Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Datenverarbeitung auf der Gefahrstoff-QR-Plattform ist:

Julian Gräfen
Pfarrer-Reinartz-Str. 11
53925 Kall
Deutschland
E-Mail: info@gefahrstoff-qr.de

Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nach derzeitigem Stand nicht (Art. 37 DSGVO).

Unsere Web-App wird bei externen Cloud-Infrastruktur-Diensten (Vercel Inc. sowie Supabase Inc.) gehostet. Beim Aufruf werden durch den Browser automatisch Informationen an den Server übermittelt (z. B. IP-Adresse, Datum und Uhrzeit, Name der abgerufenen Datei, Browser-Typ).

Standort & Architektur: Die Datenspeicherung und Kernverarbeitung erfolgt physisch ausschließlich in der EU (Frankfurt am Main). Durch das globale Edge-Netzwerk (Anycast CDN) von Vercel kann initialer Traffic zur Gewährleistung der Erreichbarkeit temporär über Serverknoten außerhalb des EWR geleitet werden.

Zweck & Speicherdauer: Vercel nutzt IP-Adressen im Rahmen berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) zur Angriffsabwehr (z. B. DDoS-Schutz). Die Speicherdauer der Server- und Access-Logs beträgt im Standardbetrieb 24 Stunden (maximal 30 Tage bei Nutzung erweiterter Systemanalysen).

Drittlandtransfer: Vercel Inc. und Supabase Inc. sind nach dem EU-US Data Privacy Framework (DPF) zertifiziert. Ergänzend wurden Auftragsverarbeitungsverträge (AVV) inkl. EU-Standardvertragsklauseln (SCCs) geschlossen.

a) Speicherung von Gefahrstoffdokumenten (SDBs & Betriebsanweisungen)

Die Speicherung hochgeladener Dokumente (z. B. Sicherheitsdatenblätter) erfolgt in Supabase Storage auf Basis einer AWS S3-Infrastruktur mit ausschließlichem Speicherort in Frankfurt am Main.

Alle PDFs werden im Ruhezustand (Data at Rest) mittels AES-256 verschlüsselt. Jede Datenübertragung erfolgt via TLS 1.2/1.3.

Die Dokumente liegen in nicht-öffentlichen Buckets. Zugriffe werden mandantenspezifisch isoliert, authentifiziert (JWT) und über PostgreSQL Row-Level Security (RLS) autorisiert – jeder Mandant sieht ausschließlich seine eigenen betrieblichen Daten.

b) KI-Textextraktion (Azure AI Document Intelligence & Azure AI Foundry)

Für die digitale Erfassung und Auswertung von Sicherheitsdatenblättern (SDB) und Gefahrstoffetiketten setzen wir eine Analyse-Pipeline ein:

Verarbeitung: Über Azure AI Document Intelligence werden Dokumente optisch erfasst. Anschließend strukturieren Sprachmodelle via Azure AI Foundry (Azure OpenAI Service) wesentliche Daten wie GHS-Piktogramme, H- und P-Sätze sowie Inhaltsstoffe.

Standort & Dienstleister: Die Modellausführung erfolgt auf Cloud-Ressourcen der Microsoft Ireland Operations Limited innerhalb der Europäischen Union (primär Region Germany West Central, Frankfurt am Main).

Ausschluss von Modell-Training: Die übermittelten Dokumente und Extrakte werden von Microsoft oder Dritten zu keinem Zeitpunkt zum Trainieren oder Verbessern von KI-Modellen verwendet. Nach Abschluss der zustandslosen (stateless) Analyse werden temporäre Daten im Rahmen des Abuse Monitorings nach maximal 30 Tagen bei Microsoft verworfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

c) Zahlungsabwicklung via Stripe

Für die Abwicklung kostenpflichtiger SaaS-Abonnements nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., Dublin, Irland. Wir speichern selbst keine vollständigen Zahlungsdaten. Stripe verarbeitet Ihre Daten zur Abrechnung. Ein potenzieller Datentransfer in die USA ist durch das DPF abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. (Datenschutzerklärung von Stripe)

d) E-Mail-Versand via Resend

Für den Versand von transaktionalen System-Mails (z. B. Passwort-Reset, Einladungen) nutzen wir Resend Inc. Das Tracking von Öffnungs- und Klickraten ist vollständig deaktiviert. Der Datentransfer wird durch das DPF sowie SCCs abgesichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

e) Nutzung der Kamera für den QR-Code-Scanner

Um die Funktion zum Scannen physischer Gefahrstoff-QR-Etiketten vor Ort nutzen zu können, benötigt die Web-Applikation Zugriff auf die Kamera des Endgerätes.

Lokale Verarbeitung: Der Videostream wird ausschließlich lokal im Arbeitsspeicher des Endgerätes verarbeitet, um den Code zu decodieren. Es findet keine Übertragung oder Aufzeichnung von Bilddaten auf unseren Servern statt.

Die Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über die Browsereinstellungen widerrufen können.

Session & Sicherheit: Nach der Anmeldung setzen wir zwingend notwendige Authentifizierungs-Token (z. B. von Supabase Auth) zur Aufrechterhaltung der Sitzung. Stripe setzt notwendige Cookies zur Betrugsprävention beim Checkout. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.

Einwilligung: Sofern wir optionale Funktionen einsetzen, dokumentieren wir Ihre Auswahl in einem First-Party-Cookie (gqr_cookie_consent).

Kein Tracking: Es werden keine Marketing- oder Analyse-Tools (wie Google Analytics) eingesetzt.

Personenbezogene Daten sowie Betriebsdaten werden gelöscht, sobald der Zweck entfällt:

Konto-Löschung (Hard Delete): Bei vollständiger Löschung des Mandantenkontos werden alle hochgeladenen Dokumente physisch und unwiderruflich aus dem Storage in Frankfurt gelöscht. Datenbankeinträge werden per Cascading Delete bereinigt.

Backups: Disaster-Recovery-Backups der Datenbank werden georedundant in der EU (verschlüsselt) gespeichert und nach maximal 30 Tagen automatisiert überschrieben.

Gesetzliche Fristen: Rechnungs- und Vertragsdaten bei Stripe und in unserer Buchhaltung bleiben von der sofortigen Löschung unberührt und werden entsprechend der gesetzlichen 10-jährigen Aufbewahrungsfrist (§ 147 AO, § 257 HGB) archiviert. Audit-Logs für Gefahrstoffe unterliegen ebenfalls gesetzlichen Nachweispflichten.

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen die Verarbeitung (Art. 21 DSGVO)

Anfragen zur Ausübung Ihrer Rechte richten Sie bitte an info@gefahrstoff-qr.de.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für unseren Unternehmenssitz zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4, 40213 Düsseldorf
(www.ldi.nrw.de)