Datenschutzerklärung

01Wer wir sind und wie du uns erreichst

Diese Erklärung beschreibt, wie wir personenbezogene Daten auf thugqr.com, auf api.thugqr.com (dem Dienst hinter den Konten) und auf go.thugqr.com (der Adresse hinter jedem dynamischen QR-Code) verarbeiten, in allen ihren Sprachversionen. Zusammen nennen wir sie „ThugQR“, „der Dienst“, „wir“.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) und des griechischen Gesetzes 4624/2019 ist die Privatperson, die ThugQR betreibt, ein persönliches, nicht kommerzielles Projekt und kein Unternehmen. Mehr dazu im Abschnitt „Wer wir sind“ der Nutzungsbedingungen.

Bei allen Fragen oder Anliegen zu deinen Daten schreib uns an hello@thugqr.com. Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen benannt; Datenschutzanfragen werden direkt vom Betreiber des Dienstes gelesen und bearbeitet.

02Für wen diese Erklärung gilt

Diese Erklärung betrifft drei verschiedene Gruppen von Personen, und für jede verarbeiten wir etwas anderes:

• Besucher, die ohne Konto statische QR-Codes erstellen. Von dir speichern wir fast nichts, und Besucherstatistiken und Werbemessung nur, wenn du sie erlaubst (Abschnitte 3, 4, 11, 12 und 13).
• Kontoinhaber, die dynamische QR-Codes nutzen. Von dir speichern wir deine Kontodaten und deine QR-Codes (Abschnitte 5 bis 7).
• Personen, die scannen, also den dynamischen QR-Code von jemand anderem aufrufen. Von dir verarbeiten wir die technischen Details des Scans für wenige Millisekunden und behalten nur anonyme Statistiken und bei einem Gewinnspiel nur das, was du selbst in das Gewinnerformular eingibst (Abschnitte 8 bis 10).

Wenn ein Abschnitt nicht auf dich zutrifft, kannst du ihn einfach überspringen.

03Der Generator: Alles passiert auf deinem Gerät

Der Generator für statische QR-Codes läuft vollständig in deinem Browser. Die Inhalte, die du eingibst (Links, Text, WLAN-Daten, vCard-Visitenkarten, E-Mail- oder SMS-Inhalte, Telefonnummern), die Logos, die du hochlädst, die Farben und Formen, die du wählst, und die PNG-, JPEG-, WEBP- oder SVG-Dateien, die du herunterlädst, werden alle lokal erstellt und verarbeitet, von Code, der auf deinem Gerät läuft.

Nichts davon wird an unsere Server oder an Dritte gesendet. Wir können die statischen Codes, die du erstellst, weder sehen noch speichern, abrufen oder abschalten. Ein statischer Code enthält seinen Inhalt selbst und funktioniert deshalb auch dann weiter, wenn es ThugQR nicht mehr gäbe.

Die einzige Kommunikation zwischen deinem Browser und unseren Servern, während du den Generator nutzt, ist das Laden der Seite selbst und ihrer Dateien (Code, Schriftarten, Bilder), beschrieben in Abschnitt 13.

Die Ausnahme: Speichern. Wenn du angemeldet bist und auf Speichern tippst, übermitteln und speichern wir in deinem Konto den Namen, den du vergibst, den Inhalt des Codes, alle Designeinstellungen (samt hochgeladenem Logo, falls vorhanden) und ein kleines Vorschaubild, damit du ihn wieder öffnen, ändern und herunterladen kannst. Nur du siehst sie, unter „Meine QR-Codes“, und sie bleiben, bis du sie oder dein Konto löschst. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

04Was auf deinem Gerät gespeichert wird

Damit du deine Arbeit wiederfindest, wenn du zurückkommst, speichert die Seite dein aktuelles Design im lokalen Speicher (Local Storage) deines Browsers: die eingegebenen Inhalte, deine Designentscheidungen und, falls es passt, das hochgeladene Logo. Sie speichert außerdem deine Sprache, dein Farbschema (hell oder dunkel) und den zuletzt geöffneten Tab. Wenn du angemeldet bist, speichert sie auch die Grunddaten deines Kontos (Name, E-Mail-Adresse, Tarif), damit der Konto-Button sofort erscheint, ohne eine weitere Anfrage an den Server.

All das bleibt auf deinem Gerät und wird nicht an uns gesendet. Du kannst es mit dem Button Zurücksetzen im Generator löschen, durch Abmelden (für die Kontodaten) oder indem du die Websitedaten in deinen Browsereinstellungen löschst. Die vollständige Liste, zusammen mit den Cookies für Konten, für passwortgeschützte QR-Codes und, nur wenn du sie akzeptierst, für Google Analytics und das TikTok Pixel, steht in der Cookie-Richtlinie.

