Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
EBS Euchner Büro- und Schulsysteme GmbH
Ernst-Leitz-Straße 3
D-63150 Heusenstamm
Telefon: +49 6104 3313
E-Mail: info@ebs-euchner.com

Vertreten durch den Geschäftsführer Robert Euchner. Quickard ist ein Produkt der EBS Euchner Büro- und Schulsysteme GmbH. Unter den vorstehenden Kontaktdaten erreichen Sie uns auch zu Datenschutzanfragen.

2. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zur Bereitstellung und Absicherung von Quickard, zur Durchführung von Nutzungs- und Abonnementverträgen, zur Kommunikation, zur Erfüllung gesetzlicher Pflichten und — nur soweit gesondert erlaubt — zur Reichweitenmessung oder für Newsletter. Rechtsgrundlagen sind je nach Vorgang Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen), lit. c (rechtliche Pflicht), lit. f (berechtigte Interessen, insbesondere sicherer und wirtschaftlicher Betrieb) oder lit. a (Einwilligung). Soweit wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen, nennen wir nachfolgend das jeweilige Interesse. Die als Pflichtangaben gekennzeichneten Daten sind für Registrierung, Vertragsschluss und Rechnungsstellung erforderlich; ohne sie können wir Konto oder Tarif nicht bereitstellen. Darüber hinaus sind Sie zur Bereitstellung nicht verpflichtet. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

3. Rollen bei Kundenkarten und Formularen

Für das Quickard-Konto, Abrechnung, Plattformsicherheit und eigene Website-Inhalte ist EBS Verantwortlicher. Stellt ein Kunde Daten seiner Beschäftigten oder anderer Personen auf einer Karte ein oder erhebt er über eine öffentliche Karte Kontakt- oder Newsletterdaten für eigene Zwecke, bestimmt grundsätzlich dieser Kunde Zweck und Mittel der Verarbeitung; EBS verarbeitet die Daten insoweit als Auftragsverarbeiter. Der Kunde muss betroffene Personen selbst nach Art. 13 oder 14 DSGVO informieren und die erforderliche Rechtsgrundlage sicherstellen. Auf einer Kundenkarte muss daher zusätzlich die Datenschutzinformation des jeweiligen Kunden erreichbar sein.

4. Hosting, Datenbank, Datensicherung und Server-Logfiles

Kernanwendung, Datenbank, Authentifizierung und Dateispeicher betreiben wir mit selbst administrierter Server- und Supabase-Software. Die Produktivsysteme laufen auf Cloud-Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, in deren Rechenzentrum in Nürnberg (Deutschland). Datensicherungen, die Fehlerüberwachung (Ziffer 17), die Verwaltung der Bereitstellung sowie eine zugangsgeschützte Testumgebung betreiben wir auf Servern der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in Rechenzentren in Deutschland. Beide Anbieter verarbeiten die Daten als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich in Deutschland. Beim Aufruf werden IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, Statuscode, übertragene Datenmenge, Referrer und User-Agent in technisch erforderlichen Protokollen verarbeitet. Zwecke sind Auslieferung, Stabilität, IT-Sicherheit sowie Missbrauchs- und Störungsanalyse (Art. 6 Abs. 1 lit. f DSGVO). Regelprotokolle werden grundsätzlich nach 30 Tagen gelöscht; sicherheitsrelevante Auszüge können bis zur Aufklärung und Abwehr eines konkreten Vorfalls länger aufbewahrt werden. Datensicherungen erstellen wir täglich; sie werden auf dem jeweiligen Server nach 14 Tagen und in der getrennt gespeicherten Kopie nach 30 Tagen überschrieben. Richtet ein Kunde eine eigene Domain für seine Karten ein, beantragen wir dafür ein TLS-Zertifikat bei Let’s Encrypt (Internet Security Research Group, USA); dabei wird nur der Domainname übermittelt.

