Datenschutzerklärung

1.1 Verantwortlicher. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist die Sqate UG (haftungsbeschränkt) i. G., Zum Leisterplatz 6, 28844 Weyhe, vertreten durch den Geschäftsführer Dr. André Bogdanowski (im Folgenden „Sqate", „wir"). Diese Datenschutzerklärung gilt für die Nutzung der Plattform unter sqate.cards.

1.2 Kontakt. Für Fragen zum Datenschutz sowie zur Ausübung der in § 16 genannten Betroffenenrechte erreichen Sie uns unter contact@sqatecards.com.

1.3 Datenschutzbeauftragter. Ein Datenschutzbeauftragter ist derzeit nicht bestellt.

2.1 Umfang und Zweck. Wir verarbeiten personenbezogene Daten unserer Nutzer, der Besucher öffentlicher Profile, der Absender von Nachrichten, meldender Personen sowie der Käufer in unserem Shop jeweils nur, soweit dies für den Betrieb der Plattform, die Erfüllung der mit ihnen geschlossenen Verträge oder zur Erfüllung gesetzlicher Pflichten erforderlich ist. Die einzelnen Verarbeitungsvorgänge, ihre Zwecke und Rechtsgrundlagen sind in den nachfolgenden Paragraphen beschrieben.

2.2 Rechtsgrundlagen. Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Rechtsgrundlage benennen, kommen insbesondere in Betracht: die Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), die Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), ein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) oder eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

2.3 Empfänger und Auftragsverarbeiter. Innerhalb von Sqate erhalten nur diejenigen Stellen Zugriff auf personenbezogene Daten, die diesen zur Erfüllung ihrer Aufgaben benötigen. Für den technischen Betrieb setzen wir sorgfältig ausgewählte externe Dienstleister ein, die wir größtenteils als Auftragsverarbeiter im Sinne des Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags verpflichtet haben; einzelne Dienstleister sind für die von ihnen verarbeiteten Daten eigenständig verantwortlich. Beides ist jeweils bei der betreffenden Verarbeitung angegeben; eine zusammenfassende Übersicht enthält § 13.

3.1 Server-Logdaten. Beim Aufruf unserer Plattform, einschließlich öffentlicher Profile, werden automatisch technische Verbindungsdaten erhoben (IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte URL/Route, HTTP-Statuscode, Referrer-URL, Browser- und Geräteinformation, Netzwerkdaten). Zweck ist ein stabiler und sicherer Betrieb sowie die Abwehr von Missbrauch; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer beträgt bis zu 30 Tage.

3.2 Hosting (Vercel). Unsere Anwendung wird von Vercel Inc. gehostet. Vercel wird als Auftragsverarbeiter eingesetzt. Da Vercel Inc. ein US-amerikanisches Unternehmen ist, ist eine Übermittlung personenbezogener Daten in die USA möglich; daher stützt sich die Verarbeitung auf das EU-US Data Privacy Framework (DPF), unter dem Vercel zertifiziert ist, sowie ergänzend auf die EU-Standardvertragsklauseln (SCCs).

3.3 Datenbank und Objektspeicher (Supabase). Für den Betrieb unserer Datenbank sowie die Speicherung der von Nutzern veröffentlichten Medien (Fotos, Audio, Video, Profilbilder) setzen wir Supabase als Auftragsverarbeiter ein.

4.1 Registrierung mit E-Mail und Passwort. Zur Erstellung eines Nutzerkontos verarbeiten wir die angegebene E-Mail-Adresse sowie das gewählte Passwort in gehashter Form. Zweck ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

4.2 E-Mail-Verifizierung und Passwort-Reset. Nach der Registrierung senden wir einen Bestätigungslink an die angegebene E-Mail-Adresse; bei einem Passwort-Reset erfolgt dies entsprechend über einen Reset-Link. Beide Links sind eine Stunde gültig und verlieren danach automatisch ihre Gültigkeit. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); zum E-Mail-Versand über Resend s. § 10.

4.3 Anmeldung über Google. Alternativ zur Registrierung mit E-Mail-Adresse und Passwort können Sie sich über Ihr Google-Konto anmelden. Dabei übermittelt Google Ihre E-Mail-Adresse an uns. Rechtsgrundlage ist Ihre aktive Auswahl dieser Anmeldeoption zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Empfänger ist Google Ireland Limited bzw. Google LLC, die insoweit als eigenständig Verantwortliche handeln; es gilt zusätzlich deren eigene Datenschutzerklärung. Hierbei kommt es zu einer Datenübermittlung in die USA.

