, die eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten erfordert, stützen wir uns auf folgende Grundlagen:

6. Weitergabe Ihrer Daten

Wir können Ihre Daten unter folgenden eingeschränkten Umständen weitergeben:

• Zahlungsdienstleister. Wir geben abrechnungsbezogene Daten an PCI DSS-konforme externe Zahlungsdienstleister (z. B. Stripe oder vergleichbare Anbieter) ausschließlich zum Zweck der Zahlungsabwicklung, Abonnementverwaltung und Betrugsprävention bei Zahlungen weiter.
• Cloud-Hosting- und Infrastrukturanbieter. Ihre Daten werden auf Servern gespeichert, die von externen Cloud-Infrastrukturanbietern betrieben werden. Diese Anbieter sind vertraglich verpflichtet, Daten nur nach unseren Weisungen und in Übereinstimmung mit den geltenden Datenschutzgesetzen zu verarbeiten.
• Analyseanbieter. Wir können Analysetools von Drittanbietern (wie Google Analytics) verwenden, um aggregierte Nutzungsmuster auf unserer Website zu verstehen. Diese Tools können anonymisierte oder pseudonymisierte Daten erheben, die ihren eigenen Datenschutzrichtlinien unterliegen.
• Strafverfolgung und rechtliche Anforderungen. Wir können Ihre Daten offenlegen, wenn wir gesetzlich dazu verpflichtet sind, als Reaktion auf eine gültige Vorladung, einen Gerichtsbeschluss oder eine andere rechtsverbindliche behördliche Anfrage, oder wenn wir in gutem Glauben davon ausgehen, dass die Offenlegung zum Schutz unserer Rechte, Ihrer Sicherheit oder der Sicherheit anderer, zur Untersuchung von Betrug oder zur Beantwortung einer behördlichen Anfrage erforderlich ist.
• Unternehmensübertragungen. Im Falle einer Fusion, Übernahme, Umstrukturierung, Insolvenz oder eines Verkaufs aller oder eines Teils unserer Vermögenswerte können Ihre personenbezogenen Daten als Teil dieser Transaktion übertragen werden. Wir werden Sie per E-Mail und/oder durch einen deutlich sichtbaren Hinweis auf unserer Website über jede Änderung des Eigentums oder der Verwendung Ihrer personenbezogenen Daten sowie über alle Wahlmöglichkeiten, die Sie in Bezug auf Ihre personenbezogenen Daten haben, informieren.
• Mit Ihrer Einwilligung. Wir können Ihre Daten für jeden anderen Zweck mit Ihrer ausdrücklichen Einwilligung weitergeben.

Wenn wir Daten an Dritte weitergeben, stellen wir sicher, dass angemessene vertragliche und technische Schutzmaßnahmen zum Schutz Ihrer personenbezogenen Daten vorhanden sind.

7. Datenaufbewahrung

Wir bewahren Ihre personenbezogenen Daten nur so lange auf, wie es zur Erfüllung der in dieser Datenschutzrichtlinie beschriebenen Zwecke erforderlich ist, es sei denn, eine längere Aufbewahrungsfrist ist gesetzlich vorgeschrieben oder zulässig.

Wenn Daten nicht mehr benötigt werden, löschen wir sie sicher oder anonymisieren sie unwiderruflich, sodass sie nicht mehr mit Ihnen in Verbindung gebracht werden können.

8. Datensicherheit

Wir nehmen die Sicherheit Ihrer personenbezogenen Daten ernst und implementieren branchenübliche technische und organisatorische Maßnahmen, um sie vor unbefugtem Zugriff, Veränderung, Offenlegung oder Zerstörung zu schützen. Diese Maßnahmen umfassen:

• Verschlüsselung bei der Übertragung. Alle zwischen Ihrem Gerät und unseren Servern übertragenen Daten werden mit TLS/SSL-Protokollen (Transport Layer Security / Secure Sockets Layer) verschlüsselt.
• Verschlüsselung im Ruhezustand. Sensible auf unseren Servern gespeicherte Daten, einschließlich Passwörter und Zahlungsreferenzen, werden mit starken Verschlüsselungsalgorithmen im Ruhezustand verschlüsselt.
• Passwort-Hashing. Benutzerpasswörter werden mit branchenüblichen Einweg-Hashing-Algorithmen mit einzigartigen Salts gespeichert. Wir speichern Passwörter niemals im Klartext.
• Zugriffskontrollen. Der Zugriff auf personenbezogene Daten ist auf autorisiertes Personal nach dem Need-to-know-Prinzip beschränkt. Wir setzen rollenbasierte Zugriffskontrollen, Multi-Faktor-Authentifizierung für Verwaltungssysteme und regelmäßige Zugriffsüberprüfungen ein.
• Regelmäßige Sicherheitsbewertungen. Wir führen regelmäßig Sicherheitsaudits, Schwachstellenanalysen und Penetrationstests durch, um potenzielle Sicherheitslücken zu identifizieren und zu beheben.
• Vorfallreaktion. Wir unterhalten einen Vorfallreaktionsplan, um Datensicherheitsverletzungen umgehend zu erkennen, zu untersuchen und einzudämmen. Im Falle einer Verletzung, die Ihre personenbezogenen Daten betrifft, werden wir Sie und die zuständigen Aufsichtsbehörden gemäß geltendem Recht benachrichtigen.

Obwohl wir uns bemühen, wirtschaftlich angemessene Mittel zum Schutz Ihrer personenbezogenen Daten einzusetzen, ist keine Übertragungsmethode über das Internet und keine elektronische Speichermethode zu 100 % sicher. Wir können die absolute Sicherheit Ihrer Daten nicht garantieren.

9. Internationale Datenübermittlungen

QRolling hat seinen Sitz in Georgia. Ihre personenbezogenen Daten können in andere Länder als das Land, in dem Sie Ihren Wohnsitz haben, übermittelt, dort gespeichert und verarbeitet werden. Diese Länder können über Datenschutzgesetze verfügen, die von den Gesetzen Ihrer Rechtsordnung abweichen. Georgia ist ein EU-Beitrittskandidat, dessen Datenschutzgesetzgebung, einschließlich des Gesetzes Georgiens zum Schutz personenbezogener Daten, an EU-Standards und die GDPR angeglichen ist.

Wenn wir personenbezogene Daten grenzüberschreitend übermitteln, treffen wir angemessene Schutzmaßnahmen, um sicherzustellen, dass Ihre Daten ein angemessenes Schutzniveau erhalten, darunter:

• Abschluss von der Europäischen Kommission genehmigten Standardvertragsklauseln (SVK) mit Datenempfängern außerhalb des EWR;
• Sicherstellung, dass unsere Hosting- und Infrastrukturanbieter angemessene Zertifizierungen und Compliance-Rahmenwerke aufrechterhalten;
• Implementierung zusätzlicher technischer Maßnahmen (wie Verschlüsselung) zum Schutz von Daten während der Übermittlung.

Durch die Nutzung des Dienstes stimmen Sie der Übermittlung und Verarbeitung Ihrer personenbezogenen Daten gemäß dieser Datenschutzrichtlinie zu.

10. Ihre Rechte nach der GDPR

Wenn Sie sich im Europäischen Wirtschaftsraum (EWR) oder im Vereinigten Königreich befinden, haben Sie nach der Datenschutz-Grundverordnung (GDPR) und den geltenden lokalen Gesetzen folgende Rechte:

• Auskunftsrecht. Sie haben das Recht, eine Kopie der personenbezogenen Daten, die wir über Sie gespeichert haben, sowie Informationen darüber, wie wir diese verarbeiten, anzufordern.
• Recht auf Berichtigung. Sie haben das Recht, die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten, die wir über Sie gespeichert haben, zu verlangen.
• Recht auf Löschung („Recht auf Vergessenwerden"). Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, vorbehaltlich bestimmter gesetzlicher Ausnahmen (z. B. wenn wir gesetzlich zur Aufbewahrung der Daten verpflichtet sind).
• Recht auf Einschränkung der Verarbeitung. Sie haben das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, beispielsweise wenn Sie die Richtigkeit der Daten bestreiten oder der Verarbeitung widersprechen.
• Recht auf Datenübertragbarkeit. Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten ungehindert an einen anderen Verantwortlichen zu übermitteln.
• Widerspruchsrecht. Sie haben das Recht, der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen, wenn wir uns auf berechtigte Interessen als Rechtsgrundlage stützen, einschließlich des auf diesen Interessen basierenden Profilings.
• Recht auf Widerruf der Einwilligung. Wenn wir Ihre Daten auf Grundlage Ihrer Einwilligung verarbeiten, haben Sie das Recht, diese Einwilligung jederzeit zu widerrufen. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der vor dem Widerruf durchgeführten Verarbeitung.
• Recht auf Beschwerde. Sie haben das Recht, bei einer Aufsichtsbehörde des EU-/EWR-Mitgliedstaats Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes Beschwerde einzulegen, wenn Sie der Ansicht sind, dass unsere Verarbeitung Ihrer personenbezogenen Daten gegen die GDPR verstößt. Da QRolling seinen Sitz in Georgia hat, können Sie auch eine Beschwerde beim Personenbezogene-Daten-Schutzdienst Georgiens (PDPS) einreichen, der lokalen Aufsichtsbehörde, die für die Überwachung der Einhaltung des georgischen Gesetzes zum Schutz personenbezogener Daten zuständig ist.

Ausübung Ihrer Rechte

Um eines der oben genannten Rechte auszuüben, kontaktieren Sie uns bitte unter [email protected] mit dem Betreff „Datenschutzanfrage". Wir werden Ihre Anfrage innerhalb von 30 Tagen beantworten. Vor der Bearbeitung Ihrer Anfrage können wir eine Identitätsprüfung anfordern. Ist Ihre Anfrage komplex oder haben Sie eine große Anzahl von Anfragen gestellt, können wir die Antwortfrist um weitere 60 Tage verlängern, wobei wir Sie über die Verlängerung und deren Gründe informieren.

Für die Ausübung Ihrer Rechte fallen keine Gebühren an, es sei denn, Anfragen sind offensichtlich unbegründet oder unverhältnismäßig (insbesondere bei wiederholten Anfragen), in welchem Fall wir eine angemessene Gebühr erheben oder die Bearbeitung der Anfrage ablehnen können.

11. Einwohner Kaliforniens (CCPA/CPRA)

Wenn Sie in Kalifornien ansässig sind, gewähren Ihnen der California Consumer Privacy Act (CCPA) und der California Privacy Rights Act (CPRA) bestimmte Rechte in Bezug auf Ihre personenbezogenen Daten. Dieser Abschnitt ergänzt den Rest dieser Datenschutzrichtlinie und gilt ausschließlich für Einwohner des Staates Kalifornien.

11.1 Kategorien erhobener personenbezogener Daten

In den vergangenen zwölf (12) Monaten haben wir folgende Kategorien personenbezogener Daten von kalifornischen Verbrauchern erhoben:

• Identifikatoren: Name, E-Mail-Adresse, Kontobenutzername, IP-Adresse und eindeutige Kontokennungen.
• Internet- oder sonstige elektronische Netzwerkaktivitätsinformationen: QR-Code-Scan-Daten, Browsing- und Interaktionsdaten, Gerätetyp, Betriebssystem, Browserinformationen und Referrer-URLs.
• Geolokalisierungsdaten: Ungefähre geografische Position (Land und Stadt), abgeleitet von IP-Adressen. Wir erheben keine präzisen GPS-Koordinaten.
• Geschäftsinformationen: Abonnement-Details, Abrechnungshistorie und Transaktionsdaten.
• Berufs- oder beschäftigungsbezogene Informationen: Nur wenn sie freiwillig in Konto- oder Teameinstellungen angegeben werden.