5. Nutzerkonto, Anmeldung und OAuth

Bei Registrierung und Anmeldung verarbeiten wir insbesondere E-Mail-Adresse, Passwort (nur als Hashwert), Bestätigungs- und Einmalcodes, Zeitpunkte, Sicherheitsdaten sowie Organisations-, Team- und Rollenangaben. Aktivieren Sie die Zwei-Faktor-Authentifizierung, speichern wir zusätzlich den geheimen Schlüssel Ihrer Authenticator-App. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und lit. f DSGVO (Schutz des Kontos vor Missbrauch). Wahlweise kann die Anmeldung über Apple oder Google erfolgen. Dann erhalten wir von Apple Distribution International Ltd. beziehungsweise Google Ireland Limited eine Anbieterkennung sowie — abhängig von Ihrer dortigen Freigabe — Name, E-Mail-Adresse und Profilangaben; ein dort hinterlegtes Profilbild übernehmen wir einmalig in unseren Speicher. Zugleich erfahren die Anbieter den Anmeldevorgang. Ihre vorherige Zustimmung zu AGB und Datenschutzhinweis halten wir bis zur Rückkehr vom Anbieter in einem signierten, höchstens zehn Minuten gültigen Cookie fest (Ziffer 18). Die Verknüpfung erfolgt auf Ihre Anforderung zur Vertragsanbahnung oder -durchführung (Art. 6 Abs. 1 lit. b DSGVO) und kann zusätzlich im jeweiligen Anbieter-Konto aufgehoben werden.

6. Vertrag, Abrechnung, Einwilligungs- und Erklärungsnachweise

Für Vertragsschluss und -verwaltung verarbeiten wir Stammdaten, Tarif, Organisations- und Abrechnungsdaten, Bestell- und Zahlungsstatus, Rechnungen, gebuchte Kontingente sowie Supportkommunikation (Art. 6 Abs. 1 lit. b DSGVO). Bei Enterprise-Verträgen mit Abrechnung durch EBS erstellen und versenden wir Rechnungen selbst. Lösen Sie einen Rabattcode ein, speichern wir ihn mit der Bestellung; ist der Code einem Vertriebspartner zugeordnet, ordnen wir die Bestellung diesem zur Abrechnung seiner Vergütung zu und geben dabei nur die hierfür erforderlichen Angaben weiter (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der Abrechnung unseres Vertriebs). AGB-Zustimmungen, Verlangen zum sofortigen Leistungsbeginn, die Bestätigung der Testphasen-Erinnerung, Kündigungs- und Widerrufserklärungen werden mit Inhalt, Fassung, Zeitpunkt und technischen Nachweisdaten gespeichert, um gesetzliche Pflichten zu erfüllen und Erklärungen nachzuweisen (Art. 6 Abs. 1 lit. c und lit. f DSGVO).

7. Karten-, Organisations- und Mediendaten

Wir speichern die eingegebenen Karten- und Organisationsdaten, insbesondere Name, Funktion, Unternehmen, Kontaktangaben, Logos, Profilbilder, Audio- und sonstige Medien, Links und Designeinstellungen, um den gewählten Tarif bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Bei Daten Dritter handelt EBS regelmäßig nach Weisung des Kunden; der Kunde muss zur Speicherung und Veröffentlichung berechtigt sein.

8. Öffentliche Kontaktseite, QR-Code und vCard

Kernfunktion ist die öffentliche Kontaktseite jeder Karte unter quickard.de/<slug> oder einer vom Kunden eingerichteten eigenen Domain. Die freigegebenen Inhalte sind dort ohne Anmeldung weltweit abrufbar, können über Link oder QR-Code geteilt und als vCard heruntergeladen werden. Kontaktseiten sind mit „noindex“ gekennzeichnet und sollen daher nicht in Suchergebnissen erscheinen; abrufen und auswerten können sie Suchmaschinen und andere Crawler gleichwohl. Veröffentlichen Sie nur Daten, deren öffentliche Verbreitung beabsichtigt und rechtmäßig ist. Beim Abruf fallen die unter Ziffer 4 beschriebenen technischen Daten und gegebenenfalls die unter Ziffer 11 erläuterten Reichweitendaten an.