05Dein Konto

Ein Konto brauchst du nur für dynamische QR-Codes. Wenn du dich registrierst, verarbeiten wir:

• Vor- und Nachname, so wie du sie eingibst, um dich im Dienst und in E-Mails anzusprechen.
• E-Mail-Adresse, als deine Anmeldekennung und um dir Bestätigungscodes zu schicken. Wir bestätigen sie mit einem 6-stelligen Code, bevor das Konto erstellt wird, damit sich niemand mit einer fremden Adresse registrieren kann.
• Passwort, nur als Argon2id-Hash gespeichert. Wir kennen dein Passwort nicht und können es nicht wiederherstellen, sondern nur über das Zurücksetzen ersetzen.
• Zeitstempel: wann das Konto erstellt wurde, wann die E-Mail-Adresse bestätigt wurde, wann du die Nutzungsbedingungen akzeptiert hast (damit wir es nachweisen können, Art. 7 Abs. 1 DSGVO) und wann du dich zuletzt angemeldet hast.
• Tarif (Kostenlos oder Pro) und Kontostatus.

Für jede Anmeldung von einem Gerät oder Browser erstellen wir eine Sitzung, in der wir die Browserkennung (User-Agent), die IP-Adresse, von der die Anmeldung kam, den Zeitpunkt der Anmeldung und den Zeitpunkt der letzten Nutzung festhalten. So kannst du deine aktiven Geräte sehen und alle anderen abmelden, und wir können Missbrauch erkennen (zum Beispiel ein gestohlenes Anmelde-Token). Sitzungs-Tokens werden nur als SHA‑256-Hashes gespeichert.

Zum Schutz vor dem Erraten von Passwörtern zählen wir fehlgeschlagene Anmeldeversuche pro IP-Adresse und pro Konto. Die Schlüssel dieser Zähler werden als Hashes gespeichert, nicht als IP-Adressen oder E-Mail-Adressen im Klartext, und werden gelöscht, sobald das Zeitfenster endet (spätestens nach einer Stunde).

Rechtsgrundlage: die Erfüllung unseres Vertrags mit dir, also die Bereitstellung des Kontos, das du angefordert hast (Art. 6 Abs. 1 lit. b DSGVO). Für Sitzungen, die Sicherheitszähler und den Nachweis der Zustimmung zu den Bedingungen: unser berechtigtes Interesse, einen sicheren Dienst zu betreiben und die Einhaltung der Vorschriften nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO).

06Die E-Mails, die wir dir schicken

Wir senden ausschließlich funktionale E-Mails, von noreply@thugqr.com, und nur, wenn du sie durch eine eigene Aktion auslöst:

• den 6-stelligen Bestätigungscode bei der Registrierung
• den Code zum Zurücksetzen, wenn du ein neues Passwort anforderst
• zwei Codes, wenn du deine E-Mail-Adresse änderst: einen an die alte und einen an die neue Adresse, sodass beide nötig sind
• den Bestätigungscode, wenn du die Löschung deines Kontos anforderst

Wir senden keine Newsletter, Angebote oder Werbenachrichten und werden das auch nicht tun, ohne vorher deine ausdrückliche Einwilligung einzuholen, die du jederzeit widerrufen könntest. Wenn sich die Bedingungen oder diese Erklärung wesentlich ändern oder wenn wir dich über ein Sicherheitsthema informieren müssen, das dein Konto betrifft, können wir dir eine Informations-E-Mail schicken; das ist Teil des Dienstes, keine Werbung.

Die Codes, die wir senden, werden in unserer Datenbank nur als HMAC‑SHA256 gespeichert, sind 10 Minuten gültig und werden nach 5 falschen Versuchen ungültig. E-Mails verlassen uns über die Mailserver unseres Hosting-Anbieters (Abschnitt 14). Der E-Mail-Anbieter des Empfängers (zum Beispiel Google, wenn du Gmail nutzt) verarbeitet die Nachricht nach seiner eigenen Richtlinie; darauf haben wir keinen Einfluss.

07Deine dynamischen QR-Codes

Ein dynamischer QR-Code enthält nicht das endgültige Ziel, sondern einen Kurzlink der Form go.thugqr.com/name. Wenn ihn jemand scannt, leitet unser Server die Person zu dem Ziel weiter, das du in diesem Moment festgelegt hast. Deshalb kannst du das Ziel auch nach dem Drucken ändern. Damit das funktioniert, speichern wir in deinem Konto:

• den Namen, den du jedem QR-Code gibst, und seinen Kurzlink (Slug)
• sein Ziel oder seine Ziele, mit den Regeln, die du festlegst (nach Gerät, Uhrzeit, Datum, Anzahl der Scans, Sprache, Land oder zufälliger/sequenzieller Rotation), und die Zeitzone für die Regeln
• das Schutzpasswort, falls du den QR-Code mit einem Passwort geschützt hast, nur als Argon2id-Hash gespeichert
• QR-Code-Gruppen (z. B. „Tische“), ihren Namen und Parameter
• den Status jedes Codes (aktiv, pausiert, blockiert), seine Gesamtzahl an Scans und den Zeitpunkt des letzten Scans

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Ziele, die du festlegst, sind dein Inhalt; wir nutzen sie für nichts anderes als die Weiterleitung, die Prüfung auf Missbrauch (Abschnitt 8 der Nutzungsbedingungen) und die Behebung technischer Probleme.