11.2 Ihre Rechte nach CCPA/CPRA

Als Einwohner Kaliforniens haben Sie folgende Rechte:

• Recht auf Auskunft. Sie haben das Recht zu verlangen, dass wir die Kategorien und konkreten Einzelheiten der über Sie erhobenen personenbezogenen Daten, die Kategorien der Quellen, aus denen die Daten erhoben wurden, den geschäftlichen oder kommerziellen Zweck der Erhebung und die Kategorien von Dritten, mit denen wir die Daten teilen, offenlegen.
• Recht auf Löschung. Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, vorbehaltlich bestimmter gesetzlicher Ausnahmen.
• Recht auf Berichtigung. Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen, die wir über Sie gespeichert haben.
• Recht auf Widerspruch gegen Verkauf oder Weitergabe. Sie haben das Recht, dem „Verkauf" oder der „Weitergabe" Ihrer personenbezogenen Daten zu widersprechen. Wie oben angegeben, verkauft oder teilt QRolling Ihre personenbezogenen Daten nicht (im Sinne des CCPA/CPRA), sodass ein Widerspruch nicht erforderlich ist. Sie können uns jedoch jederzeit kontaktieren, um dies zu bestätigen.
• Recht auf Einschränkung der Verwendung sensibler personenbezogener Daten. Wir verwenden oder offenbaren sensible personenbezogene Daten nicht für andere als die nach dem CPRA zulässigen Zwecke.
• Recht auf Nichtdiskriminierung. Wir werden Sie nicht benachteiligen, weil Sie Ihre CCPA/CPRA-Rechte ausüben. Wir werden Ihnen weder Waren oder Dienstleistungen verweigern noch andere Preise oder Tarife berechnen, noch ein anderes Niveau oder eine andere Qualität von Waren oder Dienstleistungen anbieten, noch andeuten, dass Sie infolge der Ausübung Ihrer Rechte einen anderen Preis oder eine andere Qualität erhalten könnten.

Um eine CCPA/CPRA-Anfrage einzureichen, kontaktieren Sie uns unter [email protected] mit dem Betreff „CCPA-Anfrage". Wir werden Ihre Identität überprüfen und innerhalb von fünfundvierzig (45) Tagen antworten. Sie können auch einen bevollmächtigten Vertreter benennen, der in Ihrem Namen eine Anfrage stellt, vorbehaltlich einer Identitätsprüfung.

12. Brasilianische Nutzer (LGPD)

Wenn Sie sich in Brasilien befinden, gewährt Ihnen die Lei Geral de Proteção de Dados (LGPD — Allgemeines Datenschutzgesetz, Gesetz Nr. 13.709/2018) bestimmte Rechte in Bezug auf Ihre personenbezogenen Daten. Dieser Abschnitt ergänzt den Rest dieser Datenschutzrichtlinie und gilt für Personen, die sich in Brasilien befinden.

12.1 Rechtsgrundlagen der Verarbeitung

QRolling verarbeitet die personenbezogenen Daten brasilianischer Nutzer auf folgenden Rechtsgrundlagen nach der LGPD:

• Einwilligung: Wenn Sie Ihre freie, informierte und unmissverständliche Einwilligung zur Verarbeitung Ihrer personenbezogenen Daten für einen bestimmten Zweck erteilt haben (z. B. Marketing-Mitteilungen, nicht wesentliche Cookies).
• Vertragserfüllung: Wenn die Verarbeitung zur Erfüllung oder Vorbereitung eines Vertrags erforderlich ist, dessen Partei Sie sind (z. B. Bereitstellung des Dienstes, Kontoverwaltung, Zahlungsabwicklung).
• Berechtigtes Interesse: Wenn die Verarbeitung für die berechtigten Interessen von QRolling oder eines Dritten erforderlich ist, sofern diese Interessen Ihre Grundrechte und -freiheiten nicht überwiegen (z. B. Betrugsprävention, Dienstverbesserung, Sicherheitsüberwachung).
• Rechtliche oder regulatorische Verpflichtung: Wenn die Verarbeitung zur Erfüllung geltender rechtlicher oder regulatorischer Verpflichtungen erforderlich ist (z. B. Aufbewahrung von Steuerunterlagen, Beantwortung rechtmäßiger Anfragen).