9. Kontaktformulare und Leads auf Kundenkarten

Nutzt ein Besucher ein Kontaktformular, werden die eingegebenen Kontaktdaten, die Nachricht, die Antworten auf vom Kunden zusätzlich eingerichtete Formularfelder sowie gegebenenfalls hochgeladene Dateien gespeichert, dem jeweiligen Quickard-Kunden angezeigt und gegebenenfalls per E-Mail gemeldet. Hochgeladene Dateien liegen in einem nicht öffentlichen Speicher, werden nicht per E-Mail versandt, sondern nur im Kundenkonto über einen kurzzeitig gültigen Link abgerufen und mit der Anfrage gelöscht. Der Kunde ist für die Bearbeitung der Anfrage grundsätzlich Verantwortlicher; EBS stellt Formular, Speicherung und Übermittlung als Auftragsverarbeiter bereit. Rechtsgrundlage bestimmt der Kunde, regelmäßig Art. 6 Abs. 1 lit. b DSGVO bei einer angefragten Vertragsanbahnung oder Art. 6 Abs. 1 lit. f DSGVO für die Bearbeitung einer sonstigen Anfrage. Eine Einwilligungs-Checkbox ist hierfür nicht erforderlich; die kundenspezifische Datenschutzinformation muss aber unmittelbar am Formular erreichbar sein.

10. Newsletter-Formulare auf Kundenkarten

Bei Nutzung eines Newsletter-Bausteins muss der Besucher eine nicht vorangekreuzte, kundenspezifische Einwilligung bestätigen. Wir protokollieren E-Mail-Adresse, Karten-/Seiten- und Blockbezug, verantwortliches Unternehmen, verlinkte Datenschutzhinweise, vollständigen Einwilligungswortlaut und dessen Fassung, Anforderungs- und Bestätigungszeitpunkt sowie einen nicht rückrechenbaren, geheimnisgestützten Hash der anfragenden IP-Adresse. Anschließend versenden wir über Resend einen 48 Stunden gültigen Bestätigungslink. Der bloße Linkabruf ändert noch nichts; erst ein ausdrücklicher Klick auf „Anmeldung bestätigen“ schließt das Double-Opt-in ab und zeigt die Adresse im Posteingang des Kunden. Eine Bestätigungsmail enthält einen persönlichen Abmeldelink; auch die Abmeldung wird erst über eine ausdrückliche Schaltfläche ausgelöst und entfernt die Adresse sofort aus der operativen Empfängerliste. Verantwortlicher für Newsletter, Einwilligung, späteren Versand und Abmeldung ist grundsätzlich der Kunde; EBS stellt Erfassung und Double-Opt-in als Auftragsverarbeiter bereit. Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 UWG.

10a. Produktinformationen, Erinnerungen und Direktwerbung

Für Produktinformationen und Rundmails verarbeiten wir E-Mail-Adresse, Kontostatus, Einwilligungs- beziehungsweise Widerspruchsstatus, Zeitpunkt, Fassung und den tatsächlich angezeigten Wortlaut der Einwilligung sowie Versand- und Zustelldaten. Produktneuigkeiten sind standardmäßig deaktiviert; historische Konten ohne vollständigen Einwilligungsnachweis werden nicht angeschrieben. Werbliche E-Mails versenden wir nur aufgrund einer freiwilligen, nachweisbaren Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG) oder innerhalb der engen Bestandskundenausnahme des § 7 Abs. 3 UWG; in letzterem Fall ist Art. 6 Abs. 1 lit. f DSGVO die datenschutzrechtliche Grundlage. Der Empfänger kann die Einwilligung jederzeit widerrufen oder der werblichen Nutzung jederzeit kostenfrei mit Wirkung für die Zukunft widersprechen.

