Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist der im Impressum genannte Anbieter:

OpSolid - Hasan Dönmez (Inhaber, Einzelunternehmen)
Stolte Ley 12, 59759 Arnsberg, Deutschland
Kontakt: info@opsolid.de

Einen Datenschutzbeauftragten nach der DSGVO haben wir nicht benannt; zu Ansprechpartnern nach dem Recht anderer Staaten siehe Ziffer 12. Fragen zum Datenschutz und die Ausübung Ihrer Rechte richten Sie bitte an info@opsolid.de.

Soweit Sie OpSo geschäftlich nutzen und darin personenbezogene Daten Dritter speichern (z. B. Kontakte, die Sie auf einer Messe kennenlernen), entscheiden Sie über Zweck und Mittel dieser Verarbeitung und sind dafür selbst verantwortlich; wir stellen Ihnen dafür die technische Plattform bereit und verarbeiten die Daten insoweit in Ihrem Auftrag. Wenn Sie hierfür eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO benötigen, sprechen Sie uns an.

2. Überblick: was wir verarbeiten

Wir verarbeiten nur die Daten, die für die jeweilige Funktion nötig sind. Wir verkaufen keine Daten, schalten keine Werbung, nutzen keine Werbenetzwerke, Datenhändler oder Tracking-Cookies und setzen keine Web-Analyse- oder Absturzberichts-Dienste von Drittanbietern ein. Ausgenommen sind die unter Ziffer 3.12 beschriebenen technischen Diagnosedaten der Google-Komponenten in der Android- und der iPhone-App sowie die Angaben zu fehlgeschlagenen Starts und Updates, die die Update-Funktion an Expo sendet (Ziffer 3.21). Die folgenden Ziffern nennen für jede Verarbeitung Zweck, Daten, Rechtsgrundlage, Speicherdauer und Empfänger.

3. Verarbeitungen im Einzelnen

3.1 Besuch unserer Webseiten (Server-Logfiles). Beim Aufruf von card.opsolid.de, opso.cc und der Kartenseiten verarbeitet unser Server technisch notwendig IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Statuscode, übertragene Datenmenge, Referrer und User-Agent. Zweck: Auslieferung der Seite, Sicherheit, Fehleranalyse und Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Speicherdauer: nur kurzfristig, in der Regel 14 Tage. Empfänger: unser Hosting-Anbieter (Ziffer 4).

3.2 Konto und Anmeldung per E-Mail-Code. Zum Anlegen und Nutzen eines Kontos verarbeiten wir Ihre E-Mail-Adresse. Es gibt kein Passwort: Wir senden einen sechsstelligen Einmalcode an Ihre Adresse; gespeichert wird nur ein kurzlebiger, geschlüsselter Prüfwert, die Anfrage verfällt nach 15 Minuten. Für die Sicherheit Ihrer Anmeldung speichern wir aktive Sitzungen mit Gerätetyp, IP-Adresse und Ablaufzeit; Sie können Sitzungen in der App beenden, und eine Sitzung endet spätestens 180 Tage nach der Anmeldung. Ein Sicherheitsprotokoll erfasst Anmeldungen (mit Anmeldeart), beendete Sitzungen, ein erneut verwendetes Anmelde-Token und Löschanfragen, jeweils mit Zeitpunkt, IP-Adresse und Gerätetyp. Um zu begrenzen, wie viele Codes an eine Adresse gesendet werden, speichern wir eine Code-Anfrage mit einem geschlüsselten Hashwert des anfragenden Netzes (nicht der IP-Adresse selbst). Optional können Sie Name, Telefonnummer, Avatar und Sprache hinterlegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) und lit. f (Sicherheit). Speicherdauer: Konto bis zur Löschung (Ziffer 6); abgelaufene oder beendete Sitzungen werden regelmäßig bereinigt; Einträge des Sicherheitsprotokolls werden nach 90 Tagen, Code-Anfragen nach 2 Tagen gelöscht. Empfänger: Hosting-Anbieter und E-Mail-Versanddienst (Ziffer 4).

3.3 Anmeldung mit Google und Apple. Wenn Sie „Mit Google anmelden“ wählen, bestätigt Google Ihre Identität; wir erhalten eine verifizierte E-Mail-Adresse und gegebenenfalls Ihren Profilnamen und prüfen das Anmeldetoken serverseitig. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Google verarbeitet Ihre Daten dabei nach eigener Datenschutzerklärung als eigener Verantwortlicher (policies.google.com/privacy). Die Google-Anmeldung ist freiwillig; die E-Mail-Anmeldung steht gleichwertig zur Verfügung.