12.2 Ihre Rechte nach der LGPD

Als betroffene Person in Brasilien haben Sie nach der LGPD folgende Rechte:

• Bestätigung und Zugang. Das Recht, eine Bestätigung über das Vorliegen von Verarbeitungstätigkeiten zu erhalten und auf Ihre von QRolling gespeicherten personenbezogenen Daten zuzugreifen.
• Berichtigung. Das Recht, die Berichtigung unvollständiger, unrichtiger oder veralteter personenbezogener Daten zu verlangen.
• Anonymisierung, Sperrung oder Löschung. Das Recht, die Anonymisierung, Sperrung oder Löschung unnötiger oder übermäßiger personenbezogener Daten oder von Daten zu verlangen, die nicht in Übereinstimmung mit der LGPD verarbeitet werden.
• Datenübertragbarkeit. Das Recht, die Übertragbarkeit Ihrer personenbezogenen Daten an einen anderen Dienstanbieter oder ein anderes Produkt zu verlangen, vorbehaltlich geltender Vorschriften und Geschäfts- und Industriegeheimnisse.
• Löschung. Das Recht, die Löschung personenbezogener Daten zu verlangen, die auf Grundlage Ihrer Einwilligung verarbeitet werden, es sei denn, die Aufbewahrung ist gesetzlich vorgeschrieben oder anderweitig nach der LGPD zulässig.
• Information über die Weitergabe. Das Recht, Informationen über die öffentlichen und privaten Stellen zu erhalten, mit denen QRolling Ihre personenbezogenen Daten geteilt hat.
• Information über die Einwilligung. Das Recht, über die Möglichkeit, die Einwilligung nicht zu erteilen, und über die Folgen einer solchen Verweigerung informiert zu werden.
• Widerruf der Einwilligung. Das Recht, Ihre Einwilligung jederzeit zu widerrufen, ohne die Rechtmäßigkeit der vor dem Widerruf durchgeführten Verarbeitung zu berühren.

12.3 DPO

QRolling hat einen Datenschutzbeauftragten ernannt, der die Einhaltung der LGPD überwacht und als Ansprechpartner für betroffene Personen und die brasilianische nationale Datenschutzbehörde (ANPD) dient. Sie können unseren DPO unter folgender Adresse kontaktieren:

• DPO-E-Mail: [email protected]

12.4 Beschwerden bei der ANPD

Wenn Sie der Ansicht sind, dass QRolling Ihre personenbezogenen Daten unter Verstoß gegen die LGPD verarbeitet hat, haben Sie das Recht, eine Beschwerde bei der Autoridade Nacional de Proteção de Dados (ANPD), der brasilianischen nationalen Datenschutzbehörde, einzureichen. Informationen über die ANPD und das Beschwerdeverfahren finden Sie unter www.gov.br/anpd.

13. Cookies und Tracking-Technologien

Wir verwenden Cookies und ähnliche Technologien (einschließlich Browser-Local-Storage), um Kernfunktionen zu ermöglichen, Ihre Einstellungen zu speichern und zu verstehen, wie Sie den Dienst nutzen.

13.1 Arten der von uns verwendeten Cookies

13.2 Local Storage

Wir verwenden den lokalen Browserspeicher (localStorage), um Übersetzungsdaten für unsere mehrsprachige Benutzeroberfläche zwischenzuspeichern. Dies verbessert die Ladegeschwindigkeit und ist auf nicht-personenbezogene, funktionale Daten beschränkt.

13.3 Verwaltung von Cookies

Die meisten Webbrowser ermöglichen es Ihnen, Cookies über ihre Einstellungen zu verwalten. Sie können in der Regel wählen, ob Sie alle Cookies blockieren, alle Cookies akzeptieren oder benachrichtigt werden möchten, wenn ein Cookie gesetzt wird. Bitte beachten Sie, dass die Deaktivierung essenzieller Cookies Sie daran hindern kann, Kernfunktionen des Dienstes zu nutzen, wie z. B. die Aufrechterhaltung Ihrer Anmeldung.