11. Reichweitenmessung öffentlicher Karten (Umami und Kartenereignisse)

Auf öffentlichen Kontaktseiten, auch unter Kunden-Domains, messen wir die Reichweite mit einer selbst betriebenen Instanz der Open-Source-Software Umami sowie einem eigenen Kartenereignis-System, um Kunden Statistiken bereitzustellen und Quickard zu verbessern. Cookies werden dafür nicht gesetzt. Umami wird über unseren eigenen Server angesprochen, der IP-Adresse und User-Agent an die Umami-Instanz weitergibt; daraus werden Land, Region und Stadt sowie Browser-, Betriebssystem- und Geräteklasse abgeleitet. Umami speichert die IP-Adresse nicht, sondern bildet daraus eine monatlich wechselnde pseudonyme Sitzungskennung. Erfasst werden außerdem Zeitpunkt, aufgerufener Pfad ohne Suchparameter, Referrer-Domain, Bildschirmgröße und Browsersprache. Bei aktivierter „Do Not Track“-Einstellung des Browsers findet keine Umami-Messung statt. Das Kartenereignis-System speichert für Pro-Karten Ereignistyp (etwa Aufruf, vCard-Download oder Klick auf Telefon, E-Mail oder Link), Zeitpunkt, Kartenkennung, Geräteklasse und Referrer-Domain sowie einen pseudonymen Besucherwert, der aus IP-Adresse, User-Agent, Kartenkennung, Tag und einem geheimen Zusatzwert gebildet wird und täglich wechselt; die Roh-IP wird dabei nicht gespeichert. Zur Vermeidung von Doppelzählungen legt die Seite für 30 Minuten den Schlüssel qk_an_v:<Kartenadresse> mit einem Zeitstempel im sessionStorage ab; er wird mit dem Schließen des Tabs gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in einer datensparsamen Reichweitenmessung für unsere Kunden und der Verbesserung des Dienstes. Für die Speicherung im sessionStorage stützen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG. Sie können der Messung jederzeit widersprechen (Ziffer 22). Der Cookie-Banner auf öffentlichen Karten erscheint nur, wenn die Seite Google Maps oder YouTube/Vimeo einbettet (Ziffer 12). Kartenereignisse werden nach 180 Tagen automatisch gelöscht. Rein sicherheitsbezogene Serverauswertungen ohne Zugriff auf das Endgerät beruhen ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO.

12. Eingebettete Inhalte: Google Maps, YouTube und Vimeo

Kunden können Google Maps sowie Videos von YouTube (einschließlich youtube-nocookie.com) oder Vimeo einbinden. Auf öffentlichen Karten werden weder der Google-Maps-Frame noch YouTube-/Vimeo-Frames, Covervideos oder YouTube-Vorschaubilder vor Einwilligung erzeugt. Besucher können die Kategorien „Google Maps“ und „YouTube und Vimeo“ getrennt aktivieren und jederzeit wieder widerrufen. Erst danach baut der Browser eine direkte Verbindung zum Anbieter auf; dabei werden mindestens IP-Adresse, Zeit, Seite, Referrer und Browserdaten übermittelt und Anbieter können weitere Kennungen im Endgerät lesen oder speichern. Für Google-Dienste ist dies insbesondere Google Ireland Limited, für Vimeo Vimeo.com, Inc., USA. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Ein bewusst angeklickter externer Routenlink öffnet Google Maps unmittelbar. Karten, die eine vom Markeninhaber freigegebene Marken-Vorlage der Dr. Ing. h.c. F. Porsche AG nutzen, laden beim Aufruf Schriften und Programmbausteine des Porsche Design Systems vom Server cdn.ui.porsche.com; dabei werden IP-Adresse, Zeit, Seite und Browserdaten an den Betreiber dieses Servers übermittelt (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an der vom Markeninhaber vorgegebenen markengetreuen Darstellung). Andere vom Kunden eingestellte externe Bilder, Audio-, Schrift- oder Dokumentdateien können direkt vom aus der URL erkennbaren Anbieter geladen werden; der Kunde muss diese Quellen in seiner eigenen Datenschutzinformation benennen und die nötigen Medien-, Schrift- und Markenrechte besitzen.