Anmeldung mit Apple. Wenn Sie „Mit Apple anmelden“ wählen, bestätigt Apple Ihre Identität; wir erhalten die stabile Apple-Nutzerkennung, eine verifizierte E-Mail-Adresse (Ihre echte oder eine von Apple bereitgestellte Weiterleitungsadresse, je nach Ihrer Wahl) und bei der ersten Anmeldung den Namen, den Sie freigeben. Das Anmeldetoken prüfen wir serverseitig. Wir speichern außerdem, ob es sich um eine Weiterleitungsadresse handelt, und verwenden den Namen nur dann als Kontonamen, wenn mit der Anmeldung ein neues Konto angelegt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Apple verarbeitet Ihre Daten dabei nach eigener Datenschutzerklärung als eigener Verantwortlicher (apple.com/legal/privacy). Die Anmeldung mit Apple ist freiwillig; die E-Mail-Anmeldung steht gleichwertig zur Verfügung.

3.4 Ihre digitale Karte. Die Inhalte, die Sie auf Ihrer Karte eintragen (Name, Funktion, Firma, E-Mail, Telefon, Kurzbeschreibung, Profilfoto, Links, Galerie, Design), speichern wir, um die Karte bereitzustellen. Sie steuern, ob eine Karte öffentlich, nicht gelistet, privat oder nur für Veranstaltungen sichtbar ist und ob E-Mail und Telefon angezeigt werden. Eine öffentliche Karte ist bewusst für jeden mit dem Link abrufbar; Suchmaschinen, Empfänger und andere Plattformen können Kopien anfertigen, die wir nicht zurückrufen können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung der Karte oder des Kontos. Wird ein Konto gelöscht, halten wir nur den Linknamen (Slug) jeder jemals veröffentlichten Karte 90 Tage lang ohne Bezug zu Ihnen zurück, damit niemand anderes damit gedruckte QR-Codes oder NFC-Tags übernehmen kann; ein Linkname kann Ihren Namen enthalten. Rechtsgrundlage dafür: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Identitätsmissbrauch).

3.5 Kartenaufrufe. Wird eine öffentliche Karte aufgerufen, speichern wir ein Ereignis mit Zeitpunkt, Referrer, User-Agent und einer gekürzten IP-Adresse (IPv4: letztes Oktett auf 0 gesetzt, IPv6: nur die ersten 48 Bit), damit der Karteninhaber Aufrufzahlen sieht. Die vollständige IP-Adresse wird hier nicht gespeichert; zur kurzfristigen Missbrauchsbegrenzung (Anfragelimits) wird sie nur flüchtig im Arbeitsspeicher gehalten, nicht in der Datenbank. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis zur Löschung der Karte oder des Kontos; früher gespeicherte vollständige Adressen wurden gekürzt. Die Server-Logdateien (Ziffer 3.1) sind davon getrennt und werden nach spätestens 14 Tagen gelöscht. Sie können dem nach Ziffer 7 widersprechen.

3.6 Kontakte, Visitenkarten-Scan und Notizen (Mini-CRM). Wenn Sie jemanden speichern, den Sie getroffen haben, speichern wir die von Ihnen eingegebenen Angaben: Name, E-Mail, Telefon, Firma, Funktion, Notizen, Tags, Pipeline-Stufe, optionalen Wert sowie angehängte Fotos. Das Erkennen von Text, Codes und Gesichtern beim Scannen läuft auf Ihrem Gerät (Ziffer 3.12); gespeichert wird nur, was Sie übernehmen. Sie sind für die Rechtmäßigkeit der Speicherung dieser Kontakte verantwortlich (siehe Ziffer 1 und die Nutzungsbedingungen). Rechtsgrundlage für uns: Art. 6 Abs. 1 lit. b DSGVO (Betrieb des von Ihnen genutzten Dienstes). Speicherdauer: bis Sie den Kontakt oder Ihr Konto löschen. Exporte als CSV oder vCard sind in der App möglich. Sie können an einem Kontakt ein Datum für eine Follow-up-Erinnerung setzen; es wird mit dem Kontakt gespeichert und mit ihm gelöscht, die Erinnerung selbst ist eine auf Ihrem Gerät geplante Benachrichtigung. Tippen Sie auf „Auf dem Handy speichern“, fragt die App nach Zugriff auf das Adressbuch Ihres Telefons und nutzt es nur auf Ihrem Gerät: Sie sucht einen vorhandenen Eintrag mit derselben Telefonnummer oder E-Mail-Adresse und legt den Eintrag dann an oder ergänzt ihn. Ihr Adressbuch wird nicht an OpSo übertragen oder dort gespeichert; die Berechtigung können Sie jederzeit in den Einstellungen Ihres Telefons widerrufen.

3.7 Kontaktformular auf einer öffentlichen Karte. Gibt ein Besucher dort seine Daten ein (Name, E-Mail, Telefon, Firma, Nachricht), speichern wir diese Angaben und leiten sie an berechtigte Mitglieder des Arbeitsbereichs des Karteninhabers weiter. Zum Nachweis halten wir die Fassung und den Hash des angezeigten Hinweises, die Sprache, den Zeitpunkt und den Empfängerkreis fest; IP-Adresse oder Geräte-Fingerabdruck werden dafür nicht gespeichert. Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, bezogen auf genau den angezeigten Hinweis. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Kontakt: info@opsolid.de); wir koordinieren die Löschung mit dem Arbeitsbereich, der die Daten erhalten hat. Speicherdauer: bis zum Widerruf oder bis der Karteninhaber den Kontakt löscht.

