Datenschutzerklärung
Diese Erklärung beschreibt, wie der Produktpass-Dienst Veridyn (nachfolgend: Dienst) personenbezogene Daten verarbeitet, im Einklang mit der Verordnung (EU) 2016/679 (DSGVO) und dem ungarischen Gesetz CXII von 2011 (Infotv.).
1. Der Verantwortliche
Name: wird finalisiert
Sitz: wird finalisiert
Handelsregister- / Registernummer: wird finalisiert
Steuernummer: wird finalisiert
Vertreter: wird finalisiert
E-Mail: [email protected]
Telefon: wird finalisiert
Die Benennung eines Datenschutzbeauftragten ist nicht verpflichtend; bei Datenschutzfragen erreichen Sie uns unter der oben genannten E-Mail-Adresse.
2. Geltungsbereich der Erklärung, Rollen
Diese Erklärung gilt für Besucher der Website veridyn.eu, für registrierte Nutzer und für Personen, die mit uns Kontakt aufnehmen.
Rollen: Für Konto- und Rechnungsdaten ist der Anbieter der Verantwortliche. Für die Daten, die die Nutzer in die Produktpässe hochladen – soweit sie personenbezogene Daten enthalten – ist der Nutzer der Verantwortliche, und der Dienst handelt als Auftragsverarbeiter, nach dem gesonderten Auftragsverarbeitungsvertrag (DPA) (siehe auch die AGB).
Soweit der Anbieter als Auftragsverarbeiter handelt — also Daten auf Weisung des Nutzers verarbeitet (Produktdaten, hochgeladene Dokumente, Lieferantenkontakte, Teammitglieder, ausgehende Benachrichtigungen, Zugangslinks) —, sind die Pflichten in der gesonderten Auftragsverarbeitungsvereinbarung näher beschrieben: Gegenstand der Verarbeitung, Unterauftragnehmer, Sicherheitsmaßnahmen, Umgang mit Verletzungen und Prüfrechte.
3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen
| Datenkategorie | Zweck | Rechtsgrundlage | Aufbewahrung |
|---|---|---|---|
| Kontodaten: Name / Firmenname, E-Mail, Passwort (als „hash" gespeichert) | Konto, Anmeldung, Erbringung des Dienstes | Vertrag – Art. 6 Abs. 1 lit. b) | Für die Dauer des Kontos + 30 Tage |
| Produktpass-Daten (vom Nutzer eingegeben) | Erstellung öffentlicher, mehrsprachiger Pässe und QR-Codes | Vertrag – Art. 6 Abs. 1 lit. b) | Bis zur Löschung des Produkts / Kontos (bzw. gesetzliche Aufbewahrung) |
| Kontaktformular: Name, E-Mail, Firma, Nachricht | Beantwortung der Anfrage | Berechtigtes Interesse – Art. 6 Abs. 1 lit. f) | 24 Monate (automatische Löschung) |
| Token zum Zurücksetzen des Passworts | Sicheres Zurücksetzen des Passworts | Vertrag / berechtigtes Interesse | 1 Stunde (einmalig verwendbar) |
| Scan-Protokoll (Zeitstempel, IP-Hash) | Analyse, Betrieb, Missbrauchsprävention | Berechtigtes Interesse – Art. 6 Abs. 1 lit. f) | 24 Monate (automatische Löschung) |
| Eingeladene Teammitglieder: Name, E-Mail, Rolle und Berechtigungsliste | Verwaltung mehrerer Benutzer innerhalb eines Kontos; wer was sehen und ändern darf | Vertragserfüllung – Art. 6 Abs. 1 b). Die Daten gibt der Kontoinhaber an; er ist gegenüber dem Teammitglied der Verantwortliche. | Bis zum Widerruf des Zugangs, danach gemeinsam mit dem Konto (Schließung + 30 Tage) |
| Lieferanten-Datenanfrage: Name und E-Mail-Adresse des Lieferanten, die angeforderten Felder, eine Nachricht und ein Einmal-Zugangstoken | Im Auftrag des Nutzers fordern wir Daten von dessen Lieferanten über ein Token-Formular an, damit fehlende Produktdaten in den Pass gelangen. Die Anfrage senden wir auf Weisung des Nutzers. | Berechtigtes Interesse oder Vertrag des Nutzers (Verantwortlicher) — wir handeln als Auftragsverarbeiter. Der Nutzer sichert zu, dass er berechtigt ist, uns die Kontaktdaten des Lieferanten zu übermitteln. | Bis zum Abschluss der Anfrage (Übernahme oder Widerruf), danach gemeinsam mit dem Konto. Das Token gilt bis zu seinem Ablauf. |
| Ausgehende Benachrichtigungen (Webhooks): der konfigurierte HTTPS-Endpunkt, der Ereignisinhalt und das Auslieferungsprotokoll (Versuche, HTTP-Status, Fehlermeldung) | Auf Wunsch des Nutzers benachrichtigen wir dessen eigenes System, wenn sich ein Pass ändert. Dies ist eine von uns veranlasste Übermittlung an eine vom Nutzer angegebene Adresse. | Weisung des Nutzers — wir handeln als Auftragsverarbeiter. Für die Sicherheit des Endpunkts und den weiteren Umgang mit den übermittelten Daten ist der Nutzer verantwortlich. | Abgeschlossene Auslieferungszeilen (zugestellt oder endgültig fehlgeschlagen): 90 Tage. Höchstens 6 Wiederholungsversuche mit steigendem Abstand. |