13. Apple Wallet und Google Wallet

Auf Anforderung können Kartendaten in einen Apple-Wallet-Pass oder ein Google-Wallet-Objekt übertragen werden. Bei Apple erfolgt die Auslieferung als signierte Passdatei. Zur Aktualisierung eines hinzugefügten Passes verarbeiten wir außerdem Apple-Geräte-/Bibliothekskennungen, Push-Token, Passkennung und Registrierungszeit und übermitteln Aktualisierungssignale an den Apple Push Notification Service. Für Google werden die erforderlichen Pass- und Kartendaten an die Google-Wallet-API übermittelt. Anbieter sind Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland, und Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ab dem Hinzufügen verarbeiten Apple beziehungsweise Google die Daten auch nach ihren eigenen Bedingungen. Richtet ein Kunde Orte oder Zeiträume für den Sperrbildschirm ein, enthält der Pass zusätzlich diese Ortskoordinaten, Hinweistexte und Zeitfenster; ob die Karte vorgeschlagen wird, entscheidet das Gerät selbst — Standortdaten des Geräts erhalten wir dabei nicht. Für die Adresssuche im Editor übermitteln wir nur den eingegebenen Suchbegriff serverseitig an den öffentlichen Dienst Nominatim der OpenStreetMap Foundation, Vereinigtes Königreich; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

14. Zahlungsabwicklung mit Stripe

Kostenpflichtige Tarife und Abonnements werden über Stripe abgewickelt. Stripe verarbeitet insbesondere Kontakt-, Rechnungs-, Zahlungs-, Geräte- und Transaktionsdaten; vollständige Zahlungsmitteldaten erhalten wir nicht. Wir speichern die zur Vertrags-, Zahlungs- und Rechnungsverwaltung erforderlichen Kennungen und Statusangaben. Anbieter im EWR ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.

15. Transaktions-E-Mails über Resend

Bestätigungen, Einladungen, Pass-Auslieferungen, Erinnerungen, Newsletter-Double-Opt-in und andere Transaktions-E-Mails versenden wir über Resend (Plus Five Five, Inc., USA). Verarbeitet werden Empfängeradresse, Betreff, vollständiger Mailinhalt sowie technische Versand-, Zustell- und Fehlerdaten. Eingehende Webhooks werden vor Speicherung auf erforderliche, fest definierte Zustell- und Fehlerfelder begrenzt; vollständige Rohereignisse sowie Öffnungs- und Klickereignisse speichern wir nicht. Unsere E-Mail-Vorlagen binden keine Schriften von Google-Servern ein. Rechtsgrundlagen für erforderliche Transaktionsmails sind Art. 6 Abs. 1 lit. b und lit. f DSGVO; die Newsletter-Bestätigung beruht auf der angeforderten Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Soweit Resend in unserem Auftrag handelt, gelten ein Auftragsverarbeitungsvertrag und die unter Ziffer 19 genannten Garantien.

