Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

2. Welche Daten wir erheben

2.1 Bei Registrierung und Nutzung des Dienstes

2.2 Beim Aufruf öffentlicher DPP-Seiten

Beim Aufruf einer öffentlichen Produktpassseite (z. B. beim Scannen eines QR-Codes) werden ausschließlich die Produkt-Kennung, der Zeitpunkt des Aufrufs und der von Cloudflare bereitgestellte Ländercode gespeichert. Die IP-Adresse wird nicht gespeichert und an keinen Drittdienst übermittelt. Browser-/Geräteinformationen und die aufrufende Seite (Referrer) werden nicht erfasst.

3. Zweck der Verarbeitung

• Bereitstellung und Betrieb des InciPass-Dienstes (Digitale Produktpässe erstellen, verwalten, veröffentlichen)
• Authentifizierung und Kontoverwaltung
• Abrechnung und Zahlungsabwicklung (Plan-Management)
• Einhaltung gesetzlicher Pflichten (Steuer, ESPR-Konformität, Impressumspflicht)
• Sicherheit: Erkennung und Abwehr von Missbrauch, DDoS-Schutz
• Aggregierte Nutzungsstatistiken zur Verbesserung des Dienstes (keine Einzelprofile)
• Transaktions-E-Mails (Bestätigung, Passwort-Reset) – kein Newsletter ohne ausdrückliche Einwilligung

4. Rechtsgrundlage (Art. 6 DSGVO)

5. Speicherdauer

• Kontodaten: Für die Dauer der Vertragsbeziehung, danach 30 Tage Löschfrist nach Kündigung.
• Produktdaten: Für die Dauer der Nutzung; nach Löschung durch den Nutzer werden Daten innerhalb von 30 Tagen aus Backups entfernt.
• Rechnungen und steuerrelevante Daten: 10 Jahre gemäß § 147 AO.
• QR-Scan-Protokolle: Pro Aufruf einer öffentlichen DPP-Seite wird eine Zeile mit Produkt-Kennung, Zeitstempel und Cloudflare-Ländercode gespeichert – keine IP-Adresse, keine Browser- oder Referrer-Daten.
• Auswertung: Die gespeicherten Scan-Zeilen werden ausschließlich aggregiert nach Ländern und Tagen dargestellt (30-Tage-Übersicht).

6. Support-Chat und Anfragen

Wenn Sie den Support-Chat benutzen, wird der vollständige Gesprächsverlauf gespeichert — Ihre Nachrichten und die Antworten des Assistenten. Legen Sie daraus eine Anfrage an, werden Verlauf, Betreff, Nachricht und Ihre E-Mail-Adresse zusammen abgelegt.

Eine Anfrage können Sie auch ohne Konto und ohne Chat stellen. Dann werden nur Betreff, Nachricht und Ihre E-Mail-Adresse gespeichert — kein Gesprächsverlauf, und mit derselben Frist.

Ihre IP-Adresse wird dabei nicht gespeichert. Sie wird ausschließlich flüchtig für die Begrenzung der Anfragezahl verwendet.

Für die Antworten des Assistenten wird Ihre Nachricht an Mistral AI (Paris, Frankreich) übermittelt. Die Verarbeitung findet in der EU statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags, hier: Unterstützung bei der Nutzung).

7. Datenweitergabe an Dritte

Wir geben Ihre personenbezogenen Daten grundsätzlich nicht an Dritte weiter, es sei denn, dies ist zur Vertragserfüllung erforderlich oder gesetzlich vorgeschrieben.

Eingesetzte Auftragsverarbeiter

Mit allen Auftragsverarbeitern wurden Verträge zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen. Eine Weitergabe an Drittstaaten außerhalb der EU/EWR findet nicht statt.

8. Cookies & Tracking

InciPass verwendet ausschließlich technisch notwendige Cookies. Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt.