Weitere Informationen zur Verwaltung von Cookies finden Sie unter www.allaboutcookies.org.

14. Datenschutz für Kinder

Der Dienst richtet sich nicht an Kinder unter 16 Jahren und ist nicht für deren Nutzung bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn wir erfahren, dass wir personenbezogene Daten eines Kindes unter 16 Jahren ohne Überprüfung der elterlichen Einwilligung erhoben haben, werden wir unverzüglich Maßnahmen ergreifen, um diese Daten zu löschen.

Wenn Sie ein Elternteil oder Erziehungsberechtigter sind und glauben, dass Ihr Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte unter [email protected], damit wir entsprechende Maßnahmen ergreifen können.

15. Links zu Drittanbietern

Über unseren Dienst erstellte QR-Codes können Links zu Websites, Anwendungen oder Diensten Dritter enthalten, die nicht im Eigentum oder unter der Kontrolle von QRolling stehen. Diese Datenschutzrichtlinie gilt nur für unseren Dienst. Wir haben keine Kontrolle über und übernehmen keine Verantwortung für die Inhalte, Datenschutzrichtlinien oder Praktiken von Websites oder Diensten Dritter.

Wenn Sie einen QR-Code scannen, der Sie auf eine Website eines Drittanbieters weiterleitet, regelt die Datenschutzrichtlinie dieser Website ab diesem Zeitpunkt die Erhebung und Verwendung Ihrer Daten. Wir empfehlen Ihnen nachdrücklich, die Datenschutzrichtlinie jeder von Ihnen besuchten Website zu überprüfen.

QRolling haftet nicht für Schäden oder Verluste, die sich aus Ihrer Nutzung von oder Ihrem Vertrauen auf Inhalte, Waren oder Dienstleistungen Dritter ergeben, die über auf unserer Plattform generierte QR-Codes zugänglich sind.

16. Scan-Daten und QR-Code-Scanner Dritter

Dieser Abschnitt ist sowohl für Endnutzer, die QR-Codes scannen, als auch für Nutzer, die über unsere Plattform QR-Codes erstellen, von Bedeutung.

16.1 Wie Scan-Daten erhoben werden

Wenn ein Endnutzer einen von QRolling generierten QR-Code scannt, wird die Scan-Anfrage über unsere Server geleitet, bevor der Endnutzer zur Ziel-URL weitergeleitet wird. Während dieser Weiterleitung erheben wir automatisch die in Abschnitt 3.2 dieser Richtlinie beschriebenen Scan-Analysedaten. Diese Datenerhebung erfolgt unabhängig davon, welche QR-Code-Scan-Anwendung der Endnutzer verwendet.

16.2 Rollen des Verantwortlichen und des Auftragsverarbeiters

Als Verantwortlicher ist der QR-Code-Ersteller verantwortlich für:

• Die Sicherstellung, dass seine Erhebung und Nutzung von Scan-Analysedaten den geltenden Datenschutzgesetzen entspricht;
• Die Bereitstellung angemessener Datenschutzhinweise für Endnutzer, sofern gesetzlich vorgeschrieben (z. B. durch Aufnahme eines Datenschutzhinweis-Links auf der Zielseite des QR-Codes);
• Die Beantwortung von Anfragen betroffener Personen von Endnutzern bezüglich der mit ihren QR-Codes verbundenen Scan-Daten; und
• Die Sicherstellung einer gültigen Rechtsgrundlage für die Verarbeitung von Scan-Daten.

16.3 Verantwortlichkeiten von QRolling als Auftragsverarbeiter

Als Auftragsverarbeiter:

• Verarbeitet QRolling Scan-Daten nur gemäß den Weisungen des QR-Code-Erstellers und den Bedingungen unserer Vereinbarung;
• Implementiert QRolling angemessene technische und organisatorische Sicherheitsmaßnahmen zum Schutz von Scan-Daten;
• Unterstützt QRolling den QR-Code-Ersteller bei der Erfüllung von Anfragen betroffener Personen, soweit technisch machbar;
• Verwendet QRolling Scan-Daten nicht für eigene unabhängige Zwecke über die Bereitstellung des Dienstes hinaus, außer in anonymisierter oder aggregierter Form für statistische Analysen und Dienstverbesserungen; und
• Benachrichtigt QRolling den QR-Code-Ersteller umgehend über jede Verletzung des Schutzes personenbezogener Daten, die Scan-Daten betrifft.