16. Benachrichtigungen, Erinnerungen und Testphase

Für eine Testphase speichern wir Beginn, Ende, die Zahl der verfügbaren Karten und Ihre Bestätigung, vor dem Ende per E-Mail erinnert zu werden, mit Zeitpunkt im Prüfprotokoll. Auf dieser Grundlage senden wir sieben, drei und einen Tag vor dem Ende eine Erinnerung und zum Ende eine Mitteilung, welche Karten mit Pro weiterlaufen, welche als kostenlose Starter-Karten weiterlaufen und welche enden, an die Rechnungsadressen der Organisation (Art. 6 Abs. 1 lit. b DSGVO). Tritt jemand einem Team bei, informieren wir dessen Inhaber und Administratoren mit Name und E-Mail-Adresse der beitretenden Person (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Diese Mitteilung sowie Hinweise zur Abrechnung, etwa vor einer Verlängerung, können Sie in den Einstellungen unter „Benachrichtigungen“ abbestellen. Mails zu Anmeldung und Sicherheit, Bestellungen, Kündigungen, Zahlungen und zur Testphase erhalten Sie unabhängig davon, weil sie für Vertrag und Konto erforderlich sind. Produktneuigkeiten senden wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie dort jederzeit mit Wirkung für die Zukunft widerrufen können.

17. Fehler- und Sicherheitsmonitoring (GlitchTip/Sentry-SDK)

Zur Erkennung technischer Fehler und Sicherheitsprobleme verwenden wir ein Sentry-kompatibles SDK mit einer selbst betriebenen GlitchTip-Instanz. Bei einem Fehler können Zeitpunkt, betroffene Programmstelle und URL, Geräte-, Browser- und Betriebssystemdaten, technische Ablauf- und Fehlerdaten sowie IP-Adresse übertragen werden. Standardmäßig sind weder Sitzungsaufzeichnungen noch Performance-Tracing aktiviert und es sollen keine üblichen Nutzerinhalte oder vollständigen Formulareingaben erfasst werden. Rechtsgrundlage ist unser berechtigtes Interesse an Stabilität und Sicherheit gemäß Art. 6 Abs. 1 lit. f DSGVO. Fehlerdaten werden gelöscht, sobald sie für Analyse und Abwehr nicht mehr benötigt werden.

17a. Support, Administrationszugriffe und Audit

Wenn Support oder Plattformadministration erforderlich ist, können hierzu berechtigte Beschäftigte auf Konto-, Organisations-, Karten-, Kontakt-, Formular- und Abrechnungsdaten zugreifen. Sicherheitsrelevante Administrationszugriffe werden mit handelndem Administratorkonto, Organisation, Zeitpunkt, IP-Adresse und User-Agent protokolliert. Supportnachrichten können Nutzer-/Organisationsbezug, Anliegen, betroffene Seite und technischen Kontext enthalten. Zwecke sind Support, Fehlerbehebung, Missbrauchsabwehr, Revisionssicherheit und Produktverbesserung (Art. 6 Abs. 1 lit. b oder lit. f DSGVO). Zugriffe sind rollenbeschränkt; Daten werden gelöscht, wenn Nachweis-, Sicherheits- und Bearbeitungszweck entfallen.

17b. Meldungen rechtswidriger Inhalte und behördliche Anordnungen

Bei einer Meldung nach dem Digital Services Act verarbeiten wir Kontaktdaten der meldenden Person, betroffene URL oder Kartenadresse, Begründung, vorgelegte Nachweise, Gutglaubenserklärung, Kommunikation und unsere Entscheidung. Zwecke sind Entgegennahme und Prüfung der Meldung, Schutz der Rechte Beteiligter, Erfüllung gesetzlicher Pflichten und Nachweis der Bearbeitung (Art. 6 Abs. 1 lit. c und f DSGVO). Daten können an betroffene Nutzer, Behörden, Gerichte oder Beratende übermittelt werden, jedoch nur soweit erforderlich und gesetzlich zulässig. Bei Verdacht auf eine Straftat mit Gefahr für Leben oder Sicherheit erfolgt die gesetzlich erforderliche Übermittlung an Strafverfolgungs- oder Justizbehörden. Die Daten werden bis zum Abschluss des Verfahrens und anschließend nur für gesetzliche Nachweis- und Verjährungsfristen gespeichert.