Wenn du einen QR-Code löschst, werden seine Statistiken sofort gelöscht. Der Kurzlink selbst bleibt für immer reserviert (ohne Namen, Ziel oder Statistiken), damit ihn niemand anderes übernehmen und die Personen, die einen bereits gedruckten Code scannen, woandershin schicken kann. Dasselbe geschieht mit allen deinen QR-Codes, wenn du dein Konto löschst.

08Scan-Statistiken: Zählen ohne Tracking

In diesem Abschnitt geht es um die Personen, die einen dynamischen QR-Code scannen, nicht um dessen Inhaber. Jeder Scan ist ein gewöhnlicher Aufruf einer go.thugqr.com-Adresse. Im Moment des Aufrufs erhält unser Server automatisch, wie jeder Server im Internet, deine IP-Adresse, deine Browserkennung (User-Agent) und die bevorzugte Sprache deines Browsers. Wir nutzen sie sofort, innerhalb derselben Anfrage, für zwei Dinge: um dich zum richtigen Ziel zu schicken (die Regeln des Inhabers können von deinem Gerät, deiner Sprache oder deinem Land abhängen) und um den Scan zu zählen.

Vom Scan speichern wir nur:

• Datum und Uhrzeit
• das Land, abgeleitet aus deiner IP-Adresse mit genulltem letzten Teil, mithilfe einer Datenbank, die auf unserem eigenen Server liegt (DB‑IP Lite). Es wird kein externer Geolokalisierungsdienst aufgerufen und keine Stadt oder genauer Standort bestimmt.
• den Gerätetyp (Smartphone, Tablet, Desktop), die Betriebssystemfamilie (z. B. iOS, Android) und die Browserfamilie (z. B. Safari, Chrome), ohne Versionsnummern
• zu welchem der Ziele des Codes du geschickt wurdest, falls der Code mehr als eines hat
• eine anonyme Besucherkennung: den SHA‑256-Hash aus einem zufälligen täglichen „Salt“, dem konkreten QR-Code, deiner IP-Adresse und deinem User-Agent. Sie dient nur dazu, die eindeutigen Besucher eines Tages zu zählen und einen innerhalb von 10 Sekunden wiederholten Scan nicht doppelt zu zählen.

Der tägliche „Salt“ wird am Ende jedes Tages gelöscht. Ab diesem Moment lässt sich die Kennung nicht mehr reproduzieren, auch nicht von uns: Wir können weder deine Besuche an verschiedenen Tagen noch deine Besuche verschiedener QR-Codes miteinander verknüpfen, noch zu deiner IP-Adresse zurückgelangen. Wir speichern keine IP-Adresse, keinen User-Agent und kein Cookie oder eine sonstige Kennung auf deinem Gerät. Es ist dieselbe Methode, die datenschutzfreundliche Tools zur Reichweitenmessung verwenden, und sie wurde so entworfen, dass sie unter die Ausnahme für Reichweitenmessung fällt, die die französische Aufsichtsbehörde CNIL beschrieben hat.

Automatisierte Aufrufe durch Crawler, Link-Vorschauen in Messenger-Apps (WhatsApp, Slack, iMessage und andere) und Prefetches werden normal weitergeleitet, aber nicht gezählt. Der Inhaber des QR-Codes sieht nur aggregierte Zahlen: Scans und eindeutige Besucher pro Tag, pro Land, pro Gerätetyp und pro Ziel. Er sieht nie einzelne Aufrufe, IP-Adressen oder irgendetwas, das zu einer bestimmten Person führen könnte.

Bei der Weiterleitung weisen wir deinen Browser an, dem Ziel nicht zu verraten, dass du über go.thugqr.com gekommen bist (No-Referrer-Policy), und die Weiterleitung nicht zwischenzuspeichern. Das Ziel ist eine Website des Code-Inhabers oder eines Dritten, mit eigener Datenschutzerklärung, auf die wir keinen Einfluss haben.

Rechtsgrundlage: unser berechtigtes Interesse und das des Code-Inhabers (Art. 6 Abs. 1 lit. f DSGVO), die Weiterleitung bereitzustellen, die du durch das Scannen angefordert hast, den Dienst vor Missbrauch zu schützen und den Inhaber auf aggregierter Ebene wissen zu lassen, wie oft sein Code genutzt wird. Wir haben dieses Interesse gegen deine Rechte abgewogen, und deshalb haben wir eine Methode gewählt, die dich nicht trackt und nichts behält, was dich identifiziert. Da nichts auf deinem Gerät gespeichert oder von ihm ausgelesen wird, ist nach den ePrivacy-Vorschriften keine Einwilligung erforderlich (Art. 5 Abs. 3 der Richtlinie 2002/58/EG). Du hast jederzeit das Recht auf Widerspruch (Abschnitt 18).