| Protokoll des Dienstleister-Zugriffs: welche Mitarbeiterin bzw. welcher Mitarbeiter, welches Konto, wann hinein und wann hinaus, IP-Fingerabdruck | Für Support und Fehlersuche können unsere Mitarbeitenden ein Konto betreten. Wir protokollieren dies in einem unveränderlichen Protokoll, und der Nutzer sieht es selbst in den Einstellungen. Jede dabei gespeicherte Version ist in der Änderungshistorie gekennzeichnet. | Berechtigtes Interesse – Art. 6 Abs. 1 f): Erbringung des Dienstes und Nachweisbarkeit. Die Interessenabwägung ergab, dass der Zugriff auch für den Kunden sichtbar sein muss. | Wird nicht automatisch gelöscht — dieses Protokoll ist der Nachweis der Verantwortlichkeit. Auf Anfrage und nach Einzelfallprüfung kann es ausgedünnt werden. |
| DPP-Reifetest: E-Mail-Adresse und die eingegebenen Antworten (auch von nicht registrierten Interessenten) | Zusenden des Testergebnisses und — sofern Sie zugestimmt haben — Kontaktaufnahme zur Vorbereitung | Einwilligung – Art. 6 Abs. 1 a). Die Einwilligung kann jederzeit ohne Nachteil widerrufen werden. | Bis zum Widerruf der Einwilligung, höchstens jedoch 24 Monate ab dem letzten Kontakt |
| Anmeldeversuche: E-Mail, IP-Adresse, Zeitpunkt, Erfolg oder Fehlschlag | Verhinderung von Passwort-Erraten und Missbrauch (Versuchsbegrenzung) | Berechtigtes Interesse – Art. 6 Abs. 1 f): Schutz der Konten | 7 Tage (automatische Löschung). Das Begrenzungsfenster ist stündlich, eine längere Speicherung hätte keinen Zweck. |
| Entwickler-API: der nicht umkehrbare Fingerabdruck des Schlüssels (der offene Schlüssel wird nur einmal bei der Erstellung angezeigt), Aufrufzähler und für den Wiederholungsschutz gespeicherte Antworten | Authentifizierung maschineller Integrationen, Durchsetzung des Anfragelimits und Sicherstellung, dass eine wiederholte Anfrage nicht zweimal dasselbe erzeugt | Vertragserfüllung – Art. 6 Abs. 1 b) | Der Schlüssel bis zum Widerruf; der Cache des Wiederholungsschutzes 48 Stunden |
| Daten des Testkontos (Sandbox) und des gemeinsamen Demo-Kontos | Ausprobieren einer Integration ohne Berührung von Live-Daten. Aus der Sandbox gehen keine ausgehenden Aufrufe (E-Mail, Webhooks) hinaus. Das Demo-Konto ist nur lesbar: dort Eingegebenes wird nicht gespeichert. | Vertragserfüllung – Art. 6 Abs. 1 b) | Der Sandbox-Inhalt kann jederzeit geleert werden, das Datum der Leerung ist sichtbar; mit dem Ende des Kontos wird er gelöscht |
| Hochgeladene Dokumente (PDF, Bild) und deren Sichtbarkeitsstufe | Anhängen von Zertifikaten, Konformitätserklärungen und Prüfberichten an einen Pass. Die Dateien liegen außerhalb des über das Web erreichbaren Bereichs; ausgeliefert werden sie erst nach einer Zugriffsprüfung. | Weisung des Nutzers — wir handeln als Auftragsverarbeiter. Für den Inhalt des Dokuments (Geschäftsgeheimnisse, Daten Dritter) ist der Nutzer verantwortlich. | Bis der Nutzer es löscht bzw. gemeinsam mit dem Konto (Schließung + 30 Tage) |
| Zugangslinks: Token, Sichtbarkeitsstufe, Bezeichnung, Ablauf, Nutzungszähler und Zeitpunkt der letzten Nutzung | Der Nutzer kann einer Behörde oder einer Partei mit berechtigtem Interesse eine engere Datenstufe ohne Anmeldung zugänglich machen. Die Nutzungsverfolgung dient dazu, einen abgeflossenen Link erkennbar zu machen. | Weisung des Nutzers — wir handeln als Auftragsverarbeiter | Der Link gilt bis zum Ablauf oder Widerruf; die Protokollzeile bleibt danach zur Nachvollziehbarkeit erhalten. Ohne Ablaufangabe verfällt der Link nicht — darauf weist das System bei der Erstellung hin. |
Die kursiv gekennzeichneten Aufbewahrungsfristen finalisiert der Verantwortliche entsprechend seiner tatsächlichen Praxis.