17c. Persönliche Vertriebsseiten für Interessenten

Für Ansprechpartner potenzieller Geschäftskunden erstellen wir persönliche Vertriebsseiten mit einer Demokarte im Design des jeweiligen Unternehmens. Dafür verarbeiten wir Vor- und Nachname, Unternehmen, berufliche E-Mail-Adresse, Standort, Funktion und gegebenenfalls ein Profilbild sowie weitere berufliche Kontaktangaben und interne Notizen. Die Daten stammen aus einem bisherigen Kontakt mit Ihnen oder aus öffentlich zugänglichen beruflichen Quellen, etwa der Website Ihres Unternehmens oder beruflichen Netzwerken. Die Seiten sind nur über ihre persönliche Adresse erreichbar und für Suchmaschinen gesperrt (noindex). Wir erfassen, wie oft und wann die Vertriebsseite zuletzt aufgerufen wurde; für die Demokarte gilt zusätzlich Ziffer 11. Zweck ist die Anbahnung einer Geschäftsbeziehung; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse liegt in der Direktwerbung gegenüber Unternehmen. Nach Beendigung der Seite wird die Demokarte entwertet; die Angaben löschen wir, sobald sie für die Vertriebsansprache nicht mehr erforderlich sind, spätestens zwölf Monate nach Beendigung, soweit keine Geschäftsbeziehung entsteht. Sie können der Verarbeitung jederzeit widersprechen (Ziffer 22); wir beenden die Seite dann und löschen Ihre Angaben.

18. Cookies und lokale Browser-Speicherung

Technisch erforderlich sind insbesondere die Anmelde-Cookies sb-…-auth-token für die Sitzung bis zur Abmeldung (bei der Anmeldung über Apple oder Google zusätzlich ein kurzlebiger Prüfwert für das PKCE-Verfahren), das Cookie für die aktive Organisation (qk_active_org, ein Jahr), der signierte Zustimmungsnachweis qk_oauth_legal_consent bei der Registrierung über Apple oder Google (höchstens zehn Minuten) und — nach manueller Sprachwahl — das Sprach-Cookie qk_locale für ein Jahr. Ein Wartungszugang kann für 24 Stunden gespeichert werden; zugangsgeschützte Testumgebungen setzen nach Eingabe des Zugangspassworts das Cookie qk-access für 30 Tage. Im localStorage oder sessionStorage können außerdem Theme, die bei der Registrierung eingegebene E-Mail-Adresse (für den erneuten Versand der Bestätigungsmail), Onboarding-Entwurf einschließlich Rechnungs-/Kartendaten und ausgeblendete Hinweise der Übersicht liegen. Auf öffentlichen Karten mit Google-Maps- oder YouTube-/Vimeo-Blöcken speichert qk_public_consent Fassung, Entscheidungszeitpunkt und die Auswahl für diese Embeds, damit die Entscheidung technisch beachtet und widerrufbar bleibt; ohne solche Blöcke erscheint kein Cookie-Banner. Der Schlüssel aus Ziffer 11 kann zeitweise im sessionStorage liegen. Erforderliche Funktionsspeicherungen beruhen auf § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Drittanbieter-Embeds (Ziffer 12) beruhen auf § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Wir setzen keine Werbe- oder Tracking-Cookies ein.