4.4 Login-Session. Nach der Anmeldung verarbeiten wir die für die Aufrechterhaltung und Absicherung der Sitzung erforderlichen Informationen, namentlich ein Sitzungstoken, Ihre IP-Adresse sowie Informationen zu Ihrem Browser bzw. Endgerät (User-Agent). Dies ermöglicht es uns, Sie während der Sitzung angemeldet zu halten und unbefugte Zugriffe auf Ihr Nutzerkonto zu verhindern.

Die Verarbeitung erfolgt zur Durchführung des Nutzungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO sowie, soweit erforderlich, auf Grundlage unseres berechtigten Interesses an der Sicherheit und dem Schutz unserer Plattform und Nutzer gemäß Art. 6 Abs. 1 lit. f DSGVO.

Die für die Anmeldung erforderlichen Sitzungsinformationen werden gelöscht bzw. ungültig, sobald sie für die genannten Zwecke nicht mehr benötigt werden oder die Sitzung endet.

4.5 Angaben im Einrichtungsassistenten. Im Rahmen der Profileinrichtung erheben wir zusätzlich Ihren Namen bzw. Profilnamen, Ihr Geburtsdatum und optional einen frei eingegebenen Standort (Art. 6 Abs. 1 lit. b DSGVO). Die Registrierung setzt ein Mindestalter von 18 Jahren voraus; das Geburtsdatum beruht auf Ihrer eigenen Angabe, eine Verifikation durch Dritte findet nicht statt (s. § 20).

4.6 Löschung des Kontos. Sie können Ihr Konto jederzeit selbst löschen; Einzelheiten ergeben sich aus § 15.

5.1 Erstellung und öffentliche Bereitstellung. Sie können ein Profil erstellen, das ohne Registrierung oder Anmeldung für jede Person abrufbar ist, die über den zugehörigen Link bzw. QR-Code verfügt. Es besteht weder ein Verzeichnis noch eine Volltextsuche oder ein Ranking, über das Profile ohne Kenntnis des Links auffindbar wären; Link und QR-Code sind der einzige Zugriffspfad. Der Link ändert sich nicht, solange Sie nicht ausdrücklich einen neuen QR-Code erzeugen – dies macht bereits verteilte Sqate-Karten ungültig.

5.2 Veröffentlichte Inhalte. Im Profil können Name bzw. Profilname, Alter, Standort, Fotos, Audio- und Videoinhalte, Texte sowie selbst gewählte Kontaktangaben veröffentlicht werden (Art. 6 Abs. 1 lit. b DSGVO). Sämtliche Inhalte stellen Sie selbst ein. Eine automatisierte bzw. menschliche Inhaltsprüfung erfolgt nicht vor der Veröffentlichung; veröffentlichte bzw. gemeldete Inhalte können anschließend moderiert werden. Sie können Ihre Inhalte jederzeit selbst ändern oder löschen.

5.3 Verantwortlichkeit für Inhalte Dritter. Sie sind selbst dafür verantwortlich, welche personenbezogenen Daten Sie über sich und, soweit einschlägig, über Dritte veröffentlichen. Enthält Ihr Profil personenbezogene Daten Dritter, obliegt die datenschutzrechtliche Zulässigkeit dieser Veröffentlichung Ihnen (s. AGB § 3.5).

5.4 Medien-Moderation. Neu eingestellte oder geänderte Inhalte bleiben ab der Veröffentlichung live sichtbar. Eine Prüfung durch unsere Moderation kann erfolgen, insbesondere, wenn ein Inhalt gemeldet wird oder auf sonstige Weise auffällig wird (Art. 6 Abs. 1 lit. f DSGVO); Einzelheiten zu Entscheidungen im Rahmen dieser Prüfung s. § 6.

