Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten Qwirl verarbeitet, warum, wie lange wir sie speichern und welche Rechte du hast. Sie gilt für die Website, die App und die Scan-Seiten unter qwirl.io.

1. Wer wir sind

• Verantwortlicher: PDB CREATIVE DATA SYSTEMS S.R.L., Sitz in Oradea, Kreis Bihor, Rumänien, Steuernummer (CUI) 49804830 („wir“).
• Für alle Fragen zu personenbezogenen Daten: app@qwirl.io.

2. Welche Daten wir verarbeiten

Wenn du ein Konto hast

• Kontodaten: deine E-Mail-Adresse, dein Name, dein Passwort (nur als unumkehrbarer Hash gespeichert; wir können es nicht lesen), die gewählte Sprache, das Land (optional; anfangs aus den Spracheinstellungen deines Browsers geschätzt, du kannst es ändern oder löschen), dein Tarif und das gewählte Farbschema.
• Anmeldung mit Google (wenn du sie nutzt): die ID deines Google-Kontos, deine E-Mail-Adresse, dein Name und ob die E-Mail bestätigt ist (die Berechtigungen openid, email, profile). Dein Google-Passwort erhalten wir nie.
• Verbundene Twitch-Konten: deine Twitch-Nutzer-ID, der Kontoname, der Anzeigename und das Profilbild. Wir fragen keine weiteren Berechtigungen an und speichern keine Twitch-Passwörter oder -Tokens.
• Verbundene YouTube-Kanäle: öffentliche Kanaldaten (ID, Titel, Handle, Bild) und öffentliche Videodaten (IDs, Titel, Vorschaubilder, ob ein Stream live ist), gelesen über die YouTube API Services.
• Inhalte, die du hinzufügst: Namen der QR-Codes, Texte, Links, Bilder, Videos, Preise (ihre Namen, die von dir eingegebenen Preiscodes, ihre Chancen- und Design-Einstellungen), der Kein-Gewinn-Bildschirm, Aussehen-Einstellungen und Passwörter von QR-Codes (nur als Hash gespeichert).
• Hochgeladene Bilder: die Datei, ihr Name, ihre Größe, ihre Abmessungen und das Datum des Hochladens.
• Aktivitätsprotokoll: was sich in deinem Konto und deinen Inhalten geändert hat, wann und aus welchem Teil des Dienstes.
• Moderationsdaten: die Ergebnisse automatischer Prüfungen, Meldungen zu deinen Codes, Entscheidungen der Admins, Verwarnungen und Einsprüche.
• Gesendete E-Mails: welche Service-E-Mail wir dir wann geschickt haben (zum Beispiel Anmeldelinks, Bestätigungen, Moderationsentscheidungen).
• Firmendaten (optional, nur wenn du sie unter Konto eingibst): Firmenname, Steuernummer, Registernummer, Anschrift, Ort, Postleitzahl und Land. Nur du und die Admins sehen sie.
• Aus der App gesendetes Feedback: deine Nachricht und, wenn „Seitendetails mitsenden“ angehakt bleibt, die Adresse und der Titel der Seite, die Größe von Fenster und Bildschirm, das Farbschema, die Browsersprachen, die Zeitzone, die Verbindungsart, Fehler auf der Seite, Name und Version des Browsers sowie dein Tarif und die Sprache der App. Vor dem Senden siehst du genau, was gesendet wird. Wir nutzen es nur, um Probleme zu beheben und Qwirl zu verbessern.
• Deine Bewertung (optional, Konto > Deine Bewertung): deine zwei Bewertungen (Bedienung, Design), deine Worte, falls du welche schreibst, dein Name als Vorname und Anfangsbuchstabe des Nachnamens und ob du uns erlaubst, sie zu zeigen. Wir zeigen eine Bewertung auf der Website nur, wenn du es erlaubt hast und wir sie ausgewählt haben; änderst du sie oder entfernst du die Erlaubnis, nehmen wir sie herunter. Sie wird mit deinem Konto gelöscht.