4. DPP-spezifische Datenverarbeitung
- Öffentlicher Produktpass: die Produktpässe sind ÖFFENTLICH zugänglich (über den QR-Code oder einen Link kann sie jeder ansehen). Trägt der Nutzer (Verantwortlicher) personenbezogene Daten in den Pass ein (z. B. Name oder E-Mail-Adresse des Ansprechpartners des Wirtschaftsakteurs), erscheinen diese auf dem öffentlichen Pass; für Rechtsgrundlage und Erforderlichkeit sorgt der Nutzer.
- Scan-Analytik: Passaufrufe protokollieren wir in aggregierter Form; die IP-Adresse speichern wir nicht in identifizierbarer Form, sondern als nicht umkehrbaren Hash (der Besucher ist nicht identifizierbar), und Bot-Traffic filtern wir heraus. Rechtsgrundlage: berechtigtes Interesse.
- Gestufter Zugriff: der Nutzer kann einer Behörde oder einer Partei mit berechtigtem Interesse einen ablaufenden Link zur Einsicht in die nicht öffentlichen Felder geben.
- EU-DPP-Register: im Auftrag des Nutzers können wir die Kennungen des Produktpasses an das zentrale EU-Register übermitteln, sobald dieses verfügbar wird.
5. Auftragsverarbeiter
Für den Betrieb des Dienstes setzen wir die folgenden Auftragsverarbeiter ein:
- Hosting-Anbieter / Server: Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland – EU) – Hosting der Website und der Datenbank innerhalb der Europäischen Union; es findet keine Datenübermittlung in ein Drittland statt.
- CDN, Proxy, DNS und Sicherheit: Cloudflare, Inc. (USA) – Caching des Website-Traffics, DDoS-Schutz, DNS und Sicherheitsfilterung; verarbeitet IP-Adressen und technische Verkehrsmetadaten. Garantie für die Übermittlung: EU-Standardvertragsklauseln (SCC) und der EU–USA-Datenschutzrahmen (DPF).
- E-Mail-Versand: smtp2go (Help Monkey Limited; EU-Zustellserver: mail-eu.smtp2go.com) – Transaktions-E-Mails (Begrüßung, Passwort-Zurücksetzung, Benachrichtigungen).
- Zahlungsdienstleister: Stripe (Stripe Payments Europe, Ltd., Irland; Muttergesellschaft: Stripe, Inc., USA) – Abwicklung der Abonnementgebühren und Abonnements. Garantie für die Übermittlung: SCC und DPF.
6. Datenübermittlung, Drittland
Personenbezogene Daten geben wir an Dritte nur über die oben genannten Auftragsverarbeiter und zu dem angegebenen Zweck weiter. Verarbeitet ein Auftragsverarbeiter Daten auch außerhalb des EWR, erfolgt die Übermittlung unter geeigneten Garantien (z. B. den Standardvertragsklauseln der Europäischen Kommission, SCC – und/oder dem EU–USA-Datenschutzrahmen, DPF). Zu Marketingzwecken geben wir keine Daten weiter und verkaufen keine Daten.
7. Rechte der betroffenen Person
Die betroffene Person hat das Recht auf Auskunft (Art. 15), Berichtigung (16), Löschung („Recht auf Vergessenwerden“, 17), Einschränkung der Verarbeitung (18), Datenübertragbarkeit (20) sowie das Recht auf Widerspruch (21) gegen eine auf berechtigtem Interesse beruhende Verarbeitung. Beruht die Verarbeitung auf einer Einwilligung, kann diese jederzeit widerrufen werden (die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt).
Ihre Rechte können Sie unter [email protected] geltend machen; Ihren Antrag erfüllen wir ohne unangemessene Verzögerung, spätestens innerhalb von 1 Monat.
8. Sütik
Die Website verwendet die für ihren Betrieb erforderlichen Cookies. Einzelheiten in der Cookie-Richtlinie.
9. Datensicherheit
Passwörter speichern wir ausschließlich in sicherer, nicht umkehrbarer „Hash“-Form; API-Schlüssel ebenfalls gehasht; die Kommunikation ist über HTTPS verschlüsselt; die Oberfläche ist durch CSRF- und Sitzungsschutz gesichert. Auf die Daten greifen wir nur in dem Umfang zu, der zur Erfüllung der Aufgabe erforderlich ist.
10. Kinder
Der Dienst richtet sich an Unternehmen, nicht an Kinder. Wir erheben bewusst keine Daten von Personen unter 16 Jahren.
11. Rechtsbehelfe
Mit einer Beschwerde zur Datenverarbeitung können Sie sich an die Aufsichtsbehörde wenden:
Nationale Behörde für Datenschutz und Informationsfreiheit (NAIH)
1055 Budapest, Falk Miksa utca 9–11. · naih.hu · [email protected]
Bei einer Verletzung Ihrer Rechte können Sie sich auch an ein Gericht wenden.
12. Änderung der Datenschutzerklärung
Wir können die Datenschutzerklärung bei Bedarf ändern; die jeweils gültige Fassung ist auf dieser Seite abrufbar, mit dem Datum der Aktualisierung.