6.1 Meldung von Profilen und Inhalten. Jede Person kann, auch ohne eigenes Nutzerkonto, ein Profil oder einen einzelnen Inhalt über die Meldefunktion bei uns melden. Dabei verarbeiten wir den angegebenen Meldegrund, optionale Freitextangaben sowie eine optional angegebene E-Mail-Adresse der meldenden Person. Zweck ist die Prüfung gemeldeter Inhalte im Rahmen der Moderation; Rechtsgrundlage ist unsere rechtliche Verpflichtung zur Bearbeitung von Meldungen rechtswidriger Inhalte (Art. 16 DSA) in Verbindung mit unserem berechtigten Interesse an einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO).

6.2 Admin-Moderationsmaßnahmen. Verstößt ein Inhalt gegen unsere Nutzungsbedingungen, können wir ihn entfernen oder ein Profil sperren. Wir protokollieren solche Maßnahmen (handelnde Person, betroffenes Profil bzw. betroffener Inhalt, Zeitpunkt, Begründung), um sie nachvollziehbar zu halten und im Bedarfsfall rückgängig machen zu können; Rechtsgrundlage ist unser berechtigtes Interesse an einer nachweisbaren, überprüfbaren Moderation (Art. 6 Abs. 1 lit. f DSGVO).

6.3 Benachrichtigung. Führt eine Prüfung zur Entfernung eines Inhalts oder zur Sperrung eines Profils, informieren wir den betroffenen Nutzer gemäß Art. 17 DSA per E-Mail sowie über sein Postfach innerhalb der Plattform und nennen eine Kontaktmöglichkeit für Rückfragen (Art. 6 Abs. 1 lit. b und c DSGVO). Zum E-Mail-Versand s. § 10.

6.4 Speicherdauer. Wird eine Meldung abgewiesen, werden die zugehörigen Daten zwölf Monate nach der Abweisung gelöscht. Bis zu einer Entscheidung über die Meldung werden die Daten für die Dauer der Bearbeitung aufbewahrt.

7.1 Kontaktformular. Über das im Profil eingebundene Kontaktformular können auch Besucher ohne eigenes Nutzerkonto mit dem Profilinhaber in Kontakt treten. Dabei verarbeiten wir den vom Absender angegebenen Namen, den Nachrichtentext sowie eine optionale Rückkontaktmöglichkeit. Zweck ist die Erfüllung des mit dem Besucher geschlossenen Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

7.2 Zustellung. Die Nachricht wird ausschließlich in das private Postfach des Profilinhabers innerhalb der Plattform zugestellt; zusätzlich erhält der Profilinhaber eine E-Mail-Benachrichtigung (s. § 10). Wir selbst vermitteln oder leiten die Nachricht nicht an Dritte weiter.

7.3 Interne Systembenachrichtigungen und Ankündigungen. Ihr Postfach erhält außerdem automatisierte Hinweise zu Vorgängen, die Sie selbst betreffen (etwa Moderationsentscheidungen, s. § 6.3, oder Hinweise zu Ihrer Premium-Mitgliedschaft, s. § 8), sowie gelegentliche plattformweite Ankündigungen unsererseits. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw., für Ankündigungen, unser berechtigtes Interesse an einer informierten Nutzerschaft (Art. 6 Abs. 1 lit. f DSGVO).

Beim Erwerb einer Premium-Mitgliedschaft verarbeiten wir den Premium-Status sowie dessen Laufzeit zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Vor Ablauf der Laufzeit erhalten Sie im Regelfall sieben und drei Tage vorher eine Postfach-Benachrichtigung innerhalb der Plattform; eine zusätzliche E-Mail-Benachrichtigung erhalten Sie, sofern Sie diese Erinnerung nicht zuvor in Ihren Kontoeinstellungen deaktiviert haben. Nach Ablauf werden Sie automatisch auf den kostenlosen Funktionsumfang zurückgestuft und hierüber per E-Mail sowie über Ihr Postfach benachrichtigt. Zu Zahlungsdaten s. § 9.

9.1 Bestell-, Rechnungs- und Lieferdaten. Bei einer Bestellung im Shop verarbeiten wir den Bestellinhalt, Betrag, bei Kartenbestellungen die von Ihnen festgelegte Kartennachricht und Ihr individueller QR-Code sowie die von Ihnen angegebene Liefer- und ggf. abweichende Rechnungsadresse (Name, Straße, Stadt, Postleitzahl, Land). Zweck ist die Abwicklung des Kaufvertrags, der Versand und die Rechnungsstellung (Art. 6 Abs. 1 lit. b DSGVO).