3.8 Verbindungen, Nachrichten und Online-Status. Nehmen Sie eine Verbindungsanfrage an, kann die veröffentlichte Profilkarte als Kontakt im Arbeitsbereich der anderen Person abgelegt werden; offene Anfragen legen private E-Mail- und Telefonfelder nicht offen. Nachrichten (Text, Bilder, Videos, Dokumente, Karten) speichern wir, damit beide Gesprächspartner sie geräteübergreifend lesen können, einschließlich Teilnehmer- und Verbindungskennungen, Zeitstempel, Zustell- und Lesestatus und Reaktionen. Der Online-Status und der Zeitpunkt der letzten Aktivität werden nur aufgezeichnet, solange Sie die Statusfreigabe aktiviert haben, und nur gegenseitig angezeigt; mit dem Ausschalten wird die Aufzeichnung beendet und der Wert gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: solange Konto und Verbindung bestehen; eine einzeln gelöschte Nachricht wird ausgeblendet und bei der nächsten Konto- bzw. Bereinigungslöschung entfernt. Der Empfänger kann erhaltene Inhalte speichern oder weitergeben.

3.9 Hochgeladene Medien. Bilder und Videos (Profilfoto, Galerie, Meeting-Fotos, Nachrichtenanhänge) speichern wir privat im Objektspeicher von Cloudflare (R2) und liefern sie über eine zugriffsgeprüfte Adresse aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Inhalts oder des Kontos. Archivieren oder Löschen einer Karte sperrt den weiteren Abruf bei uns; bereits heruntergeladene Kopien erfassen wir nicht.

3.10 Push-Benachrichtigungen. Erlauben Sie Benachrichtigungen, speichern wir das von Ihrem Gerät ausgegebene Push-Token und senden über den Expo-Push-Dienst (und dort weiter, je nach Gerät, über Google Firebase Cloud Messaging auf Android oder den Apple Push Notification Service auf dem iPhone) Hinweise zu neuen Kontakten, Verbindungsanfragen und Nachrichten. Übermittelt werden Token, Absendername, eine verkürzte Vorschau bzw. ein Medien-/Karten-Hinweis und die Konversationskennung. Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Systemabfrage); Sie können sie jederzeit in den Geräteeinstellungen oder der App widerrufen. Speicherdauer: bis zum Widerruf, zur Abmeldung, zum Ende der Sitzung (auch wenn sie von einem anderen Gerät beendet wird) oder zur Kontolöschung.

3.11 E-Mail-Versand. Anmeldecodes und Hinweise senden wir über einen E-Mail-Versanddienst (Ziffer 4). Verarbeitet werden Empfängeradresse, Absendername, Inhalt und Zustellmetadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wir versenden keine Werbe-E-Mails.

3.12 Scan-Funktionen und technische Diagnosedaten (Android und iPhone). Das Scannen von Codes, Texten, Gesichtern und Dokumenten nutzt Google ML Kit (unter Android zusätzlich Play-Dienste). Die Erkennung läuft auf Ihrem Gerät. Die SDKs übermitteln jedoch Geräte- und App-Angaben, Installationskennungen, Funktionsereignisse, Fehlercodes und Leistungswerte an Google zur Diagnose und Nutzungsstatistik. In der Android-App kontaktieren sie Google zusätzlich zu Updates, und die Benachrichtigungszustellung nutzt Firebase-Installationskennungen. Das sind technische Daten, getrennt von den gescannten Inhalten. Google verarbeitet sie nach eigener Datenschutzerklärung (ML Kit Android, ML Kit iPhone, Firebase, Android). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; die Geräteabfrage erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG, soweit zur Bereitstellung des gewünschten Dienstes unbedingt erforderlich.

3.13 Sicherheit, Sperren, Meldungen und Moderation. Blockieren oder melden Sie Nutzer, Karten oder Nachrichten, verarbeiten wir die beteiligten Kennungen, Meldegrund und -details, Status, Zeitpunkte, Maßnahmen und interne Vermerke, um Grenzen durchzusetzen, Missbrauch zu prüfen und Entscheidungen zu dokumentieren. Zudem speichern wir die Zustimmung zu den Nutzungsbedingungen (Konto, Dokumentart, Version, SHA-256-Prüfsumme, Sprache, Zeitpunkt, App-Version) als Vertragsnachweis, ohne IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO, im Einzelfall lit. c oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Speicherdauer: solange zur Durchsetzung, Dokumentation, für einen Einspruch oder aufgrund gesetzlicher Pflichten erforderlich; Zustimmungsnachweise bis zur endgültigen Kontolöschung.

3.14 Messen und Veranstaltungen. Der Messekatalog (Name, Datum, Ort, Veranstalter) enthält keine personenbezogenen Daten. Wenn Sie Messen folgen oder Kontakte zuordnen, speichern wir diese Zuordnung in Ihrem Konto. Treten Sie einer Teilnehmerliste bei, sind Ihre Teilnahme und Profilangaben (Name, Funktion, Firma, Avatar, Kartenlink) für andere angemeldete Teilnehmer sichtbar, bis Sie die Liste verlassen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.15 Eingebettete Medien auf Karten. Ein Karteninhaber kann ein YouTube- oder Vimeo-Video oder ein extern gehostetes Bild einbinden. Videos werden erst nach Ihrem Klick auf „Video laden“ geladen: Bis dahin findet keine Verbindung zu YouTube oder Vimeo statt. Nach dem Klick verbindet sich Ihr Browser mit dem Anbieter (YouTube über youtube-nocookie.com, Vimeo über player.vimeo.com mit „Do Not Track“-Parameter), der IP-Adresse, User-Agent und die aufgerufene Adresse erhält. Extern gehostete Bilder werden dagegen beim Öffnen der Karte direkt vom jeweiligen Server geladen. Rechtsgrundlage: für Videos Ihre Einwilligung durch den Klick, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; für Bilder Art. 6 Abs. 1 lit. f DSGVO. Für die Einbindung ist der Karteninhaber verantwortlich. Die Anbieter verarbeiten die Daten nach ihren eigenen Datenschutzerklärungen.

3.16 Eigene Domain. Verbinden Sie eine eigene Domain mit Ihrer Karte, verarbeiten wir den Hostnamen, die Eigentumsprüfung und den DNS-/TLS-Status. Die Zertifikate stellt die Zertifizierungsstelle Let’s Encrypt (Internet Security Research Group, USA) aus; dabei wird der Hostname übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.17 NFC-Karten-Warteliste. Wir planen eine physische OpSo-NFC-Karte. Sie ist nicht erhältlich und es wird nichts berechnet; die Warteliste erfasst nur Interesse. Gespeichert werden Ihre Wünsche (Material, Logo ja/nein, Menge, Notiz), Sprache und Datum, im Web zusätzlich Ihre eingegebene E-Mail-Adresse und die Einwilligung, in der App die Verknüpfung mit Ihrem Konto. Zweck: Information über Verfügbarkeit und Vorbestellung und Bedarfsabschätzung. Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Löschung: nach dem Start-Mailing, spätestens 12 Monate nach Eintrag; In-App-Einträge zusätzlich mit dem Konto. Widerruf jederzeit per E-Mail an info@opsolid.de.

3.18 Datensicherung. Zur Wiederherstellung nach Ausfällen sichern wir Datenbank und Medien täglich. Die Sicherungen werden clientseitig verschlüsselt bei einem getrennten Anbieter in Deutschland (Ziffer 4) abgelegt; es werden 14 tägliche Wiederherstellungspunkte vorgehalten, außerdem zwei schreibgeschützte tägliche Kopien. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verfügbarkeit und Wiederherstellbarkeit, Art. 32 DSGVO). Gelöschte Daten können daher noch bis zu 14 Tage nach der endgültigen Löschung in zugriffsgesperrten Sicherungen verbleiben; bei einer Wiederherstellung wenden wir Löschungen erneut an.

3.19 KI-Funktionen. Der Server enthält optionale Textvorschläge (Kurzbeschreibung, SEO-Text, Nachfass-Entwurf) mit einem externen KI-Anbieter. Diese Funktionen sind derzeit nicht aktiviert, es werden keine Daten an einen KI-Anbieter übermittelt. Vor einer Aktivierung aktualisieren wir diese Erklärung.

3.20 Käufe und Abonnements (falls angeboten). Derzeit ist kein Kauf möglich. Wird ein Abonnement über Google Play angeboten und gekauft, senden wir Google eine neutrale Konto-Kennung und übermitteln das Kauf-Token über HTTPS an unseren Server, der es bei Google prüft. Wir speichern das Token verschlüsselt (sowie dessen Hash), Produkt und Tarif, Status, Bestätigung, Verlängerungs-Kennzeichen, Prüfzeitpunkte und Zugriffsdaten, verknüpft mit Ihrem Arbeitsbereich. Zweck: Zugriff gewähren, Käufe wiederherstellen, Änderungen abgleichen und Betrug verhindern; keine Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und lit. f (Betrugsprävention). Speicherdauer: solange der Arbeitsbereich besteht; bei Löschung eines Einzelnutzer-Arbeitsbereichs werden die Daten mit gelöscht, bei einem weiterbestehenden gemeinsamen Arbeitsbereich bleiben sie für die übrigen Mitglieder; gesetzliche Aufbewahrungspflichten bleiben unberührt. Wir erhalten keine Zahlungskarten- oder Bankdaten; Google verarbeitet Zahlungsdaten als eigener Verantwortlicher. Die Kontolöschung kündigt ein Store-Abonnement nicht.