09Passwortgeschützte QR-Codes

Der Inhaber eines dynamischen QR-Codes kann ihn mit einem Passwort schützen. Dann siehst du statt einer Weiterleitung eine Seite, die nach dem Passwort fragt. Was du dort eingibst, wird mit dem Hash des Passworts verglichen und nicht gespeichert. Nach einem richtigen Passwort setzt unser Server ein Cookie in deinem Browser, nur für go.thugqr.com, damit du das Passwort 12 Stunden lang nicht erneut eingeben musst. Das Cookie enthält ein Ablaufdatum und eine digitale Signatur; es enthält weder das Passwort noch irgendein Detail über dich, und es wird für keinen anderen Zweck verwendet. Es ist für die von dir angeforderte Funktion unbedingt erforderlich und braucht daher keine Einwilligung.

Falsche Versuche werden pro IP-Adresse und Code gezählt (als Hash, für 10 Minuten), damit niemand tausende Passwörter durchprobieren kann. Das Scannen eines passwortgeschützten Codes wird in den Statistiken so gezählt, wie in Abschnitt 8 beschrieben, unabhängig davon, ob das richtige Passwort eingegeben wurde.

Für jedes falsche Passwort speichern wir nur den Zeitpunkt, nichts darüber, wer es eingegeben hat, damit der Inhaber sieht, wie viele Fehlversuche es gab. Hat der Inhaber das so eingestellt, pausiert der QR-Code nach einer Anzahl falscher Passwörter in Folge, bis er ihn wieder einschaltet. Diese Einträge werden nach 90 Tagen gelöscht.

10Gewinnspiele mit QR-Codes

Wer eine Gruppe dynamischer QR-Codes besitzt, kann sie in ein Gewinnspiel verwandeln. Scannst du einen solchen Code, siehst du statt einer Weiterleitung eine Ergebnisseite (gewonnen, kein Gewinn, bereits geöffnet, Gewinnspiel beendet). Ob ein Code gewinnt, entscheidet eine Zufallsziehung auf unserem Server, entweder beim Anlegen des Gewinnspiels durch den Veranstalter oder im Moment des ersten Scans. Nichts über dich spielt bei der Ziehung eine Rolle, und nichts über dich wird dafür gespeichert. Der Scan wird in der Statistik so gezählt, wie in Abschnitt 8 beschrieben. Der Gewinncode, den Gewinner sehen, wird aus der Kennung des QR-Codes berechnet und nicht gespeichert.

Hat der Veranstalter gewählt, dass das Ergebnis nur einmal aufgedeckt wird, „öffnet“ der erste Scan jedes Codes ihn, und spätere Scans sehen „bereits geöffnet“. Damit du dein eigenes Ergebnis auf demselben Gerät noch einmal ansehen kannst, setzt unser Server ein Cookie namens qrs_<Nummer>, nur für go.thugqr.com, für 30 Tage. Es enthält nur eine signierte Markierung des Moments, in dem der Code geöffnet wurde, nichts über dich, und ist für die von dir angeforderte Funktion zwingend erforderlich, weshalb es keiner Einwilligung bedarf.

Der Veranstalter kann Gewinner bitten, für die Übergabe des Gewinns Angaben zu hinterlassen (Vorname, Nachname, Telefon, E‑Mail, je nachdem, was er ausgewählt hat), und kann dir anbieten, den Gewinn an deine E‑Mail-Adresse zu senden. Wir speichern nur, was du eingibst, mit dem Zeitpunkt des Absendens, verknüpft mit diesem einen Code. Die Angaben werden dem Veranstalter per E‑Mail zugestellt, in seinem Dashboard angezeigt und, wenn er das gewählt hat, erhältst auch du eine Kopie. Wir nutzen sie für nichts anderes: keine Werbung, kein Profil, keine Weitergabe an irgendjemanden außer dem Veranstalter. Der Veranstalter ist für das Gewinnspiel und dafür verantwortlich, was er danach mit deinen Angaben macht; wir verarbeiten sie in seinem Auftrag, nur um sie ihm zu übergeben. Rechtsgrundlage: deine Anfrage, den Gewinn zu erhalten (Art. 6 Abs. 1 lit. b DSGVO). Formulareingaben sind auf 20 pro 10 Minuten und IP-Adresse (als Hash) begrenzt, damit niemand das Formular fluten kann.

Gewinnerangaben bleiben so lange gespeichert, wie das Gewinnspiel im Konto des Veranstalters existiert, und werden zusammen mit dem Code, dem Gewinnspiel oder dem Konto gelöscht. Die Markierung „abgeholt“, die der Veranstalter setzt, speichert nur einen Zeitpunkt. Du kannst den Veranstalter oder uns unter hello@thugqr.com um Löschung bitten, unter Angabe des Links des Codes.

11Besucherstatistiken (Google Analytics), nur mit deiner Einwilligung

Um zu verstehen, welche Seiten gelesen werden und wo die Seite besser werden muss, kann thugqr.com Google Analytics 4 nutzen. Es läuft nur, wenn du im Cookie-Banner auf „Akzeptieren“ drückst. Bis dahin, und wenn du auf „Ablehnen“ drückst, wird der Code von Google Analytics überhaupt nicht geladen und nichts an Google gesendet. Analytics läuft nur auf thugqr.com: Der Kontodienst (api.thugqr.com) und QR-Scans (go.thugqr.com) nutzen es nie.

Wenn du akzeptierst, zeichnet Google Analytics unter einer zufälligen Kennung, die in einem Cookie gespeichert wird, Folgendes auf: die Seiten, die du besuchst, und die Seite, von der du kamst, den Zeitpunkt, deinen ungefähren Standort (Land und Stadt, abgeleitet aus deiner IP-Adresse, die Google Analytics 4 nicht speichert), dein Gerät, deinen Browser, dein Betriebssystem, deine Bildschirmgröße und deine Sprache sowie einfache Interaktionen wie Scrollen, Datei-Downloads und Klicks auf Links zu anderen Websites. Es zeichnet nicht auf, was du im Generator eingibst, deine QR-Codes, dein Logo oder die Daten deines Kontos.

Wir haben Google signals und die Personalisierung von Werbung abgeschaltet: Die Daten werden nicht mit deinem Google-Konto verknüpft und nicht für Werbung verwendet. Google Ireland Ltd verarbeitet die Daten als unser Auftragsverarbeiter, auf Grundlage der Datenverarbeitungsbedingungen von Google. Google kann Daten auch in den Vereinigten Staaten verarbeiten; Google LLC ist nach dem EU‑US Data Privacy Framework zertifiziert.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und Art. 4 Abs. 5 des Gesetzes 3471/2006). Du kannst sie jederzeit widerrufen, so einfach, wie du sie erteilt hast, über den Link „Cookie-Einstellungen“ unten auf jeder Seite; dann werden die Cookies gelöscht und die Messung endet. Statistiken werden in Google Analytics bis zu 14 Monate aufbewahrt und danach automatisch gelöscht. Deine Auswahl selbst wird nur in deinem Browser gespeichert (siehe die Cookie-Richtlinie), und nach 12 Monaten fragen wir erneut.

12Werbemessung (TikTok Pixel), nur mit deiner Einwilligung

Wir bewerben ThugQR mit Anzeigen auf TikTok. Um zu wissen, welche dieser Anzeigen tatsächlich Menschen auf die Seite bringen, kann thugqr.com das TikTok Pixel nutzen. Es läuft nur, wenn du in den Cookie-Einstellungen „Werbung“ erlaubst oder im Banner auf „Akzeptieren“ drückst. Bis dahin, und wenn du es ablehnst, wird der Code von TikTok überhaupt nicht geladen und nichts an TikTok gesendet. Das Pixel läuft nur auf thugqr.com, nie auf api.thugqr.com oder go.thugqr.com. ThugQR selbst zeigt dir keine Werbung.

Wenn du es erlaubst, sendet das TikTok Pixel an TikTok: die Seiten, die du besuchst, und die Seite, von der du kamst, den Zeitpunkt, technische Angaben zu deinem Browser und Gerät, deine IP-Adresse, eine in einem Cookie gespeicherte Kennung und, wenn du über eine TikTok-Anzeige gekommen bist, die Klick-Kennung dieser Anzeige. TikTok kann dies mit deinem TikTok-Konto verknüpfen, falls du eines hast, und nutzt es, um unsere Kampagnen zu messen und, gemäß seiner eigenen Datenschutzrichtlinie, um Werbung anzuzeigen, auch Werbung anderer Unternehmen. Wir senden TikTok nicht, was du im Generator eingibst, deine QR-Codes oder die Daten deines Kontos. Mit deiner Einwilligung erfasst es außerdem einige Aktionen auf der Website: das Öffnen einer Leistungsseite, das Herunterladen eines QR-Codes und das Erstellen eines Kontos, ohne deinen Namen, deine E‑Mail-Adresse oder den Inhalt des Codes.

Empfänger: TikTok Technology Limited (Irland). Für die Erhebung und Übermittlung dieser Daten über das Pixel sind TikTok und wir gemeinsam Verantwortliche nach den Bedingungen von TikTok für seine Business-Produkte; danach verarbeitet TikTok die Daten als eigenständiger Verantwortlicher. TikTok kann Daten außerhalb des EWR übermitteln und nutzt dafür die EU-Standardvertragsklauseln. Deine Rechte an diesen Daten kannst du direkt bei TikTok ausüben oder über uns unter hello@thugqr.com.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und Art. 4 Abs. 5 des Gesetzes 3471/2006). Du kannst sie jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite widerrufen; dann werden die TikTok-Cookies auf thugqr.com gelöscht und das Pixel wird nicht mehr geladen. Die Cookies bestehen bis zu 13 Monate; wie lange TikTok die erhaltenen Daten aufbewahrt, legt die Datenschutzrichtlinie von TikTok fest.