Alle weiteren Präferenzen (Dark Mode, Sprachauswahl) sowie ungespeicherte Produktentwürfe werden ausschließlich lokal in Ihrem Browser (localStorage) gespeichert. Entwürfe werden nach dem Speichern des Produkts sowie bei der Abmeldung automatisch gelöscht; der lokale Entwurf selbst wird nicht an unsere Server übertragen.

Reichweitenmessung mit Matomo

Zur Verbesserung unseres Angebots erheben wir anonyme Nutzungsstatistiken mit Matomo. Matomo läuft auf unserem eigenen Server in Deutschland — es werden keine Daten an Dritte, insbesondere nicht in Drittländer, übermittelt.

Ihre IP-Adresse wird vor jeder Speicherung um die letzten zwei Bytes gekürzt (z. B. 203.0.113.42 wird zu 203.0.0.0). Ein Rückschluss auf Ihre Person ist damit nicht möglich. Auch die Herkunftsadresse (Referrer) wird um den Pfad gekürzt.

Die Rohdaten werden nach sechs Monaten automatisch gelöscht. Erhalten bleiben lediglich aggregierte Berichte (z. B. „Seitenaufrufe im Juli"), die keinerlei Personenbezug mehr aufweisen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Gestaltung unseres Angebots nach Art. 6 Abs. 1 lit. f DSGVO. Da ohne Cookies und mit gekürzter IP-Adresse gearbeitet wird, ist der Eingriff in Ihre Rechte denkbar gering.

Die „Do Not Track"-Einstellung Ihres Browsers wird respektiert: ist sie aktiv, findet keinerlei Messung statt.

Widerspruch gegen die Messung

Sie können dem Einsatz von Matomo jederzeit formlos widersprechen — eine E-Mail an die im Impressum genannte Adresse genügt, eine Begründung ist nicht nötig. Ihr Widerspruchsrecht nach Art. 21 DSGVO besteht unabhängig davon. Unabhängig von einem Widerspruch findet keine Messung statt, wenn Ihr Browser „Do Not Track" sendet.

Zählung der Wissensseiten

Auf den deutschen Wissensseiten unter /inci/, /konservierungsstoffe/ und /seifenrezept-inci/ wird jeder Aufruf gezählt. Gespeichert werden ausschließlich vier Angaben: der aufgerufene Pfad, der Zeitpunkt, der Ländercode aus der Cloudflare-Randangabe und eine abgeleitete Klasse (suchmaschine, ki-crawler, werkzeug oder browser).

Zweck ist eine einzige Frage: ob Suchmaschinen diese Seiten überhaupt abholen und ob sie sie ein zweites Mal abholen. Es findet keine Zusammenführung mit anderen Daten statt, es entsteht kein Profil, und einzelne Personen sind aus diesen Zeilen nicht erkennbar. Die drei Seitengruppen werden getrennt ausgewertet — sie sind zu verschiedenen Zeitpunkten erschienen, und in einem Topf ließe sich hinterher nicht mehr sagen, welche davon abgeholt wurde.

Die Zeilen werden nach 180 Tagen automatisch gelöscht. Die Löschung erfolgt durch einen täglichen Räumlauf, nicht auf Zuruf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, die Auffindbarkeit des eigenen Angebots zu messen. Da weder IP noch Kennung gespeichert werden, ist eine Zuordnung zu einer Person nach unserem Kenntnisstand nicht möglich.

9. Hosting & technische Infrastruktur

Der Dienst wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Alle Daten werden ausschließlich in der EU gespeichert und verarbeitet. Die Übertragung erfolgt verschlüsselt via TLS 1.3 (HTTPS).

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Datenschutzerklärung Hetzner

10. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte gegenüber uns:

Zur Ausübung Ihrer Rechte wenden Sie sich an: [email protected]. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.

Unbeschadet davon haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW.

11. Datenschutzkontakt

Diese Datenschutzerklärung wurde zuletzt im April 2026 aktualisiert. Wir behalten uns vor, diese Erklärung bei Änderungen des Dienstes oder der Rechtslage anzupassen. Die jeweils aktuelle Version ist unter incipass.eu/datenschutz abrufbar.