Datenschutzerklärung

Für Konto-, Vertrags-, Zahlungs-, Support- und Betriebsdaten ist der QRDossier-Betreiber verantwortlich. Die definitive Rechtseinheit wird vor öffentlichen Verkäufen ergänzt.

Für Schrankdokumentation bestimmt die jeweilige Kundenorganisation Zweck, Inhalte, Sichtbarkeit und Berechtigte. QRDossier bearbeitet diese Inhalte als Dienstleister beziehungsweise Auftragsbearbeiter nach dokumentierten Weisungen.

Die Einzelheiten stehen in der Vereinbarung zur Auftragsbearbeitung. Öffentlich oder Link-only geschaltete Inhalte sind eine bewusste, vom Kunden kontrollierte Offenlegung.

Bearbeitet werden Identitäts- und Kontaktdaten, Organisationsmitgliedschaften, Lieferadressen, Bestell-, Rechnungs- und Zahlungsstatus, Supportvorgänge, Sicherheits- und Auditereignisse sowie Schaltschrank-, Standort- und Projektdaten.

Dokumentkörper, Dateinamen, Versionen und Vorschaudaten können technische oder personenbezogene Angaben enthalten. Karten- und Bankdaten werden primär von Stripe verarbeitet; QRDossier speichert nur die notwendigen Referenzen und Statuswerte.

Die Bearbeitung dient Vertragserfüllung, Identitäts- und Berechtigungsverwaltung, Versand, Abrechnung, sicherem Betrieb, Missbrauchsabwehr, Support, Auditierbarkeit, Löschung, Archivkontinuität und gesetzlichen Nachweispflichten.

Je nach anwendbarem Recht stützt sie sich auf Vertrag, gesetzliche Pflicht, berechtigte Interessen am sicheren B2B-Betrieb oder eine Einwilligung. QRDossier verkauft keine personenbezogenen Daten und nutzt Dokumente nicht für Werbung oder Modelltraining.

Öffentliche und Link-only-Seiten sind nicht für Suchmaschinenindexierung vorgesehen. Link-only schützt durch die nicht erratbare Adresse, ersetzt aber keine Authentifizierung. Private Seiten setzen eine aktuelle Berechtigungsprüfung voraus.

Für anonyme Produktanalysen werden nur Scananzahl und Zeitpunkt erfasst, nicht IP-Adresse, genauer Standort, Gerätefingerabdruck oder User-Agent. Technische Anbieter können kurzlebige Sicherheitslogs führen.

• Amazon Web Services: Dokumentkörper, Objektversionen, Backups und Exit-Archive in Zürich (eu-central-2); CloudFront kann Auslieferungsmetadaten international verarbeiten.
• Vercel: Anwendungshosting, Funktionen, Deployments, Workflow und Betriebslogs in geeigneten europäischen und gegebenenfalls US-Infrastrukturen.
• PlanetScale: Vitess-Datenbank für operative Metadaten in der nächstmöglichen geeigneten europäischen Region, inklusive Anbieterbackups.
• Stripe: Checkout, Karten, TWINT, Abonnemente, Rechnungen, Rückerstattungen und Betrugsprävention mit internationaler Bearbeitung.
• Resend: Transaktions-E-Mail mit europäischer Versandregion, soweit verfügbar; Kontometadaten, Logs und API-Daten werden in den USA verarbeitet.

QRDossier wirbt deshalb nicht mit vollständig schweizerischer Datenhaltung. Internationale Bearbeitung wird vertraglich und technisch begrenzt und vor Produktion in der Subprozessor- und Transferprüfung dokumentiert.

Autorisierte Supportpersonen können nach konkreter Begründung zeitlich begrenzt auf Kundenkontext und, wenn notwendig, Dokumentinhalte zugreifen. Start, Ende und Handlungen werden mit Operator, Organisation, Grund und Zeitpunkt auditiert.

Transportverschlüsselung, ruhende S3-Verschlüsselung, getrennte Rollen, MFA-Option, sichere Cookies, kurzlebige signierte URLs, versionierte Löschabläufe und minimale Protokollierung schützen die Daten. Malwareprüfung findet zum Start ausdrücklich nicht statt.

Schrankinhalte, Versionen und Auditverlauf werden grundsätzlich für die bezahlte 20-jährige Laufzeit aufbewahrt, sofern der Eigentümer nicht früher dauerhaft löscht. Nach Nichtverlängerung folgt eine 90-tägige Karenz und danach die Inhaltslöschung.

Dauerhafte Löschungen werden über Primärspeicher, Objektversionen, Backups, Archiv- und Cache-Kopien innerhalb von sieben Tagen abgeschlossen. Nur gesetzlich erforderliche Geschäfts-, Zahlungs- und nicht wiederherstellbare Löschungsnachweise bleiben länger erhalten.

Anwendungs-Sicherheitslogs werden im Regelfall höchstens 30 Tage aufbewahrt, soweit ein Vorfall, Missbrauch, Vertrag oder Gesetz keine längere Sicherung verlangt. Provider-Dashboards können eigene vertragliche Kurzfristen haben; diese werden vor Produktion dokumentiert.

Betroffene Personen können im Rahmen des anwendbaren Schweizer Datenschutzrechts und gegebenenfalls der DSGVO Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe oder Widerspruch verlangen. Bei Schrankinhalten ist zuerst die verantwortliche Kundenorganisation zuständig.

Anfragen an QRDossier werden über die oben genannte Kontaktadresse entgegengenommen. Identität und Berechtigung werden vor einer Offenlegung oder Änderung geprüft. Beschwerden können an die zuständige Datenschutzaufsicht gerichtet werden.