16.4 Scanner-Anwendungen Dritter

Endnutzer können verschiedene QR-Code-Scan-Anwendungen verwenden (einschließlich der integrierten Kamera-Anwendungen auf ihren Mobilgeräten), um QR-Codes zu scannen. Diese Scanner-Anwendungen Dritter können unabhängig Daten über den Endnutzer erheben. QRolling hat keine Kontrolle über die Datenerhebungspraktiken von Scanner-Anwendungen Dritter und ist dafür nicht verantwortlich. Endnutzer sollten die Datenschutzrichtlinie der von ihnen verwendeten Scanner-Anwendung überprüfen.

17. Auftragsverarbeitungsvertrag

QRolling bietet Unternehmenskunden und jedem Nutzer, der einen solchen für die Einhaltung der GDPR oder anderer Datenschutzvorschriften benötigt, einen Auftragsverarbeitungsvertrag (DPA) an.

Der DPA ergänzt diese Datenschutzrichtlinie und regelt die konkreten Bedingungen, unter denen QRolling als Auftragsverarbeiter personenbezogene Daten im Auftrag des Nutzers verarbeitet, einschließlich:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung;
• Arten der verarbeiteten personenbezogenen Daten und Kategorien betroffener Personen;
• Pflichten und Rechte des Verantwortlichen;
• Verfahren zur Einschaltung und Benachrichtigung von Unterauftragsverarbeitern;
• Pflichten zur Meldung von Datenschutzverletzungen; und
• Verfahren zur Rückgabe und Löschung von Daten bei Beendigung.

Zur Anforderung eines DPA kontaktieren Sie uns bitte unter [email protected].

18. Änderungen dieser Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken, Technologien, rechtlichen Anforderungen oder anderer Faktoren widerzuspiegeln. Bei Änderungen aktualisieren wir das Datum „Zuletzt aktualisiert" oben auf dieser Seite.

Bei wesentlichen Änderungen — wie Änderungen der von uns erhobenen Datenkategorien, der Verwendung Ihrer Daten oder der Dritten, mit denen wir sie teilen — werden wir mindestens 30 Tage vor Inkrafttreten der Änderungen eine E-Mail an die mit Ihrem Konto verknüpfte Adresse senden und/oder einen deutlich sichtbaren Hinweis auf unserer Website veröffentlichen.

Ihre fortgesetzte Nutzung des Dienstes nach dem Inkrafttreten einer überarbeiteten Datenschutzrichtlinie gilt als Zustimmung zu den Änderungen. Wenn Sie mit der aktualisierten Richtlinie nicht einverstanden sind, sollten Sie die Nutzung des Dienstes einstellen und gegebenenfalls Ihr Konto löschen.

19. Kontakt

Wenn Sie Fragen, Bedenken oder Anfragen zu dieser Datenschutzrichtlinie oder unseren Datenpraktiken haben, kontaktieren Sie uns bitte:

• Unternehmen: QRolling
• Eingetragene Anschrift: 75A Erosi Manjgaladze Street, Tbilisi 0159, Georgien
• Handelsregistereintrag: B26345195 (Nationale Agentur des öffentlichen Registers, Georgien)
• Steuernummer: EN3289008
• Datenschutz: [email protected]
• Allgemein & Abrechnung: [email protected]
• Website: qrolling.com

Wir bemühen uns, alle Anfragen innerhalb von 30 Tagen zu beantworten. Für Datenschutzanfragen nach der DSGVO antworten wir innerhalb der in Abschnitt 10 angegebenen Fristen.

Betroffene aus der EU/EWR können sich auch an ihre nationale Aufsichtsbehörde wenden. Nutzer in Georgien können den Personal Data Protection Service of Georgia (PDPS) kontaktieren.