Datenschutzerklärung

Version 1.0 · Gültig ab 13. Mai 2026

Diese Erklärung beschreibt, wie QR Studio (im Folgenden der Dienst) personenbezogene Daten gemäß der Verordnung (EU) 2016/679 (DSGVO) und verwandten Rechtsvorschriften verarbeitet. Wir empfehlen, sie vollständig zu lesen, bevor Sie ein Konto erstellen.

1. Verantwortlicher

Verantwortlicher ist der Betreiber des Dienstes QR Studio, erreichbar unter qrstudio.cz. Kontaktadresse: [email protected].

Zur Wahrnehmung Ihrer Rechte genügt eine E-Mail an die oben genannte Adresse. Wir antworten unverzüglich, spätestens innerhalb von 30 Tagen.

2. Welche Daten wir verarbeiten

2.1. Kontodaten

E-Mail-Adresse (für Anmeldung und Kommunikation zum Konto).
Passwort (nur als sicherer Hash gespeichert, niemals im Klartext).
Datum der Kontoerstellung, Datum der letzten Anmeldung.
Aufzeichnung der Zustimmung (Zeitpunkt, Version der Bedingungen, beim Erteilen verwendeter Browser).

2.2. Inhalte, die Sie hochladen

Inhalt der QR-Codes, die Sie speichern (URLs, Text, Visitenkarten, WLAN-Anmeldedaten, Zahlungsangaben SPD/EPC usw.). Sie geben diese Daten bewusst ein und bestimmen selbst deren Inhalt.
Design des gespeicherten QR-Codes (Farben, Vorlage, Logo).
Namen und Struktur der Ordner.

Warnung: Wenn Sie personenbezogene Daten in einen QR-Code einfügen (z. B. WLAN-Passwort, Telefonnummer Dritter), sind Sie aus DSGVO-Sicht selbst Verantwortlicher für diese Daten.

2.3. Scan-Statistik (nur dynamische QR-Codes)

Wenn Sie dynamische QR-Codes (mit Kurz-URL qrstudio.cz/r/...) verwenden, erfassen wir bei jedem Scan folgende Daten:

Zeitpunkt des Scans und gescannter Code.
Gerätetyp (Mobil / Tablet / Desktop) und Browsertyp - aus dem User-Agent-Header.
Land und ungefährer Standort (Stadt), abgeleitet aus der IP-Adresse. Die IP-Adresse selbst wird nicht gespeichert, nur das abgeleitete Land und die Stadt.

Diese Daten dienen ausschließlich zur Anzeige der Statistik für den Besitzer des QR-Codes. Wir verknüpfen sie niemals mit der Identität des Scannenden und geben sie nicht an Dritte weiter.

2.4. Betriebs-Cookies und Analyse

Funktionsspeicher des Browsers (localStorage): Sprache, Design (hell/dunkel), Zustimmungsstatus. Ohne diesen Speicher funktioniert der Dienst technisch, aber Einstellungen gehen verloren.
Supabase-Authentifizierungs-Cookies: nur für angemeldete Nutzer, erforderlich zur Sitzungsverwaltung.
Google Analytics 4 (G-ZBZK60ZG56): anonymisierte IP, Tracking der Website-Besuche. Optional - wird nur mit Ihrer ausdrücklichen Zustimmung im Cookie-Banner oder beim Registrieren aktiviert.

3. Zwecke und Rechtsgrundlagen

Zweck	Daten	Rechtsgrundlage
Kontobetrieb und QR-Code-Speicherung	E-Mail, Passwort (Hash), QR-Code-Inhalt, Ordner	Vertragserfüllung - Art. 6 Abs. 1 lit. b) DSGVO
Scan-Statistik dynamischer QR-Codes	Zeit, Gerätetyp, Land/Stadt (aus IP, IP selbst nicht gespeichert)	Berechtigtes Interesse - Art. 6 Abs. 1 lit. f) DSGVO (Statistik für Code-Besitzer bereitstellen)
Google Analytics	Anonymisierte IP, Website-Besuchsdaten	Zustimmung - Art. 6 Abs. 1 lit. a) DSGVO
Aufzeichnung der Zustimmung und Bedingungen	Zeit, Version, Browser	Erfüllung rechtlicher Verpflichtung - Art. 6 Abs. 1 lit. c) DSGVO
Sicherheit und Missbrauchsprävention	Zugriffsprotokolle (Server-Logs, vorübergehend)	Berechtigtes Interesse - Art. 6 Abs. 1 lit. f) DSGVO

4. Empfänger und Auftragsverarbeiter

Wir verkaufen keine Daten. Folgende Stellen haben Zugriff auf personenbezogene Daten:

Cloudflare, Inc. (USA) - DNS, verschlüsselte Verbindung (TLS) und Netzwerk-Proxy, über den der gesamte Datenverkehr zur Website läuft; verarbeitet IP-Adressen und Anfragedaten. Datenschutzerklärung.
Supabase (Supabase Inc., USA, EU-Region-Rechenzentrum) - Authentifizierung und Datenbank. Datenschutzerklärung.
Google Ireland Ltd. - Google Analytics (nur mit Ihrer Zustimmung). Datenschutzerklärung.

Alle Auftragsverarbeiter sind durch einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO gebunden. Server befinden sich in der EU.

5. Übermittlung außerhalb der EU

Supabase Inc. hat seinen Sitz in den USA, die Infrastruktur des Dienstes läuft jedoch in einem europäischen Rechenzentrum. Allfällige transatlantische Zugriffe basieren auf Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO. Google Analytics nutzt Google Ireland Ltd., Übermittlungen in die USA sind durch SCC und das EU-US Data Privacy Framework abgesichert. Cloudflare, Inc. hat seinen Sitz in den USA; Übermittlungen sind ebenfalls durch SCC und das EU-US Data Privacy Framework abgesichert.

6. Speicherdauer

Kontodaten und QR-Codes: für die gesamte Dauer des Kontos. Nach Kontolöschung werden die Daten innerhalb von 30 Tagen unwiderruflich entfernt.
Scan-Statistik: aggregierte Daten werden für die Dauer des Kontos des Code-Besitzers aufbewahrt.
Aufzeichnung der Zustimmung: 3 Jahre nach Widerruf (gesetzliche Nachweispflicht).
Server-Logs: maximal 30 Tage, ausschließlich für Sicherheitszwecke.
Google Analytics: 14 Monate (Standardeinstellung GA4, Eigenschaft data retention).

7. Ihre Rechte

Gemäß DSGVO haben Sie folgende Rechte, die Sie per E-Mail an [email protected] oder in den Kontoeinstellungen ausüben können:

Auskunftsrecht (Art. 15) - Kopie Ihrer Daten erhalten.
Recht auf Berichtigung (Art. 16) - Korrektur unrichtiger Daten.
Recht auf Löschung (Art. 17, Recht auf Vergessenwerden) - Löschung des Kontos und aller Daten.
Recht auf Einschränkung der Verarbeitung (Art. 18).
Recht auf Datenübertragbarkeit (Art. 20) - Export Ihrer Daten in einem strukturierten Format (JSON).
Widerspruchsrecht (Art. 21) gegen Verarbeitung auf Grundlage berechtigter Interessen.
Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3) - jederzeit, ohne Auswirkung auf bisherige Verarbeitung. Für Google Analytics: Button Cookies in der Fußzeile oder in den Kontoeinstellungen.
Beschwerderecht bei einer Aufsichtsbehörde - in Deutschland die zuständige Landesdatenschutzbehörde.

8. Sicherheit

Die gesamte Kommunikation erfolgt verschlüsselt über HTTPS (TLS 1.2+).
Passwörter werden nur als sichere Hashes (bcrypt) gespeichert.
Die Datenbank verwendet Row-Level Security (RLS) - jeder Benutzer hat nur Zugriff auf seine eigenen Daten.
Der Server sendet CSP-, X-Frame-Options- und andere Header zum Schutz vor XSS und Clickjacking.

9. Kinder

Der Dienst ist nicht für Personen unter 16 Jahren bestimmt. Wir verarbeiten wissentlich keine personenbezogenen Daten von Kindern. Sollten Sie der Meinung sein, dass ein Kind ohne Zustimmung des Erziehungsberechtigten Daten übermittelt hat, kontaktieren Sie uns - die Daten werden entfernt.

10. Änderungen dieser Richtlinie

Wir können diese Richtlinie aktualisieren. Über wesentliche Änderungen informieren wir Sie per E-Mail oder durch eine Mitteilung im Dienst und holen Ihre Zustimmung zur aktualisierten Version ein. Das Versionsdatum finden Sie im Kopf dieses Dokuments.

11. Kontakt

Bei Fragen oder Anliegen zum Datenschutz wenden Sie sich an: [email protected]