Wenn du einen QR-Code scannst (ohne Konto)

• Wir speichern deine IP-Adresse nicht. Um eindeutige Besucher zu zählen, speichern wir einen unumkehrbaren Code, berechnet aus der IP-Adresse, dem Browser und dem Datum des Tages. Der Code ändert sich jeden Tag, sodass du nicht von einem Tag zum nächsten verfolgt werden kannst und wir daraus nicht ablesen können, wer du bist.
• Was der Scan gezeigt hat: das Element, das Video, den Livestream, den Preis oder den Kein-Gewinn-Bildschirm, dazu die Uhrzeit des Scans, die Seltenheitsstufe und ob der Scan ein Preisversuch war (damit der nächste Versuch 2 Stunden wartet). Bei einem Preisversuch speichern wir außerdem einen unumkehrbaren 12-Stunden-Besuchercode (gebildet aus IP-Adresse und Browser mit einem Geheimnis, das sich alle 12 Stunden ändert; die IP-Adresse wird nicht gespeichert), damit ein Preis „jeder N-te Scan“ jedes Gerät höchstens einmal alle 12 Stunden zählt und ein Gewinner 12 Stunden wartet, bevor er es auf den Codes desselben Inhabers erneut versucht.
• Wenn du einen Preis gewonnen hast: welcher Preis, der erhaltene Code, die Uhrzeit des Gewinns und der unumkehrbare Besuchercode dieses Tages, damit ein Neuladen der Seite dir denselben Preis zeigt statt eines neuen Versuchs. Für Preise fragen wir nicht nach Name, E-Mail oder Telefonnummer.
• Wenn du einen passwortgeschützten QR-Code entsperrst: ein Cookie, das sich die Entsperrung merkt (siehe Cookies). Um das Erraten von Passwörtern zu begrenzen, zählen wir falsche Versuche einige Minuten lang, nur im Arbeitsspeicher des Servers.
• Wenn du einen QR-Code meldest: der Grund, die von dir geschriebenen Details, deine E-Mail, wenn du sie angibst, und ein unumkehrbarer Code deiner IP-Adresse, um missbräuchliche Meldungen zu begrenzen.

Website-Statistik (Umami), ohne Cookies

Auf der Website und in der App (nicht auf den Scan-Seiten von QR-Codes) zählen wir Besuche mit Umami, das auf unserem eigenen Server in Deutschland läuft, sodass niemand sonst diese Daten erhält. Es erfasst die besuchten Seiten, einige Schritte bei der Nutzung von Qwirl (Konto erstellen, QR-Code erstellen, Element hinzufügen, Code herunterladen), woher der Besuch kam (die vorherige Website), die Sprache der Website, Gerätetyp, Browser, Betriebssystem, Bildschirmgröße sowie ungefähres Land und ungefähre Stadt. Es setzt keine Cookies und speichert nichts auf deinem Gerät. Deine IP-Adresse wird nur im Moment des Besuchs verwendet, um den ungefähren Ort zu bestimmen und einen anonymen Besuchercode zu bilden, der sich jeden Monat ändert; die IP-Adresse selbst wird nicht gespeichert. Wir verknüpfen diese Daten nicht mit deinem Konto, lassen den Teil von Adressen nach „?“ weg (der Anmeldelinks enthalten kann) und zählen keine Browser, die Do Not Track senden.

Bei einem kleinen Teil der Besuche zeichnet Umami außerdem auf, wie die Seite genutzt wurde: Mausbewegungen, Klicks und Scrollen, die wir als Wiedergabe und als Heatmaps sehen (wohin geklickt und wie weit gescrollt wird). Der gesamte Text der Seite ist in diesen Aufzeichnungen verborgen und nichts, was du in Formulare eingibst, wird aufgezeichnet; sie zeigen also den Aufbau der Seite, nicht deine Inhalte. Sie entstehen nicht auf den Scan-Seiten von QR-Codes und nicht auf Seiten, die über einen Link aus einer unserer E-Mails geöffnet wurden.

Website-Analyse (Google Analytics), nur mit deiner Einwilligung

Auf der Website und in der App (nicht auf den Scan-Seiten der QR-Codes) nutzen wir Google Analytics 4, nur wenn du im Cookie-Hinweis „Analyse erlauben“ wählst. Es zeigt uns, wie Qwirl genutzt wird: besuchte Seiten, woher die Besucher kommen, Geräte- und Browsertyp, ungefähres Land und ungefähre Stadt. Google Analytics 4 speichert keine vollständigen IP-Adressen. Wir verknüpfen diese Daten nicht mit deinem Konto und nutzen sie nicht für Werbung.

Wenn du „Nur notwendige“ wählst, wird Google Analytics gar nicht geladen. Du kannst deine Einwilligung jederzeit in den Cookie-Einstellungen widerrufen (in der Fußzeile der Website oder unter Konto); die Google-Analytics-Cookies werden dann gelöscht.

Prüfung gegen Roboter

Die öffentlichen Formulare (Anmeldung, Registrierung, Passwort zurücksetzen, Melden, Entsperren) nutzen ALTCHA, eine Prüfung auf unseren eigenen Servern: Dein Browser löst eine kleine Rechenaufgabe. Dabei werden keine Daten an Dritte gesendet und keine Cookies verwendet.

3. Warum wir sie nutzen (Rechtsgrundlage)

• Um dir den Dienst zu erbringen, den du angefragt hast: Konto, QR-Codes, Scan-Seiten, Preise, Integrationen, Statistiken, Export und Import (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO).
• Um den Dienst sicher und rechtmäßig zu halten: Moderation von Inhalten, Meldungen, Verwarnungen, Begrenzung von Missbrauch, das Aktivitätsprotokoll, Schutz vor Robotern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f).
• Um dir Service-E-Mails zu senden: Anmeldelinks, Bestätigungen, Änderung der E-Mail, Moderationsentscheidungen (Vertragserfüllung).
• Um zu verstehen, wie die Website genutzt wird (Umami, ohne Cookies): unser berechtigtes Interesse, Qwirl zu verbessern (Art. 6 Abs. 1 lit. f); du kannst jederzeit widersprechen, zum Beispiel indem du Do Not Track in deinem Browser einschaltest.
• Um zu verstehen, wie die Website genutzt wird (Google Analytics): nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a), die du jederzeit widerrufen kannst.
• Um gesetzliche Pflichten zu erfüllen, zum Beispiel Anfragen von Behörden oder Buchhaltungspflichten (Art. 6 Abs. 1 lit. c).

Wir verkaufen keine personenbezogenen Daten, zeigen keine Werbung und nutzen deine Daten nicht, um Modelle künstlicher Intelligenz zu trainieren.

4. Automatische Prüfung von Inhalten

Texte, Links und Bilder in QR-Codes (auch die Texte von Preisen und des Kein-Gewinn-Bildschirms) werden automatisch anhand der Inhaltsregeln geprüft, mit Wort- und Domainlisten.

Wenn der Admin die KI-Prüfung eingeschaltet hat, können Texte und Bilder an den oder die vom Admin gewählten Moderationsdienste gesendet werden: OpenAI (Moderation), Anthropic (Claude), Google (Gemini) oder Mistral. Sie ordnen die Inhalte nur ein; die Entscheidung trifft Qwirl.

Ein markierter QR-Code wird geprüft: Er bleibt aktiv, aber Scans zeigen „wird geprüft“, bis eine Person entscheidet. Eine Verwarnung wird nie allein aufgrund einer automatischen Entscheidung erteilt.

5. Google, YouTube und Twitch

• Qwirl nutzt die YouTube API Services. Wenn du einen YouTube-Kanal verbindest, stimmst du auch den Nutzungsbedingungen von YouTube zu. Wie Google Daten verarbeitet, steht in der Datenschutzerklärung von Google.
• Wir lesen nur öffentliche YouTube-Daten. Wir aktualisieren sie regelmäßig und löschen sie, wenn du den Kanal trennst oder dein Konto löschst.
• Die Nutzung und Weitergabe von Informationen, die Qwirl von Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).
• Du kannst Qwirl den Zugriff auf dein Google-Konto jederzeit in deinen Google-Sicherheitseinstellungen entziehen.
• Die Verbindung mit Twitch nutzt die Twitch-Anmeldung ohne Berechtigungen: Wir erfahren nur, welches Konto deines ist. Du kannst die Verbindung in Qwirl oder in deinen Twitch-Verbindungen trennen.
• Die YouTube- und Twitch-Player auf den Scan-Seiten werden von diesen Plattformen geladen und folgen deren eigenen Regeln und Cookie-Richtlinien.

6. Wer Daten für uns verarbeitet

Für alle, die Qwirl nutzen

• Hosting und Dateispeicher: Hetzner Online GmbH, Deutschland (Server und Speicher in der EU).
• Website-Analyse, nur mit deiner Einwilligung: Google Ireland Limited (Google Analytics).
• Versand der Service-E-Mails: Amazon Web Services EMEA SARL (Amazon SES), in einer Region in der EU.
• Google und Twitch, nur wenn du dich damit anmeldest oder Konten verbindest.

Werkzeuge der Admins der Plattform

• KI-Moderation, nur die vom Admin eingeschalteten Dienste: OpenAI, L.L.C., Anthropic PBC, Google LLC (Gemini) oder Mistral AI SAS. Sie erhalten die zu prüfenden Texte und Bilder.
• Benachrichtigungen für Admins: Pushover, LLC, erhält den Namen des QR-Codes und den Grund einer Meldung oder Prüfung.

Einige Anbieter sind außerhalb der EU oder gehören zu Gruppen außerhalb der EU. Diese Übermittlungen sind durch die EU-Standardvertragsklauseln oder den EU-US-Datenschutzrahmen (Data Privacy Framework) abgedeckt.