3.21 App-Updates. In App-Versionen mit Update-Funktion fragt die App beim Start bei Expo (650 Industries, Inc., USA; Dienst „Expo Update“, früher EAS Update) an, ob eine neuere Fassung des App-Codes vorliegt, und lädt sie herunter. Über diesen Weg liefern wir nur Fehlerbehebungen, Korrekturen von Texten und Übersetzungen sowie kleine Korrekturen der Oberfläche; neue Funktionen erhalten Sie nur mit einem Update aus dem App Store oder von Google Play. Bei diesen Anfragen übermittelt die App an Expo: die Plattform (Android oder iOS), die Laufzeitversion (eine Kennung der installierten App-Fassung), den Update-Kanal, die Kennungen des laufenden, des mitgelieferten und des angeforderten Updates und der zuletzt fehlgeschlagenen Updates, ein zufällig erzeugtes Kennzeichen dieser Installation (Client-ID) sowie gegebenenfalls technische Werte, die Expo der App zuvor für eine stufenweise Auslieferung vorgegeben hat. Dazu kommen die üblichen Verbindungsdaten: IP-Adresse und User-Agent, auf dem iPhone mit App-Build und Betriebssystemversion. Stürzt die App beim Start ab oder kann ein Update nicht geladen werden, kann die App eine technische Fehlermeldung (bis zu 1024 Zeichen) bis zum nächsten Abruf auf dem Gerät zwischenspeichern und dann einmalig mitsenden; sie kann Freitext enthalten. Konto-, Kontakt- oder Karteninhalte übermitteln wir dabei bewusst nicht. Zwecke und Rollen: Expo liefert die Updates in unserem Auftrag aus, gibt sie anhand der Client-ID zunächst nur für einen Teil der Installationen frei und zählt je Update die Installationen und fehlgeschlagenen Installationen für unsere Update-Übersicht; so erkennen wir fehlerhafte Updates und können sie zurückziehen. Insoweit ist Expo unser Auftragsverarbeiter (Regelungen zur Datenverarbeitung in den Nutzungsbedingungen von Expo, einschließlich der EU-Standardvertragsklauseln). Expo nutzt die Abrufdaten außerdem, um die Nutzung seines Dienstes zu messen (Grundlage der Abrechnung mit uns), und verarbeitet Daten im in seiner Datenschutzerklärung beschriebenen Umfang für eigene Zwecke, etwa in zusammengefasster Form zur Verbesserung seiner Dienste; dafür ist Expo selbst verantwortlich (expo.dev/privacy). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Fehler- und Sicherheitskorrekturen schnell, stufenweise und rücknehmbar auszuliefern und dafür den Dienst von Expo nutzen zu können. Ihr Widerspruchsrecht nach Ziffer 7 bleibt unberührt. Übermittlung in die USA: Expo ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); zusätzlich gelten die EU-Standardvertragsklauseln aus den Nutzungsbedingungen von Expo (Art. 46 Abs. 2 lit. c DSGVO). Speicherdauer: Expo speichert Client-ID und IP-Adresse mit jedem Abruf. Die Fehlermeldung bewahrt Expo nach eigenen Angaben nur in Rohprotokollen auf, die nach drei Tagen gelöscht werden. Für die übrigen Abrufdaten hat Expo keine feste Frist veröffentlicht; nach eigenen Angaben bewahrt Expo sie nur so lange auf, wie es für die genannten Zwecke erforderlich ist. Beenden wir die Nutzung von Expo Update, muss Expo die in unserem Auftrag verarbeiteten Daten nach den Standardvertragsklauseln löschen oder an uns zurückgeben. Auf Ihrem Gerät bleiben Client-ID und App-Code-Dateien, bis Sie die App löschen oder ihre Daten zurücksetzen; nicht mehr benötigte Updates entfernt die App selbst, und die Fehlermeldung wird nach dem Senden gelöscht. Auf dem iPhone kann die Client-ID mit einer Geräte-Sicherung auf ein neues Gerät übergehen. Wir selbst können die Client-ID keinem Konto und keiner Person zuordnen (Art. 11 DSGVO). Diese Abfrage ist unabhängig von den Push-Benachrichtigungen (Ziffer 3.10) und läuft auch, wenn Sie Benachrichtigungen nicht erlaubt haben.

4. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein, soweit die jeweilige Funktion genutzt wird. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

• Hostinger International Ltd. – Server (VPS) mit Anwendung und Datenbank; Standort Vilnius, Litauen (EU).
• Cloudflare, Inc. (USA, mit EU-Gesellschaft) – privater Objektspeicher R2 für Medien und Auslieferung; der Speicherort wird von Cloudflare bestimmt.
• Oracle Cloud Infrastructure – verschlüsselte Datensicherungen, Region Deutschland Mitte (Frankfurt). Die Inhalte werden vor der Übertragung von uns verschlüsselt; der Anbieter sieht nur verschlüsselte Daten.
• Brevo (Sendinblue SAS, Frankreich) – Versand von Anmeldecodes und Hinweisen per E-Mail. Wechseln wir den Dienst (z. B. zu einem SMTP-Anbieter), aktualisieren wir diese Erklärung.
• Expo (650 Industries, Inc., USA) und Google (Firebase Cloud Messaging) – Zustellung von Push-Benachrichtigungen; Expo außerdem Auslieferung von App-Updates (Ziffer 3.21).
• Google (Google Ireland Ltd. / Google LLC) – Google-Anmeldung, Scan-Komponenten (ML Kit; Android und iPhone), Play-Dienste (Android). Bei einem Abonnement außerdem Google Play (Kaufprüfung).
• Apple (Apple Distribution International Ltd., Irland; sie kann Daten auf Grundlage von Standardvertragsklauseln an Apple Inc., USA, übermitteln) – Anmeldung mit Apple; auf dem iPhone außerdem Zustellung von Push-Benachrichtigungen über den Apple Push Notification Service (APNs).
• Let’s Encrypt (ISRG, USA) – TLS-Zertifikate für unsere Domains und, falls genutzt, Ihre eigene Domain.
• YouTube / Vimeo – nur, wenn ein Karteninhaber ein Video einbindet (Ziffer 3.15).

Daten gehen außerdem an andere Nutzer, soweit Sie es veranlassen (öffentliche Karte, akzeptierte Verbindung, Nachricht, Teilnehmerliste), und an Behörden oder Gerichte, wenn wir gesetzlich dazu verpflichtet sind oder es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Drittlandübermittlung. Soweit Empfänger Daten in Staaten außerhalb des EWR verarbeiten (insbesondere USA: Cloudflare, Expo (Push-Zustellung und App-Updates), Google, Let’s Encrypt sowie Apple Inc. über Apple Distribution International), erfolgt das auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien erhalten Sie auf Anfrage unter info@opsolid.de. Für Personen außerhalb der EU, des EWR, des Vereinigten Königreichs und der Schweiz gilt ergänzend Ziffer 12.

5. Endgerät-Zugriffe, Cookies und lokale Speicherung (§ 25 TDDDG)

• Webseiten: Wir setzen keine Cookies zu Analyse-, Werbe- oder Tracking-Zwecken und kein Fingerprinting. Auf der Startseite wird lediglich Ihre gewählte Sprache im lokalen Speicher Ihres Browsers abgelegt. Das ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, deshalb zeigen wir kein Cookie-Banner. Schriftarten werden von uns selbst ausgeliefert, nicht von Google Fonts.
• App: Wir speichern Sitzungsdaten im gesicherten Speicher des Geräts sowie Anzeige- und Spracheinstellungen. Das ist zur Bereitstellung des von Ihnen gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Kamera-, Foto- und Benachrichtigungszugriffe fragen wir über die Systemdialoge ab; die Kamera nutzen wir nur für Scan und Foto, die Erlaubnis können Sie in den Systemeinstellungen jederzeit entziehen. Für App-Updates (Ziffer 3.21) speichert die App außerdem die heruntergeladenen App-Code-Dateien, eine interne Liste der Updates und ihres Startstatus und nach einem fehlgeschlagenen Start bis zum nächsten Abruf eine technische Fehlermeldung; das ist für die Bereitstellung der von Ihnen genutzten App unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Zusätzlich speichert sie ein zufällig erzeugtes Kennzeichen (Client-ID), das bei der Update-Abfrage an Expo gesendet wird, damit Updates stufenweise ausgeliefert und je Update gezählt werden können (Ziffer 3.21).
• Eingebettete Inhalte Dritter (Ziffer 3.15) können beim Laden eigene Zugriffe auf Ihr Endgerät auslösen; dafür ist der jeweilige Anbieter bzw. der Karteninhaber verantwortlich.

6. Speicherdauer und Löschung Ihres Kontos

Wir speichern Daten, solange Ihr Konto besteht, und darüber hinaus nur, soweit Gesetze es verlangen oder es zur Verteidigung von Rechtsansprüchen erforderlich ist. Einzelne Fristen stehen bei den Verarbeitungen oben.