13Hosting, Server-Logs und Backups

Die Website, der Kontodienst, die Datenbank und die Weiterleitungen werden auf Servern von Hostinger gehostet, in einem Rechenzentrum in Frankfurt, Deutschland, innerhalb der Europäischen Union. Hostinger handelt als Auftragsverarbeiter in unserem Auftrag, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.

Wie auf jeder Website zeichnet der Server, wenn dein Browser eine Seite oder Datei anfordert, vorübergehend in seinen Logdateien auf:

• deine IP-Adresse
• Datum und Uhrzeit der Anfrage
• die angeforderte Adresse und die Antwort des Servers (z. B. Statuscode, Größe)
• deinen Browser und dein Betriebssystem (User-Agent)
• die Seite, von der du kamst (Referrer), falls dein Browser sie sendet

Logdateien werden nur für den Betrieb und die Sicherheit der Seite genutzt (Fehlersuche, Angriffe und Missbrauch) und nach einem kurzen, rollierenden Zeitraum, den der Hosting-Anbieter festlegt, automatisch gelöscht. Wir nutzen sie nicht, um dich zu identifizieren oder Profile zu erstellen. Rechtsgrundlage: unser berechtigtes Interesse am Betrieb einer sicheren und zuverlässigen Website (Art. 6 Abs. 1 lit. f DSGVO).

Der Hosting-Anbieter erstellt automatisch Backups der Datenbank und der Dateien, damit wir den Dienst nach einem Ausfall wiederherstellen können. Backups werden rollierend ersetzt, ältere werden spätestens nach 30 Tagen gelöscht. Das bedeutet, dass Daten, die du gelöscht hast, bis zu 30 Tage in einem Backup verbleiben können, ohne für einen anderen Zweck genutzt zu werden.

14An wen wir Daten weitergeben

Wir verkaufen, vermieten oder übergeben personenbezogene Daten niemandem für dessen eigene Zwecke. Die einzigen Dritten, die mit Daten in Berührung kommen, sind:

• Hostinger (Hostinger International Ltd. und ihre Konzerngesellschaften, mit Sitz in der EU): Hosting der Website, der Datenbank und der Logdateien sowie Zustellung unserer E-Mails über ihre Mailserver. Auftragsverarbeiter, Server in Frankfurt.
• Cloudflare (cdnjs): Nur wenn du im Dashboard für dynamische QR-Codes viele QR-Codes zusammen als ZIP-Datei herunterlädst, lädt dein Browser die Komprimierungsbibliothek JSZip von cdnjs.cloudflare.com. Bei dieser Anfrage erhält Cloudflare deine IP-Adresse und deinen User-Agent, wie jeder Server, von dem du eine Datei herunterlädst. Cloudflare erhält nicht den Inhalt deiner QR-Codes, der lokal komprimiert wird. Die Integrität der Datei wird mit einer kryptografischen Signatur geprüft (Subresource Integrity). Keine andere Seite oder Funktion von ThugQR kommuniziert mit Cloudflare.
• Google (Google Ireland Ltd): nur wenn du Analyse-Cookies akzeptierst, die in Abschnitt 11 beschriebenen Besucherstatistiken. Auftragsverarbeiter; Daten können auch in den Vereinigten Staaten verarbeitet werden, auf Grundlage des EU‑US Data Privacy Framework.
• TikTok (TikTok Technology Limited, Irland): nur wenn du Werbe-Cookies erlaubst, die in Abschnitt 12 beschriebene Werbemessung. Gemeinsam Verantwortlicher für die Erhebung über das Pixel, danach eigenständiger Verantwortlicher; Daten können auf Grundlage der EU-Standardvertragsklauseln außerhalb des EWR übermittelt werden.
• Behörden, nur wenn das Gesetz oder eine verbindliche gerichtliche oder behördliche Anordnung es verlangt, und nur im erforderlichen Umfang. Wir informieren die betroffene Person, soweit das Gesetz es erlaubt.

Abgesehen von Google Analytics und dem TikTok Pixel, beide nur mit deiner Einwilligung, nutzen wir keine anderen Analyse- oder Werbe-Tools und keine Social-Media-Widgets, Chat-Widgets oder externen Schriftarten. Schriftarten, Icons und Code-Bibliotheken der Seite (abgesehen von der oben erwähnten JSZip) liegen auf unserem eigenen Server. Auch die DB‑IP-Länderdatenbank liegt auf unserem Server, sodass keine IP-Adresse an Dritte gesendet wird, um das Land zu ermitteln.

15Wie wir Daten schützen

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein (Art. 32 DSGVO), darunter:

• Verschlüsselung jeder Verbindung mit TLS (HTTPS) und HSTS auf allen Subdomains
• Passwörter und Schutzpasswörter nur als Argon2id-Hashes gespeichert; Sitzungs-Tokens, E-Mail-Codes und Zählerschlüssel nur als SHA‑256- oder HMAC-Hashes
• Anmelde-Cookies mit den Attributen HttpOnly, Secure und SameSite=Strict, damit sie weder von Code noch von anderen Websites gelesen werden können, sowie CSRF-Schutz
• kurzlebige Zugriffs-Tokens (15 Minuten) mit automatischer Rotation und Widerruf der gesamten Sitzung, wenn die Wiederverwendung eines alten Tokens erkannt wird
• Ratenbegrenzungen für Anmeldung, Registrierung, E-Mail-Codes und passwortgeschützte QR-Codes
• Minimierung durch Design: Wir speichern nicht, was nicht gebraucht wird (IP-Adresse und User-Agent von Scans, Inhalt statischer Codes)
• Sicherheits-Header (Content Security Policy, X‑Frame‑Options und weitere), vorbereitete SQL-Anweisungen (Prepared Statements), automatisierte Tests und regelmäßige Software-Updates
• Zugriff auf Datenbank und Server nur durch den Betreiber des Dienstes, mit starker Authentifizierung

Kein Dienst ist vollkommen sicher. Kommt es zu einer Datenpanne, die deine Rechte voraussichtlich gefährdet, melden wir sie der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden und dir unverzüglich, wie es Art. 33 und 34 DSGVO verlangen.

16Wo die Daten liegen

Alle Daten, die wir speichern, liegen auf Servern innerhalb der Europäischen Union (Frankfurt). Wir übermitteln keine Daten in Länder außerhalb des Europäischen Wirtschaftsraums, mit folgenden Ausnahmen: Die E-Mails, die wir dir schicken, werden an deinen eigenen E-Mail-Anbieter zugestellt, wo auch immer er sitzt; die JSZip-Bibliothek wird aus dem Content Delivery Network von Cloudflare geladen, das vom nächstgelegenen Knoten antwortet, möglicherweise außerhalb der EU; nur wenn du Statistik-Cookies akzeptierst, kann Google die Besucherstatistiken in den Vereinigten Staaten verarbeiten; und nur wenn du Werbe-Cookies erlaubst, kann TikTok die Daten der Werbemessung außerhalb des EWR verarbeiten. Cloudflare und Google sind durch die EU-Standardvertragsklauseln und das EU‑US Data Privacy Framework abgedeckt; TikTok nutzt die EU-Standardvertragsklauseln.

17Wie lange wir Daten aufbewahren

Kurz gefasst, nach Kategorie:

• Kontodaten (Name, E-Mail-Adresse, Passwort-Hash, Tarif, Zeitstempel): solange das Konto besteht. Endgültig gelöscht, sobald du es löschst.
• Sitzungen (User-Agent, IP-Adresse, Zeitpunkte): Eine Sitzung endet nach 14 Tagen Inaktivität oder spätestens nach 90 Tagen, oder wenn du dich abmeldest. Ihr Eintrag wird 7 Tage nach dem Ende gelöscht.
• E-Mail-Codes (gehasht): 10 Minuten gültig, am nächsten Tag gelöscht. Die Angaben einer Registrierung, die nie bestätigt wurde, werden mit ihnen gelöscht.
• Sicherheitszähler (gehasht): bis zu eine Stunde.
• Dynamische QR-Codes (Name, Ziele, Regeln, Gruppen): solange sie in deinem Konto bestehen. Nach der Löschung bleibt nur der reservierte Kurzlink, ohne personenbezogene oder sonstige Daten.
• Einzelne Scans (Zeitpunkt, Land, Gerät, anonyme Kennung): 90 Tage, danach automatisch gelöscht. Die Gesamtzahl der Scans jedes Codes, eine einzelne Zahl, bleibt erhalten, solange der Code besteht.
• Tägliche „Salts“ für die Besucherkennungen: nach Tagesende gelöscht.
• Server-Logs: ein kurzer, rollierender Zeitraum, den der Hosting-Anbieter festlegt.
• Backups: bis zu 30 Tage.
• Korrespondenz mit dir: solange nötig, um deine Anfrage zu beantworten und zu bearbeiten, und danach bis zu 3 Jahre, damit wir nachweisen können, was wir auf eine Anfrage oder eine Missbrauchsmeldung geantwortet haben.
• Gespeicherte statische QR-Codes (Name, Inhalt, Design, Logo, Vorschau): bis du sie oder dein Konto löschst; dann werden sie endgültig gelöscht.
• Missbrauchsmeldungen über das Meldeformular (Link, Grund, Beschreibung, Name falls angegeben, E-Mail): bis zu 3 Jahre, damit wir belegen können, wie wir jede Meldung bearbeitet haben. Eine Eingangsbestätigung und unsere Antwort schicken wir an die angegebene E-Mail.
• Gewinnerangaben aus einem Gewinnspielformular (Vorname, Nachname, Telefon, E‑Mail, je nachdem, was der Veranstalter abgefragt hat, der Zeitpunkt und ob der Gewinn per E‑Mail gesendet wurde): solange das Gewinnspiel im Konto des Veranstalters existiert. Gelöscht zusammen mit dem Code, dem Gewinnspiel oder dem Konto.
• Google-Analytics-Statistiken (nur mit deiner Einwilligung): bis zu 14 Monate in Google Analytics, danach automatisch gelöscht. Die Cookies selbst laufen nach 13 Monaten ab oder sobald du deine Einwilligung widerrufst.
• TikTok Pixel (nur mit deiner Einwilligung): Die Cookies auf thugqr.com bestehen bis zu 13 Monate oder bis du deine Einwilligung widerrufst. TikTok bewahrt die erhaltenen Daten gemäß seiner eigenen Datenschutzrichtlinie auf.