19. Empfänger, Auftragsverarbeitung und Drittlandtransfers

Empfänger sind — je nach genutzter Funktion — unsere Hosting-Dienstleister Hetzner Online GmbH und IONOS SE sowie Let’s Encrypt (Ziffer 4), Apple und Google (Ziffern 5 und 13), die OpenStreetMap Foundation (Ziffer 13), Stripe (Ziffer 14), Resend (Ziffer 15), die von Kunden ausgewählten Karten- und Videoanbieter sowie der Betreiber des Porsche Design Systems (Ziffer 12) und — im Einzelfall, soweit erforderlich und zulässig — Behörden, Gerichte und zur Berufsverschwiegenheit verpflichtete Berater. Soweit ein Anbieter weisungsgebunden für uns verarbeitet, schließen wir einen Vertrag nach Art. 28 DSGVO; andere Anbieter handeln für bestimmte Verarbeitungsschritte als eigene Verantwortliche. Übermittlungen in die USA betreffen insbesondere Resend und Let’s Encrypt sowie — nach Ihrer Einwilligung — Vimeo. Übermittlungen außerhalb des EWR erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere aufgrund eines Angemessenheitsbeschlusses einschließlich einer gültigen EU-US-Data-Privacy-Framework-Zertifizierung oder auf Basis der EU-Standardvertragsklauseln und ergänzender Schutzmaßnahmen. Eine Kopie der Garantien können Sie über die Kontaktdaten in Ziffer 1 anfordern.

20. Speicherdauer

Wir löschen Daten, sobald Zweck und erforderliche Nachweisfrist entfallen und keine Pflicht zur Aufbewahrung besteht. Insbesondere gelten folgende Kriterien:
· Server-Regelprotokolle: grundsätzlich 30 Tage; Vorfallsdaten bis zum Abschluss der Untersuchung. Datensicherungen: 14 beziehungsweise 30 Tage (Ziffer 4).
· Kartenereignisse aus Ziffer 11: automatisch nach 180 Tagen. Zustell- und Fehlerdaten zu E-Mails: automatisch nach 180 Tagen.
· Kontakt- und bestätigte Newsletter-Einträge im Kundenposteingang einschließlich hochgeladener Dateien: automatisch nach 365 Tagen oder früher nach berechtigter Weisung beziehungsweise Zweckerreichung.
· Nicht bestätigte Newsletter-Anfragen: sieben Tage nach Ablauf des 48-stündigen Bestätigungslinks; Abmeldenachweise: drei Jahre nach Abmeldung; aktive Einwilligungsnachweise bis zur Abmeldung oder früheren berechtigten Weisung.
· Vertriebsseiten für Interessenten (Ziffer 17c): bis zum Widerspruch oder Wegfall des Zwecks, spätestens zwölf Monate nach Beendigung der Seite, soweit keine Geschäftsbeziehung entsteht.
· Protokolle sicherheitsrelevanter Administrationszugriffe (Ziffer 17a): bis zum Wegfall des Nachweiszwecks, in der Regel drei Jahre.
· Konto-, Karten- und Mediendaten: für die Vertragsdauer, danach Löschung im Kontolöschprozess, soweit keine gesonderte Pflicht oder berechtigte Anspruchssicherung entgegensteht.
· Vertrags-, Zustimmungs-, Kündigungs- und Widerrufsnachweise sowie DSA-Meldungen: grundsätzlich bis zum Ablauf möglicher Ansprüche; die regelmäßige Verjährung beträgt drei Jahre und beginnt regelmäßig mit dem Schluss des betreffenden Jahres.
· Bücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse: zehn Jahre; Buchungsbelege und Rechnungen: acht Jahre; empfangene und abgesandte Handels- oder Geschäftsbriefe: sechs Jahre (§ 257 HGB, § 147 AO, § 14b UStG).
Gesetzliche Fristen beginnen regelmäßig mit dem Schluss des Kalenderjahres. Gelöschte Daten können bis zur planmäßigen Überschreibung in gesicherten Backups verbleiben; sie werden währenddessen nicht für andere Zwecke genutzt.

21. Ihre Datenschutzrechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird. Bei Daten, für die ein Quickard-Kunde Verantwortlicher ist, können Sie sich unmittelbar an diesen oder an uns wenden; wir leiten das Anliegen erforderlichenfalls weiter.

22. Besonderer Hinweis zum Widerspruchsrecht

Soweit wir Daten aufgrund von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

23. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Für EBS zuständig ist:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163, 65021 Wiesbaden
datenschutz.hessen.de