Datenschutzerklärung

Kurz gesagt

Wir speichern keine rohen IP-Adressen von Scans, wir erkennen keine Position unterhalb der Landesebene, wir setzen keine Analysewerkzeuge ein, und wir verkaufen keine Daten. Was wir tun, steht ausführlich weiter unten.

Diese Erklärung gilt für die Website www.smarterqr.com, für die Verwaltungsoberfläche unter app.smarterqr.com und für den Scan eines mit SmarterQR erstellten QR-Codes.

Wer verantwortlich ist

• Bärtschi Software
• Lochmattweg 45
• 5033 Buchs
• Schweiz

Datenschutzanfragen

matt@matt-b.ch

Eine Vertretung in der Europäischen Union nach Art. 27 DSGVO und Art. 14 revDSG ist zurzeit nicht bestellt. Anfragen aus der EU richten Sie bitte direkt an die oben genannte Adresse.

Zwei Rollen, die man auseinanderhalten muss

SmarterQR steht zwischen zwei Gruppen von Menschen, und für die beiden sind wir rechtlich nicht dasselbe.

Für Besucherinnen und Besucher dieser Website und für unsere Kundschaft sind wir Verantwortliche im Sinn des revDSG und der DSGVO: wir entscheiden, was zu welchem Zweck bearbeitet wird.

Für die Menschen, die den QR-Code eines Kunden scannen, sind wir Auftragsbearbeiterin (nach DSGVO: Auftragsverarbeiterin). Verantwortlich ist dort der Kunde, der den Code drucken liess — er bestimmt, wohin der Code führt, welches Formular erscheint und wohin dessen Eingaben gehen. Wir bearbeiten die Daten nur in seinem Auftrag und nach seiner Weisung. Wer wissen will, was mit den Daten eines bestimmten Scans geschieht, wendet sich deshalb an den Betreiber des Codes; wir helfen dabei, ihn zu erreichen.

Praktische Folge: Auskunft, Löschung und Widerspruch zu einem Scan kann nur der Kunde erteilen. Wir dürfen seine Daten nicht von uns aus herausgeben — auch nicht der Person, um die es geht.

Die Website www.smarterqr.com

Beim Aufruf dieser Website werden die Daten bearbeitet, die jeder Browser übermittelt: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Verweisadresse, Browser- und Betriebssystemkennung. Sie stehen in den Zugriffsprotokollen des Webservers, dienen dem Betrieb und der Abwehr von Angriffen und werden nach vierzehn Tagen gelöscht.

Wir setzen ein einziges Cookie: smarterqr_lang merkt sich die gewählte Sprache, damit Sie sie nicht bei jedem Besuch neu wählen müssen. Es enthält nichts als ein Sprachkürzel und dient keiner Wiedererkennung.

Es gibt auf dieser Website keine Analysewerkzeuge, keine Zählpixel, keine Werbenetzwerke und keine Schaltflächen sozialer Netzwerke. Die Schriften werden beim Erstellen der Seite eingebettet und von unserem eigenen Server ausgeliefert — Ihr Browser nimmt beim Lesen dieser Seite keine Verbindung zu Google oder einem anderen Dritten auf. Deshalb fragen wir auch nicht nach einer Einwilligung für Cookies: es gibt nichts, wofür eine nötig wäre.

Das Kontaktformular überträgt Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht an uns. Wir bearbeiten sie, um zu antworten, und löschen sie automatisch nach 180 Tagen — ausser die Anfrage führt zu einem Vertrag, dann gelten die gesetzlichen Aufbewahrungsfristen.

Die Verwaltung app.smarterqr.com

Wer bei uns Codes verwaltet, braucht ein Konto. Die Anmeldung läuft über unsere eigene Instanz der Software Keycloak unter auth.tightblocks.com. Dort werden Name, E-Mail-Adresse und ein Passwort-Hash gespeichert — das Passwort selbst kennen wir nicht.

In der Verwaltung entstehen die Daten, die Sie selbst anlegen: Codes und ihre Regeln, Projekte, hochgeladene Dateien, Seiteninhalte, Formulardefinitionen und die Namen der Mitglieder Ihres Arbeitsbereichs. Wir bearbeiten sie, um Ihnen den Dienst zu erbringen.

Ihre Sprachwahl liegt im Speicher Ihres Browsers (localStorage), nicht bei uns.