9.2 Adress-Plausibilitätsprüfung. Vor Abschluss der Bestellung gleichen wir die von Ihnen eingegebene Postleitzahl und den Ort automatisiert mit einer bei uns intern geführten Liste deutscher Postleitzahlen ab, um offensichtliche Eingabefehler kenntlich zu machen; Sie können einen entsprechenden Hinweis ignorieren und die Bestellung gleichwohl abschließen. Der Abgleich erfolgt ausschließlich lokal bei uns; es findet keine Übermittlung an Dritte statt. Rechtsgrundlage ist unser berechtigtes Interesse an einer korrekten Zustellung (Art. 6 Abs. 1 lit. f DSGVO).

9.3 Zahlungsabwicklung. Die Zahlung erfolgt über den eingebetteten Checkout des Zahlungsdienstleisters Stripe (Stripe Payments Europe, Ltd. bzw. Stripe, Inc.), wahlweise per Kreditkarte oder über die bei Stripe integrierten Zahlungsarten PayPal und Klarna. Wir selbst erhalten und speichern keine vollständigen Zahlungsdaten wie Kartennummern; diese werden ausschließlich vom jeweiligen Zahlungsdienstleister verarbeitet. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für PayPal und Klarna ist der jeweilige Anbieter für die im Rahmen der gewählten Zahlungsart verarbeiteten Daten eigenständig verantwortlich; es gilt zusätzlich dessen eigene Datenschutzerklärung. Bei Nutzung von Stripe, Inc. sowie bei PayPal kann es zu einer Datenübermittlung in die USA kommen.

9.4 Herstellung und Versand der Sqate-Karten. Für die Herstellung und den Versand der bestellten Sqate-Karten übermitteln wir die hierfür erforderlichen personenbezogenen Daten an die SAXOPRINT GmbH, Enderstraße 92 c, 01277 Dresden. Hierzu gehören insbesondere der Name und die Lieferadresse des Empfängers sowie die für die personalisierte Karte erforderlichen Druckdaten, einschließlich des individuellen QR-Codes und der Kartennachricht.

SAXOPRINT verarbeitet diese Daten zur Durchführung des jeweiligen Druck- und Versandauftrags. Im Rahmen des von uns genutzten Reseller-Versands wird die Karte unmittelbar an die von Ihnen angegebene Lieferadresse versandt.

9.5 Aufbewahrung von Bestell- und Rechnungsdaten. Unabhängig von einer Accountlöschung bewahren wir Bestell- und Rechnungsdaten für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen auf, insbesondere sechs Jahre für empfangene und abgesandte Handelsbriefe (§ 257 Abs. 1 Nr. 2, Abs. 4 HGB) und acht Jahre für Buchungsbelege (§ 257 Abs. 1 Nr. 4 HGB, § 147 Abs. 3 AO).

Wir versenden ausschließlich transaktionale, mit der Nutzung der Plattform verbundene E-Mails — insbesondere zur E-Mail-Verifizierung, zum Passwort-Reset, zu Bestellbestätigungen, zu Nachrichten- und Moderationsbenachrichtigungen sowie zum Ablauf einer Premium-Mitgliedschaft und zur Accountlöschung. Der Versand erfolgt über den E-Mail-Dienstleister Resend als Auftragsverarbeiter; hierbei kann es zu einer Datenübermittlung in die USA kommen. Versandprotokolle werden bei Resend für 30 Tage gespeichert und danach automatisch gelöscht.

Wir nutzen Vercel Analytics zur statistischen Auswertung der Plattformnutzung. Der Dienst erfasst nach Angaben des Anbieters ausschließlich aggregierte Nutzungsdaten ohne Erstellung individueller Nutzerprofile und arbeitet cookielos. Rechtsgrundlage ist unser berechtigtes Interesse an der Weiterentwicklung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Die Plattform verwendet technisch notwendige Cookies für die Anmeldung, Sprachpräferenz und Zahlungen. Weitergehende Informationen zu eingesetzten Cookies und ähnlichen Technologien sowie zu etwaigen Einwilligungserfordernissen ergeben sich aus der gesonderten Cookie-Richtlinie.