7. Wie lange wir Daten speichern

• Konto und Inhalte: bis du sie löschst oder dein Konto löschst. Das Löschen des Kontos löscht die QR-Codes, Elemente, Preise, Bilder, Statistiken und verbundenen Konten.
• Aktivitätsprotokoll: 180 Tage, danach wird es automatisch gelöscht.
• Scans und Gewinne: solange der QR-Code besteht (du löschst sie mit dem Code oder dem Konto).
• Meldungen und Einsprüche: 2 Jahre ab Erstellung, danach werden sie automatisch gelöscht (offene bleiben, bis sie erledigt sind), damit wiederholter Missbrauch erkannt werden kann.
• Umami-Statistik: 14 Monate, auf unserem eigenen Server, danach wird sie automatisch gelöscht.
• Umami-Wiedergaben: 30 Tage, danach werden sie automatisch gelöscht (Heatmaps werden wie die Statistik aufbewahrt).
• Google-Analytics-Daten: 14 Monate, bei Google (nur wenn du der Analyse zugestimmt hast).
• Sicherungskopien: bis zu 30 Tage nach dem Löschen.

8. Cookies

Unbedingt notwendige Cookies (dafür fragen wir nicht nach Einwilligung, weil der Dienst ohne sie nicht funktioniert):

• payload-token: hält dich angemeldet.
• qwirl-locale: merkt sich die Sprache (1 Jahr).
• qwirl-unlock-…: merkt sich, dass du einen passwortgeschützten QR-Code entsperrt hast (12 Stunden).
• qwirl-prize-…: merkt sich auf einem QR-Code mit Preisen, wann du zuletzt einen Preis versucht hast und ob du gewonnen hast, damit Versuche 2 Stunden auseinanderliegen und du auf diesem Code nur einmal gewinnst (1 Jahr). Es enthält nur eine Uhrzeit und Ja/Nein.
• qwirl-google-…, qwirl-twitch-state: schützen die Anmeldung mit Google oder Twitch (nach der Anmeldung gelöscht).
• qwirl-sidebar: merkt sich, ob du die Seitenleiste der App eingeklappt hast.
• qwirl-cookies: merkt sich deine Wahl im Cookie-Hinweis (1 Jahr).

Analyse-Cookies (nur wenn du „Analyse erlauben“ wählst; nicht auf Scan-Seiten):

• _ga, _ga_…: Google Analytics, um Besucher und Sitzungen zu unterscheiden (bis zu 2 Jahre).

Dein Browser speichert außerdem einige Anzeigeeinstellungen nur auf deinem Gerät (hell oder dunkel, der zuletzt genutzte Anmelde-Tab, die Größe beim Herunterladen eines QR-Codes); sie werden nie an uns gesendet. Umami, unsere Website-Statistik, verwendet keine Cookies.

Wir nutzen keine Werbe-Cookies. Du kannst deine Wahl jederzeit in den Cookie-Einstellungen ändern.

9. Deine Rechte

Nach der DSGVO hast du das Recht auf: Auskunft über deine Daten, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit (eine Kopie in einem leicht nutzbaren Format) und Widerspruch gegen eine Verarbeitung aufgrund berechtigten Interesses.

Vieles kannst du selbst in deinem Konto erledigen: Name, E-Mail, Passwort und Land ändern, alle QR-Codes in einer Datei herunterladen, deine Cookie-Wahl ändern und dein Konto löschen. Für alles andere schreib uns an app@qwirl.io. Wir antworten innerhalb von höchstens einem Monat.

Wenn du der Analyse zugestimmt hast, kannst du die Einwilligung jederzeit widerrufen, ohne dass dies die bis dahin erfolgte Verarbeitung berührt.

Du kannst dich bei der rumänischen Datenschutzbehörde beschweren, der Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), www.dataprotection.ro, oder bei der Aufsichtsbehörde des Landes, in dem du lebst.

10. Kinder

Qwirl ist nicht für Kinder unter 16 Jahren gedacht. Wir erheben ihre Daten nicht wissentlich. Wenn du erfährst, dass ein Kind uns Daten gegeben hat, schreib uns und wir löschen sie.

11. Sicherheit

Passwörter von Konten und QR-Codes werden nur als Hash gespeichert. Zugangsschlüssel für externe Dienste sind verschlüsselt. Verbindungen nutzen HTTPS. Der Zugriff der Admins ist begrenzt und jede Aktion wird protokolliert.

12. Änderungen

Wenn wir diese Erklärung wesentlich ändern, informieren wir Kontoinhaber per E-Mail, bevor die Änderung gilt. Das Datum der letzten Aktualisierung steht oben.

Die rumänische Fassung dieser Erklärung ist das Original; diese Übersetzung dient deiner Bequemlichkeit. Weichen beide voneinander ab, gilt die rumänische Fassung.