Sie können Ihr Konto jederzeit in der App unter Einstellungen → Konto löschen beenden (Anleitung und Anfrage ohne App: Konto löschen). Das Konto wird sofort deaktiviert, alle Geräte werden abgemeldet, öffentliche Karten werden abgeschaltet, und Konto, Karten, Kontakte, verbindungsbezogene Nachrichten und hochgeladene Medien werden innerhalb von 30 Tagen endgültig gelöscht; nur die Linknamen veröffentlichter Karten werden 90 Tage zurückgehalten (Ziffer 3.4). Danach verbleiben Daten höchstens noch in den verschlüsselten Sicherungen (Ziffer 3.18) und bis zum Ablauf gesetzlicher Aufbewahrungsfristen. Meldungen über andere Konten können von der Löschung erfasst oder anonymisiert werden; Unterlagen, die für eine Rechtspflicht oder einen Rechtsanspruch benötigt werden, behalten wir nur dafür. Die Löschung kündigt ein etwaiges Store-Abonnement nicht (Ziffer 3.20); derzeit ist kein Kauf möglich.

Anmeldecodes verfallen nach 15 Minuten. Die NFC-Warteliste hat eigene Fristen (Ziffer 3.17).

7. Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Einen maschinenlesbaren Export Ihrer Daten erhalten Sie in der App unter Einstellungen → „Meine Daten herunterladen“; er enthält Ihre eigenen Nachrichten und Reaktionen, nicht aber private Inhalte der Gegenseite.
• Widerspruch (Art. 21): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3) mit Wirkung für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), insbesondere in dem Mitgliedstaat Ihres Aufenthalts oder Arbeitsplatzes. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf (ldi.nrw.de). Die Behörden der in Ziffer 12 genannten Staaten sind dort aufgeführt.

Zur Ausübung Ihrer Rechte schreiben Sie an info@opsolid.de. Wir antworten innerhalb der gesetzlichen Frist von in der Regel einem Monat. Zur Vermeidung von Missbrauch können wir Sie bitten, Ihre Identität zu bestätigen.

8. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für ein Konto ist eine E-Mail-Adresse erforderlich; ohne sie können wir den Dienst nicht erbringen. Alle anderen Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

9. Kinder und Jugendliche

OpSo richtet sich an Berufstätige und Unternehmer. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren.

10. Hinweis für Nutzer in der Türkei (KVKK)

Für Personen in der Türkei gilt zusätzlich das türkische Datenschutzgesetz Nr. 6698 (KVKK). Die Aufklärung nach Art. 10 KVKK (Aydınlatma Metni) finden Sie in der türkischen Fassung dieser Erklärung (Türkçe).

11. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern. Maßgeblich ist die jeweils veröffentlichte Fassung mit dem oben genannten Stand. Bei wesentlichen Änderungen weisen wir in der App hin.

12. Nutzer außerhalb der EU, des EWR, des Vereinigten Königreichs und der Schweiz

Diese Ziffer ergänzt die übrigen Ziffern für Nutzer und andere betroffene Personen außerhalb der EU, des EWR, des Vereinigten Königreichs und der Schweiz, insbesondere in Australien, Neuseeland, Singapur, Israel, Südafrika, den Vereinigten Arabischen Emiraten und Hongkong; die übrigen Ziffern gelten auch für Sie. Da wir in Deutschland niedergelassen sind, gilt die DSGVO für alle unsere Verarbeitungen, auch für Ihre Daten (Art. 3 Abs. 1 DSGVO); Sie haben dieselben Rechte wie Nutzer in der EU. Gewährt Ihnen das Recht Ihres Landes weitergehende Rechte, können Sie diese, soweit es auf uns anwendbar ist, ebenfalls uns gegenüber geltend machen. Für Personen in der Türkei gilt außerdem Ziffer 10; Angaben zu Übermittlungen ins Ausland nach dem türkischen Datenschutzgesetz (KVKK) enthält Ziffer 10, nicht diese Ziffer.

Wohin Ihre Daten gehen. Nutzen Sie OpSo von außerhalb der EU, werden Ihre Daten in die EU übermittelt: Server und Datenbank stehen in Litauen, die verschlüsselten Sicherungen in Deutschland, und E-Mails versendet ein Dienstleister aus Frankreich. Außerdem erhalten die in Ziffer 4 genannten Dienstleister Daten, soweit Sie die jeweilige Funktion nutzen, darunter Empfänger in den USA (Cloudflare, Expo, Google, Apple, Let’s Encrypt) und in Irland (Google, Apple). Den Speicherort der Medien bestimmt Cloudflare (Ziffer 4). Andere Nutzer erhalten Daten nur, soweit Sie es veranlassen (Ziffer 4).

Schutz bei der Übermittlung. Ihre Daten genießen bei uns denselben Schutz wie die Daten von Nutzern in der EU. Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; soweit sie als Auftragsverarbeiter handeln, dürfen sie die Daten nur nach unserer Weisung verwenden. Für Empfänger in den USA gelten zusätzlich die Garantien aus Ziffer 4: das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, und im Übrigen die EU-Standardvertragsklauseln. Google, Apple und Expo verarbeiten bestimmte Daten zum Teil als eigene Verantwortliche (Ziffern 3.3, 3.12 und 3.21). Soweit das Recht Ihres Landes auf uns anwendbar ist und Angaben zu Übermittlungen ins Ausland oder zu den Garantien dafür verlangt, finden Sie diese Angaben in dieser Ziffer und in Ziffer 4.