Zusätzlich zu den vorstehend im jeweiligen Zusammenhang genannten Empfängern fassen wir hier zusammen, wer im Regelfall Zugriff auf welche Kategorie personenbezogener Daten erhält:

• Hosting- und Infrastrukturdienstleister (Auftragsverarbeiter): Vercel (§ 3.2), Supabase (§ 3.3)
• E-Mail-Dienstleister (Auftragsverarbeiter): Resend (§ 10)
• Anmeldedienstleister (eigenständig verantwortlich): Google, bei Anmeldung über ein Google-Konto (§ 4.3)
• Zahlungsdienstleister: Stripe sowie die darüber angebotenen Zahlungsarten PayPal, Klarna (§ 9.3)
• Druck- und Versanddienstleister: Saxoprint (§ 9.4)

Bei einzelnen der genannten Dienstleister — insbesondere Google (§ 4.3), Vercel (§ 3.2), Resend (§ 10) sowie, je nach gewählter Zahlungsart, Stripe und PayPal (§ 9.3) — kann es zu einer Übermittlung personenbezogener Daten in Drittländer, insbesondere in die USA, kommen. Soweit hierfür ein Angemessenheitsbeschluss der EU-Kommission besteht, insbesondere das EU-US Data Privacy Framework, stützen wir uns hierauf; im Übrigen vereinbaren wir EU-Standardvertragsklauseln als geeignete Garantie. Für Klarna erfolgt die Übermittlung innerhalb der EU/des EWR.

15.1 Grundsatz. Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Verarbeitungszweck erforderlich ist, oder so lange, wie eine gesetzliche Aufbewahrungspflicht besteht.

15.2 Account-, Profil- und Nachrichtendaten. Löschen Sie Ihr Konto selbst, werden Kontodaten, Profilinhalte und Nachrichten sofort und dauerhaft gelöscht, mit Ausnahme der in § 9.5 genannten Daten mit gesetzlicher Aufbewahrungsfrist; eine Wiederherstellung ist danach nicht mehr möglich.

15.3 Administrativ deaktivierte Profile. Wird ein Profil durch die Moderation gesperrt, werden die zugehörigen Daten einschließlich gespeicherter Mediendateien im Regelfall 60 Tage nach der Sperrung endgültig gelöscht, sofern die Sperrung nicht zuvor aufgehoben wurde; diese Frist kann von uns administrativ angepasst werden.

15.4 Bestell-, Rechnungs- und Zahlungsdaten. Hierfür gilt § 9.5.

15.5 Weitere Datenkategorien. Für Server-Logdaten (§ 3.1) sowie für Melde- und Moderationsdaten (§ 6) gelten die dort jeweils genannten Fristen.

Ihnen stehen unter den gesetzlichen Voraussetzungen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person verarbeiteten Daten,
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten,
• Löschung (Art. 17 DSGVO) der Sie betreffenden Daten,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen, maschinenlesbaren Format,
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO) sowie
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der für unseren Sitz zuständigen Aufsichtsbehörde.

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die in § 1.2 genannte Adresse.

Widerspruchsrecht (Art. 21 DSGVO): Werden Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeitet, können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Die Registrierung eines Nutzerkontos, die Erstellung eines Profils sowie eine Bestellung im Shop sind ohne die jeweils als Pflichtangabe gekennzeichneten Daten nicht möglich; ohne diese Angaben können wir den jeweiligen Vertrag nicht durchführen. Die Angabe weiterer, nicht als Pflichtfeld gekennzeichneter Daten ist freiwillig.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet bei uns nicht statt. Es gibt keinen Matching-, Ranking- oder Empfehlungsalgorithmus; Profile sind ausschließlich über den individuellen Link bzw. QR-Code erreichbar.

Wir treffen angemessene technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO, um personenbezogene Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen, insbesondere durch Verschlüsselung der Datenübertragung, eine Zugriffsbeschränkung auf den administrativen Bereich der Plattform sowie die Speicherung von Passwörtern ausschließlich in gehashter Form.

Unsere Plattform richtet sich ausschließlich an Personen ab 18 Jahren; das Mindestalter wird bei der Registrierung ausschließlich durch Ihre eigene Angabe erhoben, eine Verifikation durch Dritte findet nicht statt (§ 4.5).

Wir können diese Datenschutzerklärung ändern, soweit dies aufgrund technischer Weiterentwicklungen der Plattform oder geänderter rechtlicher Anforderungen erforderlich wird. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar.