Datenschutzerklärung

Vorbemerkung: Adressatenkreis

Die Plattform qr-guru.de richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB. Die nachfolgende Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im Rahmen unseres B2B-Angebots gegenüber unseren Geschäftskunden, deren Mitarbeitern, Besuchern unserer Webseiten sowie gegenüber Endnutzern, die einen über qr-guru.de generierten QR-Code scannen oder einen über die separate Kurz-Domain qrgu.de bereitgestellten Kurzlink aufrufen.

Soweit im Rahmen der Nutzung personenbezogene Daten natürlicher Personen verarbeitet werden – insbesondere beim Aufruf von Kurzlinks oder beim Scannen von QR-Codes – erfolgt die Verarbeitung ausschließlich im Einklang mit den geltenden datenschutzrechtlichen Vorschriften, insbesondere der Datenschutz-Grundverordnung (DSGVO). Dies gilt unabhängig davon, dass sich unser Vertragsangebot ausschließlich an Unternehmer richtet.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

Xiosys UG (haftungsbeschränkt)
Nunsdorfer Ring 2-10
12277 Berlin
vertreten durch den Geschäftsführer Andreas Nies

Online-Kontakt: https://qr-guru.de/kontakt
Telefon: 030 6606 2638
Internet: https://qr-guru.de
Vollständige Kontaktdaten: Impressum

2. Datenschutzkontakt

Ein Datenschutzbeauftragter wurde derzeit nicht bestellt, da keine gesetzliche Verpflichtung zur Benennung nach Art. 37 DSGVO i.V.m. § 38 BDSG besteht.

Bei Fragen zum Datenschutz wenden Sie sich bitte an uns:

• Online-Formular: https://qr-guru.de/kontakt (Kategorie „Datenschutzanfrage")
• Postanschrift: Xiosys UG (haftungsbeschränkt) z. Hd. Datenschutz, Nunsdorfer Ring 2-10, 12277 Berlin

3. Allgemeines zur Datenverarbeitung

Begriffsbestimmungen

Diese Datenschutzerklärung verwendet die Begriffe der DSGVO. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Name, E-Mail-Adresse, Telefonnummer, IP-Adresse etc.). Die weiteren datenschutzrechtlichen Begrifflichkeiten richten sich nach den Definitionen des Art. 4 DSGVO.

Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf Grundlage der jeweils einschlägigen gesetzlichen Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung der betroffenen Person
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung oder vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen

Datenminimierung als Grundprinzip

Wir beachten den Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c DSGVO. Dies bedeutet insbesondere:

• Das Hosting und der Betrieb unserer Plattform erfolgen auf Serverinfrastruktur der IONOS SE in Deutschland. Der Versand transaktionaler E-Mails (Bestätigungs-, Erinnerungs- und Service-Mails) erfolgt über die Sendinblue SAS (Markenname Brevo) mit Sitz in Paris (Frankreich) und Verarbeitung innerhalb der EU. Der Empfang von E-Mails an Geschäftskonten sowie ein geplantes Off-Provider-Backup (verschlüsselt) erfolgt über die Hetzner Online GmbH in Deutschland. Eine Übermittlung personenbezogener Daten in Drittländer erfolgt nach aktuellem Stand nicht.
• IP-Adressen werden nicht dauerhaft im Klartext gespeichert. Je nach Verarbeitungszweck erfolgt entweder (a) eine Anonymisierung durch Kürzung der IP-Adresse vor der Speicherung (IPv4: letztes Oktett auf 0, IPv6: letzte 80 Bit auf 0; entspricht Art. 4 Nr. 5 DSGVO) für statistische und reichweitenmessende Zwecke oder (b) eine Pseudonymisierung mittels eines mit geheimem Salt gebildeten und tagesweise rotierenden SHA-256-Hashes für Sicherheits- und Missbrauchsabwehrzwecke. Eine direkte Rückidentifizierung der Person ist in beiden Fällen technisch nicht möglich.
• Beim Aufruf von Scan-Events (dynamische QR-Codes/Kurzlinks) wird die vollständige IP-Adresse ausschließlich während der laufenden Verarbeitung im Arbeitsspeicher gehalten und für maximal 24 Stunden im Klartext für Sicherheitszwecke vorgehalten. Anschließend erfolgt ausschließlich die Speicherung als tagesweise rotierender SHA-256-Hash (Pseudonymisierung).
• Es werden ausschließlich technisch erforderliche Cookies eingesetzt. Tracking-Cookies, Drittanbieter-Cookies oder Profiling-Technologien kommen nicht zum Einsatz. Soweit ausschließlich technisch erforderliche Cookies verwendet werden, besteht keine Pflicht zur Einholung einer Einwilligung gemäß § 25 Abs. 2 TDDDG.
• Schriftarten, Bilder, Skripte und sonstige statische Inhalte werden lokal bzw. über eigene Server bereitgestellt. Eine Einbindung externer Tracking- oder Analysedienste (Google Fonts, Google Analytics, Meta Pixel etc.) erfolgt derzeit nicht.
• Personenbezogene Daten von Endnutzern werden nicht zum Training von KI- oder Machine-Learning-Modellen verwendet.

Passwort-Hashing (Argon2id)

Zugangsdaten (Passwörter) werden ausschließlich in gehashter Form gespeichert. Wir verwenden das Hashverfahren Argon2id mit den Parametern memory_cost 64 MB, time_cost 4 und 1 Thread. Argon2id ist der aktuelle Empfehlung des BSI und OWASP entsprechend speicherintensiv und resistent gegen GPU- und ASIC-basierte Angriffe. Eine Speicherung von Klartext-Passwörtern erfolgt nicht.

4. Datenverarbeitung beim Besuch unserer Webseite

Server-Logfiles

Bei jedem Aufruf unserer Webseiten werden durch den Webserver automatisch Informationen erfasst. Diese können insbesondere folgende Daten umfassen:

• Vor der dauerhaften Speicherung gekürzte IP-Adresse (IPv4: letztes Oktett auf 0, IPv6: letzte 80 Bit auf 0; Anonymisierung nach Art. 4 Nr. 5 DSGVO)
• Datum und Uhrzeit des Zugriffs einschließlich Zeitzone
• Name und URL der abgerufenen Datei, HTTP-Statuscode und übertragene Datenmenge
• Referrer-URL, Browser- und Betriebssystem-Angaben

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit und Stabilität). Server-Logfiles werden grundsätzlich nach 180 Tagen automatisch gelöscht.

Cookies

Wir verwenden ausschließlich technisch erforderliche Cookies. Analyse- oder Marketing-Cookies werden nicht eingesetzt. Eine datenschutzfreundliche, cookielose Reichweitenmessung mittels selbstgehostetem Matomo bleibt hiervon unberührt. Keine Verpflichtung zur Einwilligung gemäß § 25 Abs. 2 TDDDG.

Name	Zweck	Speicherdauer	Rechtsgrundlage
PHPSESSID	Aufrechterhaltung der Login-Sitzung	Browser-Sitzung	Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG
qrg_guest	Zählt kostenlose QR-Code-Downloads für nicht eingeloggte Nutzer (Missbrauchsschutz)	30 Tage	Art. 6 Abs. 1 lit. f DSGVO; § 25 Abs. 2 Nr. 2 TDDDG

Nicht eingesetzte Tracking- und Drittanbieterdienste

Zur datenschutzfreundlichen Reichweitenmessung verwenden wir ausschließlich eine selbstgehostete und cookielose Instanz von Matomo auf eigener Serverinfrastruktur in Deutschland. Darüber hinaus verzichten wir bewusst auf: Google Analytics, Google Tag Manager, Google Ads, Meta Pixel, LinkedIn Insight Tag, TikTok Pixel, Session-Replay-Tools (Hotjar, Mixpanel, Clarity), extern eingebundene Google Fonts sowie externe Content Delivery Networks.

Reichweitenmessung mit Matomo

Wir verwenden Matomo in selbstgehosteter, cookieloser Konfiguration auf eigener Serverinfrastruktur in Deutschland. Es erfolgt keine Speicherung vollständiger IP-Adressen, keine Erstellung personenbezogener Nutzungsprofile und keine Weitergabe an Dritte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5. Kontaktaufnahme und Lead-Formular

Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die übermittelten personenbezogenen Daten ausschließlich zum Zweck der Bearbeitung und Beantwortung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet wurde und keine gesetzlichen Aufbewahrungspflichten mehr bestehen (i.d.R. 6 Jahre gemäß § 257 HGB bzw. 10 Jahre gemäß § 147 AO).

Kontaktformular auf qr-guru.de

Auf unserer Webseite stellen wir ein Kontaktformular zur Verfügung. Dabei können insbesondere folgende Daten verarbeitet werden: E-Mail-Adresse, Name, Firma/Organisation, Funktion, Nachrichteninhalt, Zeitpunkt der Übermittlung sowie eine pseudonymisierte IP-Adresse zur Spam- und Missbrauchsabwehr (SHA-256-Hash mit geheimem Salt und tagesweiser Rotation).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (Spam- und Missbrauchsabwehr).

Hinweis: Wir bitten darum, E-Mail-Anfragen ausschließlich über unser Kontaktformular zu stellen. Die Adresse kontakt@qr-guru.de ist ausschließlich für das Impressum und Pflichtangaben nach § 5 DDG angegeben.

Hinweis zu Lead-Formularen auf Mini-Landingpages unserer Kunden

Soweit Lead-Formulare auf Mini-Landingpages genutzt werden, die durch unsere Geschäftskunden über die Plattform erstellt wurden, erfolgt die Verarbeitung personenbezogener Daten grundsätzlich im Verantwortungsbereich des jeweiligen Kunden. qr-guru.de verarbeitet die Daten ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO.

6. Registrierung und Kundenkonto

Registrierung als Geschäftskunde

Zur Nutzung unserer Plattform ist eine Registrierung als Geschäftskunde erforderlich. Dabei können insbesondere folgende Daten verarbeitet werden:

• E-Mail-Adresse (Pflichtfeld)
• Passwort in gehashter Form (Argon2id, Parameter: memory_cost 64 MB, time_cost 4, threads 1)
• Firma / Organisation (Pflichtfeld)
• Art der Organisation (z.B. Unternehmen, Freiberufler, Behörde, Verein oder Bildungseinrichtung)
• Bestätigung der Unternehmereigenschaft gemäß § 14 BGB mittels nicht vorausgewählter Checkbox
• Zeitpunkt der Registrierung sowie Zeitpunkt der Bestätigung der Unternehmereigenschaft
• Jeweils zum Registrierungszeitpunkt gültige Versionen der AGB und Datenschutzhinweise
• Pseudonymisierte IP-Adresse zur Spam- und Missbrauchsabwehr (SHA-256-Hash mit geheimem Salt und tagesweiser Rotation)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchsprävention).

Steuerrechtliche Pflichten bei kostenpflichtigen Tarifen

Soweit Sie einen kostenpflichtigen Tarif buchen, verarbeiten wir zusätzlich: Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer (soweit vorhanden), Zahlungsmittelinformationen (technisch über Stripe abgewickelt – siehe Abschnitt 9), Bestell-, Rechnungs- und Zahlungshistorie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO. Speicherdauer: Rechnungsdaten werden gemäß § 147 AO und § 257 HGB für 10 Jahre aufbewahrt.

USt-ID-Prüfung über VIES

Soweit Sie eine Umsatzsteuer-Identifikationsnummer (USt-IdNr.) angeben, prüfen wir deren Gültigkeit über das „VAT Information Exchange System" (VIES) der Europäischen Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Verpflichtungen) sowie Art. 6 Abs. 1 lit. b DSGVO.

7. Datenverarbeitung im Kernprodukt

Erstellung statischer QR-Codes

Beim Erstellen eines statischen QR-Codes wird die eingegebene Ziel-URL oder der eingegebene Inhalt lediglich in die optische QR-Code-Repräsentation umgewandelt. Statische QR-Codes werden, sofern Sie nicht eingeloggt sind, nicht in unserer Datenbank gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Erstellung dynamischer QR-Codes und Short-Links

Bei dynamischen QR-Codes und Kurzlinks wird eine generierte Kurzkennung mit einer vom Nutzer hinterlegten Zieladresse (URL) verknüpft. Verarbeitete Daten: hinterlegte Ziel-URL, generierte Kurzkennung, Zeitpunkt der Erstellung, Zuordnung zum Kundenkonto, optional UTM-Parameter und Branding-Konfigurationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Tracking-Daten beim Aufruf eines Short-Links oder QR-Code-Scans

Beim Aufruf dynamischer QR-Codes oder Kurzlinks werden folgende technische Zugriffsdaten verarbeitet:

• Zeitpunkt des Aufrufs
• Vor der Speicherung gekürzte IP-Adresse (Anonymisierung nach Art. 4 Nr. 5 DSGVO) — Klartext-IP: max. 24 Stunden, danach ausschließlich tagesweise rotierender SHA-256-Hash (Pseudonymisierung)
• Grobe geografische Zuordnung auf Basis der IP-Adresse (Land/Region)
• Browser-, Betriebssystem- und Geräteangaben (User-Agent), Referrer-Informationen, Spracheinstellungen
• Optional übermittelte UTM-Parameter

Es werden keine Tracking-Cookies, kein Local Storage, keine geräteübergreifenden Identifier und keine Fingerprinting-Technologien eingesetzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Aggregierte statistische Auswertungen ohne Personenbezug können dauerhaft gespeichert werden. Technische Zugriffsdaten und pseudonymisierte Einzelereignisse werden grundsätzlich spätestens nach 90 Tagen gelöscht oder in aggregierte statistische Daten überführt.

Mini-Landingpages und Hosting im Kundenauftrag

Soweit Geschäftskunden über unsere Plattform eigene Mini-Landingpages erstellen und veröffentlichen, ist der jeweilige Geschäftskunde Verantwortlicher im Sinne der DSGVO. qr-guru.de verarbeitet personenbezogene Daten im Zusammenhang mit dem Hosting als Auftragsverarbeiter gemäß Art. 28 DSGVO.

8. Audit-Log

Zur Gewährleistung der Sicherheit, Nachvollziehbarkeit und Integrität unserer Plattform führen wir interne Audit- und Sicherheitsprotokolle. Diese können insbesondere folgende sicherheitsrelevante Aktionen protokollieren: Anmeldevorgänge, Passwortänderungen, Datenexporte, Bestätigungen der Unternehmereigenschaft, sicherheitsrelevante Änderungen im Kundenkonto.

Die Protokolle dienen ausschließlich internen Sicherheits-, Compliance- und Missbrauchspräventionszwecken und sind nur für autorisierte Personen zugänglich. Speicherdauer: grundsätzlich zwölf Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Auftragsverarbeitung und eingesetzte Dienstleister

Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, werden Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO abgeschlossen. Wir verarbeiten personenbezogene Daten möglichst innerhalb der EU/des EWR.

Änderungen bei Subprozessoren: Bei wesentlichen Änderungen (Hinzufügung oder Austausch von Subprozessoren) werden registrierte Nutzer mindestens 30 Tage im Voraus per E-Mail informiert, sofern dies nach Art. 28 Abs. 2 DSGVO und dem geschlossenen AVV erforderlich ist.

Anbieter	Funktion	Sitz	Rechtsgrundlage
IONOS SE	Webhosting, Server	Montabaur, Deutschland	Auftragsverarbeitung gem. Art. 28 DSGVO
Sendinblue SAS (Brevo)	SMTP-Versand transaktionaler E-Mails	Paris, Frankreich (EU)	Auftragsverarbeitung gem. Art. 28 DSGVO
Hetzner Online GmbH	Webhosting-Tarif mit E-Mail-Konten (Inbound-E-Mail); geplant: Storage Box (verschlüsseltes Off-Provider-Backup)	Gunzenhausen / Falkenstein, Deutschland	Auftragsverarbeitung gem. Art. 28 DSGVO
PayPal (Europe) S.à r.l. et Cie, S.C.A.	Zahlungsabwicklung	Luxemburg (EU)	Eigenständige datenschutzrechtliche Verantwortlichkeit
Stripe Payments Europe Ltd.	Zahlungsabwicklung (Abonnements, kostenpflichtige Tarife)	Luxemburg (EU)	Eigenständige datenschutzrechtliche Verantwortlichkeit
Easybill GmbH	Rechnungserstellung und Buchhaltung	Roth, Deutschland	Auftragsverarbeitung gem. Art. 28 DSGVO
Steuerberater	Steuerberatung und steuerrechtliche Verarbeitung	Deutschland	Eigenständige Verantwortlichkeit aufgrund gesetzlicher Berufspflichten
Europäische Kommission (VIES)	USt-ID-Prüfung	Brüssel, Belgien	Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung)

Geschäftskunden können den Auftragsverarbeitungsvertrag (AVV) mit der Xiosys UG über ihr Kundenkonto unter „Recht & Datenschutz" abrufen und herunterladen.

10. DSA-Meldeverfahren (Art. 16 Digital Services Act)

Wir stellen ein elektronisches Verfahren zur Meldung mutmaßlich rechtswidriger Inhalte bereit, das den Anforderungen des Art. 16 der Verordnung (EU) 2022/2065 („Digital Services Act" – DSA) entspricht. Im Rahmen der Nutzung des Meldeformulars unter qr-guru.de/dsa-meldung können insbesondere folgende Daten verarbeitet werden: Name (freiwillig), E-Mail-Adresse, Verhältnis zur Meldung, beanstandete URL, Kategorie der Meldung, Beschreibung des Sachverhalts, Zeitpunkt der Übermittlung sowie pseudonymisierte IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtungen aus dem DSA) sowie Art. 6 Abs. 1 lit. f DSGVO. Meldungen und zugehörige Dokumentationen werden grundsätzlich für die Dauer der Bearbeitung sowie zur Erfüllung gesetzlicher Nachweis- und Dokumentationspflichten gespeichert, mindestens fünf Jahre gemäß DSA-Anforderungen.

Kontaktstelle gemäß Art. 11 und 12 DSA

Online: https://qr-guru.de/kontakt (Kategorie „Meldung rechtswidriger Inhalte (DSA)")
Postanschrift: Xiosys UG (haftungsbeschränkt), Nunsdorfer Ring 2-10, 12277 Berlin
Verfügbare Kommunikationssprachen: Deutsch und Englisch

11. Datensicherheit (Art. 32 DSGVO)

Wir treffen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um personenbezogene Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen. Zu den eingesetzten Sicherheitsmaßnahmen gehören insbesondere:

• Betrieb auf Serverinfrastruktur in Deutschland
• Verschlüsselte Datenübertragung mittels TLS/HTTPS
• Einsatz technischer Sicherheitsmechanismen und Sicherheitsheader
• Sichere Speicherung von Zugangsdaten mittels Argon2id (memory_cost 64 MB, time_cost 4, threads 1)
• Pseudonymisierte Verarbeitung von IP-Adressen
• Maßnahmen zur Erkennung und Abwehr missbräuchlicher Zugriffe
• Zugriffsbeschränkungen und rollenbasierte Berechtigungskonzepte
• Regelmäßige Sicherheitsupdates und Wartungsmaßnahmen
• Verschlüsselte Backups und Wiederherstellungskonzepte
• Protokollierung sicherheitsrelevanter Vorgänge

Trotz aller Maßnahmen kann eine vollständige Sicherheit der Datenverarbeitung im Internet nicht garantiert werden.

12. Ihre Rechte als betroffene Person

Zur Ausübung Ihrer Rechte kontaktieren Sie uns über das Kontaktformular (Kategorie „Datenschutzanfrage") oder per Brief an die im Impressum genannte Anschrift.

• Recht auf Auskunft (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre verarbeiteten personenbezogenen Daten zu verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unrichtige Daten unverzüglich berichtigen zu lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern kein gesetzlicher Aufbewahrungsgrund entgegensteht.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem maschinenlesbaren Format zu erhalten.
• Recht auf Widerspruch (Art. 21 DSGVO): Soweit Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, können Sie jederzeit Widerspruch einlegen.
• Recht auf Beschwerde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
www.datenschutz-berlin.de

13. Aktualität und Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird regelmäßig überprüft und bei Bedarf angepasst. Die jeweils aktuelle Fassung ist jederzeit unter https://qr-guru.de/datenschutz abrufbar. Soweit wesentliche Änderungen erfolgen, die Auswirkungen auf die Verarbeitung personenbezogener Daten haben, werden registrierte Nutzer hierüber per E-Mail an die im Kundenkonto hinterlegte Adresse informiert.

Stand: 17.05.2026 — Version 1.0