Ansprechpartner für den Datenschutz. Für den Datenschutz verantwortlich und Ansprechpartner für alle Anfragen nach dieser Ziffer ist der in Ziffer 1 genannte Inhaber. Der Inhaber ist zugleich Data Protection Officer nach Section 11 PDPA (Singapur) und Privacy Officer nach Section 201 Privacy Act 2020 (Neuseeland) und unter info@opsolid.de erreichbar. Auch Anfragen nach POPIA (Südafrika) richten Sie an den Inhaber. Ein Datenschutzbeauftragter nach der DSGVO wird dadurch nicht benannt (Ziffer 1).

Auskunft und Berichtigung. Sie können nach Ziffer 7 und, soweit das Recht Ihres Landes auf uns anwendbar ist, auch nach diesem Recht Auskunft über Ihre Daten und deren Berichtigung verlangen. Schreiben Sie an info@opsolid.de. Die Anfrage ist kostenlos; wir können Sie bitten, Ihre Identität zu bestätigen. Wir antworten innerhalb der gesetzlichen Frist, in der Regel innerhalb eines Monats (Ziffer 7). Die Fristen Ihres Landesrechts halten wir ein: In Neuseeland teilen wir Ihnen unsere Entscheidung innerhalb von 20 Arbeitstagen mit. In Singapur antworten wir innerhalb von 30 Tagen oder teilen Ihnen innerhalb dieser Frist schriftlich mit, bis wann wir antworten.

Datenpannen. Bei einer Verletzung des Schutzes Ihrer Daten benachrichtigen wir Sie und die zuständige Behörde, soweit das anwendbare Recht es verlangt, und zwar innerhalb der dort vorgesehenen Frist. Unsere Pflichten nach Art. 33 und 34 DSGVO bleiben unberührt.

Beschwerden. Beschwerden über unseren Umgang mit Ihren Daten können Sie an info@opsolid.de richten; wir prüfen sie und antworten Ihnen in der Regel innerhalb eines Monats schriftlich. An die in Ziffer 7 genannte Behörde in Deutschland können Sie sich jederzeit wenden. Sie können sich außerdem an die Datenschutzbehörde Ihres Landes wenden; ob und wie sie tätig wird, richtet sich nach dem dortigen Recht, und manche Behörden, etwa in Australien und Singapur, erwarten, dass Sie sich zuerst an uns wenden. Die Behörden und die jeweiligen Gesetze:

• Australien: Office of the Australian Information Commissioner (OAIC), oaic.gov.au – Privacy Act 1988, APP 12 und 13, soweit der Privacy Act auf uns anwendbar ist.
• Neuseeland: Office of the Privacy Commissioner, privacy.org.nz – Privacy Act 2020, IPP 6 und 7.
• Singapur: Personal Data Protection Commission (PDPC), pdpc.gov.sg – Personal Data Protection Act 2012, Sections 21 und 22.
• Israel: Privacy Protection Authority, gov.il – Protection of Privacy Law 5741-1981, Sections 13 und 14.
• Südafrika: Information Regulator, Woodmead North Office Park, 54 Maxwell Drive, Woodmead, Johannesburg 2191, POPIAComplaints@inforegulator.org.za, inforegulator.org.za – Protection of Personal Information Act 4 of 2013 (POPIA), Sections 23 und 24.
• Vereinigte Arabische Emirate: die nach dem PDPL zuständige Bundesbehörde (das offizielle Regierungsportal nennt derzeit das UAE Data Office), u.ae – Bundesgesetzesdekret Nr. 45 von 2021 (PDPL).
• Hongkong: Office of the Privacy Commissioner for Personal Data (PCPD), pcpd.org.hk – Personal Data (Privacy) Ordinance (Cap. 486, PDPO), Sections 18 und 22.

Kontakte, die andere Nutzer speichern. Speichert ein anderer Nutzer Ihre Daten als Kontakt, etwa indem er Ihre Visitenkarte scannt (Ziffer 3.6), entscheidet dieser Nutzer darüber und ist dafür verantwortlich. Dazu gehört auch, Sie zu informieren, soweit das anwendbare Recht es verlangt (zum Beispiel IPP 3A in Neuseeland). Wir speichern diese Daten, um ihm den Dienst bereitzustellen; nutzt er OpSo geschäftlich, verarbeiten wir sie insoweit in seinem Auftrag (Ziffer 1). Ihre Rechte können Sie gegenüber diesem Nutzer geltend machen. Wenn Sie uns schreiben, unterstützen wir ihn bei der Antwort; soweit wir selbst für die Daten verantwortlich sind, antworten wir Ihnen selbst.