Wenn das Gesetz uns verpflichtet, etwas länger aufzubewahren (zum Beispiel, um einer gerichtlichen Anordnung nachzukommen), bewahren wir es nur so lange auf, wie diese Pflicht besteht.

18Deine Rechte

Als betroffene Person hast du nach Art. 15 bis 22 DSGVO die folgenden Rechte. Die meisten davon kannst du selbst, sofort, auf deiner Kontoseite ausüben:

• Auskunft und Datenübertragbarkeit: Der Button „Daten exportieren“ in deinem Konto lädt in maschinenlesbarem JSON alles herunter, was wir über dich haben: Kontodaten, Sitzungen, ausstehende Codes und alle deine dynamischen QR-Codes mit ihren Zielen und aggregierten Statistiken.
• Berichtigung: Vorname, Nachname, E-Mail-Adresse und Passwort änderst du selbst, jederzeit.
• Löschung: Der Button „Konto löschen“ (mit deinem Passwort und einem Bestätigungscode an deine E-Mail-Adresse) löscht das Konto, die Sitzungen, die QR-Codes und ihre Statistiken endgültig. Es gibt keine Wartezeit und keine „Deaktivierung“. Nur die reservierten Kurzlinks bleiben, ohne Daten, sowie Backups für bis zu 30 Tage.
• Einschränkung der Verarbeitung und Widerspruch (Art. 21 DSGVO): Du kannst jeder Verarbeitung widersprechen, die auf unserem berechtigten Interesse beruht, aus Gründen, die sich aus deiner besonderen Situation ergeben. Das schließt das Zählen von Scans ein; da wir nichts behalten, was dich identifiziert, können wir „deine“ Scans nachträglich nicht finden und löschen, aber wir können die Methode erklären und deinen Antrag prüfen.
• Widerruf der Einwilligung: Wo eine Verarbeitung auf einer Einwilligung beruht (derzeit Google Analytics und das TikTok Pixel), kannst du sie jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite widerrufen, ohne dass die Rechtmäßigkeit der Verarbeitung vor dem Widerruf berührt wird.
• Keine automatisierten Entscheidungen: Wir treffen dir gegenüber keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung auf automatisiertem Weg, und wir erstellen keine Profile.

Für alles, was du nicht selbst erledigen kannst, oder wenn du kein Konto hast, schreib uns an hello@thugqr.com. Wir antworten spätestens innerhalb eines Monats, kostenlos. Um deine Daten vor Dritten zu schützen, bitten wir dich unter Umständen, zu bestätigen, dass du Zugriff auf die E-Mail-Adresse des Kontos hast.

Wenn du glaubst, dass wir gegen das Gesetz verstoßen, hast du das Recht, dich bei der Aufsichtsbehörde deines Wohnsitzlandes, deines Arbeitsorts oder des Orts des mutmaßlichen Verstoßes zu beschweren. Die für uns zuständige Behörde ist die griechische Hellenic Data Protection Authority (Hellenische Datenschutzbehörde, Kifissias 1‑3, 115 23 Athen, dpa.gr). Wir würden die Sache gern zuerst mit dir klären.

19Kinder

Der Generator ist ein allgemeines Werkzeug und richtet sich nicht an Kinder. Ein Konto kannst du nur erstellen, wenn du mindestens 16 Jahre alt bist; das griechische Recht erlaubt Minderjährigen die Einwilligung in Dienste der Informationsgesellschaft ab 15, aber wir haben uns für 16 entschieden, damit in der ganzen EU dieselbe Grenze gilt. Wir erheben nicht wissentlich Daten von Kindern. Wenn du glaubst, dass ein Kind ein Konto erstellt hat, schreib uns, und wir löschen es.

20Änderungen dieser Erklärung

Wenn wir Funktionen hinzufügen, die die Datenverarbeitung ändern, aktualisieren wir zuerst diese Seite und das Datum oben. Bei wesentlichen Änderungen, die Kontoinhaber betreffen, senden wir zusätzlich mindestens 14 Tage vor dem Inkrafttreten eine Informations-E-Mail. Frühere Fassungen erhältst du auf Anfrage unter hello@thugqr.com.