Der Scan eines Codes — was erhoben wird

Wird ein QR-Code gescannt, entscheidet unser Dienst anhand der Regeln des Kunden, was passiert, und schreibt einen Eintrag über den Vorgang. Dieser Eintrag enthält:

• den Zeitpunkt
• das Land, aus dem der Aufruf kam — nur das Land
• die Geräteart (Mobiltelefon, Tablet, Computer) und das Betriebssystem
• die vom Browser gemeldete bevorzugte Sprache
• welche Regel gegriffen hat und wohin sie geführt hat
• einen Prüfwert der IP-Adresse (siehe unten)

Der Prüfwert der IP-Adresse ist keine IP-Adresse. Er entsteht als HMAC-SHA256 der Adresse mit einem Schlüssel, der jeden Tag wechselt und aus dem Datum abgeleitet wird. Dadurch lässt sich innerhalb eines Tages zählen, wie viele verschiedene Geräte einen Code gescannt haben — dieselbe Adresse ergibt an zwei Tagen aber zwei Werte, die sich nicht miteinander in Verbindung bringen lassen. Über die Zeit entsteht so kein Personenbezug.

Das Land ermitteln wir mit einer Datenbank, die auf unserem eigenen Server liegt. Beim Scan geht keine Anfrage an einen Dritten; niemand ausserhalb erfährt, dass ein Code gescannt wurde.

Der Scan — was bewusst nicht erhoben wird

Die folgenden Dinge fehlen nicht, weil sie noch nicht gebaut sind, sondern weil wir sie nicht wollen:

• Keine rohe IP-Adresse in der Datenbank. Nur der oben beschriebene Prüfwert.
• Keine Region, keine Stadt, keine Postleitzahl. QR-Codes werden fast immer mit dem Mobiltelefon gescannt, und dort ist alles unterhalb der Landesebene unzuverlässig — eine Achse, der man nicht trauen kann, ist schlimmer als keine.
• Kein Cookie und keine Kennung, mit der sich ein Gerät über mehrere Codes hinweg wiedererkennen liesse.
• Keine Weitergabe an Werbenetzwerke, keine Profilbildung, kein Verkauf von Daten.

Ohne die Daten des Kunden lässt sich aus einem Scan-Eintrag nicht ableiten, wer gescannt hat.

Das Cookie bei einem Weg

Manche Kunden verbinden mehrere Codes zu einem Weg — einem Rundgang, bei dem sich der nächste Code erst öffnet, wenn der vorige gescannt wurde. Nur dann setzen wir ein weiteres Cookie, benannt nach dem Projekt (zum Beispiel sqrp12).

Darin steht kein Identifikator: keine Zufallsnummer, nichts Wiedererkennbares. Es enthält ausschliesslich den Fortschritt — welche Stationen bereits gescannt wurden — und eine Signatur, die Manipulation verhindert. Der Dienst erfährt daraus nie, wer jemand ist, sondern nur, dass wer auch immer dieses Cookie trägt, bei Schritt drei steht. Auf unserem Server wird dazu nichts gespeichert. Das Cookie ist HttpOnly, Secure und SameSite=Lax und räumt sich nach Ablauf des Weges von selbst weg.

Formulare auf gescannten Seiten

Ein Kunde kann hinter einem Code ein Formular zeigen — eine Rückmeldung, eine Anmeldung, eine Anfrage. Was dort eingegeben wird, speichern wir im Auftrag des Kunden und zeigen es ihm in seiner Verwaltung an. Welche Felder das sind, bestimmt er.

Er kann zusätzlich festlegen, dass die Eingaben an ein weiteres System weitergereicht werden — an eine von ihm angegebene Adresse (Webhook) oder per E-Mail an von ihm bestimmte Empfänger. Wohin das geht, wissen wir nur insoweit, als er es bei uns hinterlegt hat; verantwortlich dafür ist er.

Wie lange Eingaben liegen bleiben, stellt der Kunde in seinem Arbeitsbereich ein. Ohne Einstellung bleiben sie unbefristet gespeichert, weil wir nicht wissen, was in seinem Formular steht, und eine von uns erfundene Frist Bestellungen mitten in einem laufenden Vorgang löschen könnte.

Beim Absenden prüfen wir zusätzlich auf missbräuchliche Mehrfacheinsendungen. Dazu dienen der oben beschriebene Prüfwert der IP-Adresse und ein für Menschen unsichtbares Feld, das nur automatische Programme ausfüllen.

Wie lange wir Daten aufbewahren

Zugriffsprotokolle des Webservers

14 Tage

Anfragen über das Kontaktformular

180 Tage

Scan-Einträge

nach dem Paket des Kunden, danach automatisch gelöscht; bei Verträgen nach Vereinbarung

Formulareingaben

nach der Frist, die der Kunde einstellt — ohne Einstellung unbefristet

Konto- und Vertragsdaten

solange das Konto besteht, danach nach den gesetzlichen Fristen

An wen Daten gehen

Wir geben Personendaten nur weiter, soweit es für den Betrieb nötig ist oder das Gesetz es verlangt. Als Auftragsbearbeiter arbeiten für uns:

Hetzner Online GmbH

Server und Datenbank, Rechenzentrum Nürnberg, Deutschland

Vercel Inc.

Auslieferung der Website und der Verwaltungsoberfläche, Vereinigte Staaten und weltweites Netz

Der Versand von E-Mails (Einladungen, Benachrichtigungen) läuft über einen Mailserver, den wir selbst betreiben.

Der Redirect-Dienst — also das, was beim Scan eines gedruckten Codes passiert — läuft ausschliesslich auf unseren eigenen Servern in Deutschland und kennt weder Vercel noch unsere Anmeldung.

Bekanntgabe ins Ausland

Die Bearbeitung findet in Deutschland statt. Für die Schweiz gilt Deutschland als Staat mit angemessenem Datenschutz; innerhalb der EU ist es ohnehin kein Drittland.

Vercel Inc. hat den Sitz in den Vereinigten Staaten. Die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission, ergänzt um die vom EDÖB anerkannten Anpassungen für die Schweiz.

Rechtsgrundlagen

Soweit die DSGVO anwendbar ist, stützen wir die Bearbeitung auf:

• Art. 6 Abs. 1 lit. b — Erfüllung des Vertrags mit unserer Kundschaft und vorvertragliche Massnahmen, etwa die Antwort auf eine Anfrage.
• Art. 6 Abs. 1 lit. f — unser berechtigtes Interesse am sicheren, störungsfreien Betrieb; darunter fallen die Zugriffsprotokolle und die Abwehr missbräuchlicher Formulareinsendungen.
• Art. 6 Abs. 1 lit. c — Erfüllung rechtlicher Pflichten, etwa der Aufbewahrungspflichten des Handelsrechts.

Nach Schweizer Recht bearbeiten wir Personendaten gestützt auf das revDSG; eine Einwilligung ist dafür in den beschriebenen Fällen nicht erforderlich, weil die Bearbeitung zur Vertragserfüllung dient oder ein überwiegendes Interesse besteht.

Ihre Rechte

Sie haben das Recht auf Auskunft über die Daten, die wir zu Ihnen bearbeiten, auf Berichtigung, auf Löschung und auf Einschränkung der Bearbeitung. Wo die DSGVO gilt, kommen das Recht auf Datenübertragbarkeit und das Recht hinzu, einer auf berechtigtes Interesse gestützten Bearbeitung zu widersprechen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenden Sie sich dafür an matt@matt-b.ch. Damit wir niemandem fremde Daten geben, müssen wir uns unter Umständen vergewissern, dass Sie sind, wer Sie zu sein angeben.

Betrifft Ihre Anfrage einen Scan oder ein Formular hinter einem fremden QR-Code, richten Sie sie an den Betreiber dieses Codes — wir sind dort nur Auftragsbearbeiterin. Kennen Sie ihn nicht, schreiben Sie uns; wir stellen den Kontakt her.

Sie können sich ausserdem bei einer Aufsichtsbehörde beschweren: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der Behörde Ihres Wohnsitzstaats.

Sicherheit

Der Verkehr zu allen unseren Adressen ist mit TLS verschlüsselt. Zugangsdaten zu fremden Systemen, die Kunden bei uns hinterlegen, liegen verschlüsselt (AES-256-GCM). Ziel-Adressen werden beim Speichern gegen eine Sperrliste geprüft, und Aufrufe an fremde Systeme können keine internen Netze erreichen.

Absolute Sicherheit kann niemand zusichern. Wir richten unsere Massnahmen am Stand der Technik aus und passen sie an.

Änderungen

Ändert sich, was wir bearbeiten, ändert sich diese Erklärung. Massgebend ist die hier veröffentlichte Fassung mit dem oben genannten Stand.