Datenschutzerklärung
Stand: April 2026 · Verantwortlicher: Ilker Usanmaz, InciPass.eu
Inhaltsverzeichnis
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
InciPass.eu
Albert-Altwicker-Str. 31, 47445 Moers, Deutschland
E-Mail: [email protected]
2. Welche Daten wir erheben
2.1 Bei Registrierung und Nutzung des Dienstes
| Datenkategorie | Konkrete Daten | Pflichtfeld? |
|---|---|---|
| Kontaktdaten | E-Mail-Adresse | Ja |
| Authentifizierung | Passwort-Hash (bcrypt) | Ja |
| Unternehmensdaten | Firmenname, Adresse, Land, Telefon | Teilweise |
| Produktdaten | Produktname, Inhaltsstoffe, Bilder, Dokumente | Je nach Nutzung |
| Nutzungsdaten | Login-Zeitpunkte, QR-Scan-Protokolle (Produkt-Kennung, Zeitpunkt, Ländercode) | Automatisch |
| Technische Daten | Session-ID (technisch notwendiges Cookie) | Automatisch |
2.2 Beim Aufruf öffentlicher DPP-Seiten
Beim Aufruf einer öffentlichen Produktpassseite (z. B. beim Scannen eines QR-Codes) werden ausschließlich die Produkt-Kennung, der Zeitpunkt des Aufrufs und der von Cloudflare bereitgestellte Ländercode gespeichert. Die IP-Adresse wird nicht gespeichert und an keinen Drittdienst übermittelt. Browser-/Geräteinformationen und die aufrufende Seite (Referrer) werden nicht erfasst.
3. Zweck der Verarbeitung
- Bereitstellung und Betrieb des InciPass-Dienstes (Digitale Produktpässe erstellen, verwalten, veröffentlichen)
- Authentifizierung und Kontoverwaltung
- Abrechnung und Zahlungsabwicklung (Plan-Management)
- Einhaltung gesetzlicher Pflichten (Steuer, ESPR-Konformität, Impressumspflicht)
- Sicherheit: Erkennung und Abwehr von Missbrauch, DDoS-Schutz
- Aggregierte Nutzungsstatistiken zur Verbesserung des Dienstes (keine Einzelprofile)
- Transaktions-E-Mails (Bestätigung, Passwort-Reset) – kein Newsletter ohne ausdrückliche Einwilligung
4. Rechtsgrundlage (Art. 6 DSGVO)
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Vertragserfüllung (Bereitstellung des Dienstes) | Art. 6 Abs. 1 lit. b DSGVO |
| Gesetzliche Aufbewahrungspflichten (Rechnungen etc.) | Art. 6 Abs. 1 lit. c DSGVO |
| Technisch notwendige Cookies und Session-Daten | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Sicherheitsprotokollierung | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Newsletter / Marketing-E-Mails | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) – derzeit nicht aktiv |
5. Speicherdauer
- Kontodaten: Für die Dauer der Vertragsbeziehung, danach 30 Tage Löschfrist nach Kündigung.
- Produktdaten: Für die Dauer der Nutzung; nach Löschung durch den Nutzer werden Daten innerhalb von 30 Tagen aus Backups entfernt.
- Rechnungen und steuerrelevante Daten: 10 Jahre gemäß § 147 AO.
- QR-Scan-Protokolle: Pro Aufruf einer öffentlichen DPP-Seite wird eine Zeile mit Produkt-Kennung, Zeitstempel und Cloudflare-Ländercode gespeichert – keine IP-Adresse, keine Browser- oder Referrer-Daten.
- Auswertung: Die gespeicherten Scan-Zeilen werden ausschließlich aggregiert nach Ländern und Tagen dargestellt (30-Tage-Übersicht).
6. Support chat and requests
When you use the support chat, the complete conversation is stored — your messages and the assistant's replies. If you turn it into a request, the conversation, subject, message and your e-mail address are stored together.
You can also send a request without an account and without a chat. Only the subject, the message and your email address are stored then — no conversation, and with the same retention period.
Your IP address is not stored. It is used only transiently, to limit the number of requests.
To produce the assistant's replies, your message is sent to Mistral AI (Paris, France). Processing takes place within the EU.
The legal basis is Art. 6(1)(b) GDPR (performance of the contract of use — here: support in using the service).
7. Datenweitergabe an Dritte
Wir geben Ihre personenbezogenen Daten grundsätzlich nicht an Dritte weiter, es sei denn, dies ist zur Vertragserfüllung erforderlich oder gesetzlich vorgeschrieben.
Eingesetzte Auftragsverarbeiter
| Dienstleister | Zweck | Sitz |
|---|---|---|
| Hetzner Online GmbH | Hosting / Server-Infrastruktur | Deutschland (EU) |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland (EU) |
| Mistral AI SAS | AI replies in the support chat and AI features in the product form | France (EU) |
Mit allen Auftragsverarbeitern wurden Verträge zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen. Eine Weitergabe an Drittstaaten außerhalb der EU/EWR findet nicht statt.
8. Cookies & Tracking
InciPass verwendet ausschließlich technisch notwendige Cookies. Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt.
| Cookie | Zweck | Laufzeit |
|---|---|---|
session | Anmeldesitzung (verschlüsselt) | Sitzungsende / 30 Tage bei "Angemeldet bleiben" |
csrf_token | CSRF-Schutz für Formulare | Sitzungsende |
Alle weiteren Präferenzen (Dark Mode, Sprachauswahl) sowie ungespeicherte Produktentwürfe werden ausschließlich lokal in Ihrem Browser (localStorage) gespeichert. Entwürfe werden nach dem Speichern des Produkts sowie bei der Abmeldung automatisch gelöscht; der lokale Entwurf selbst wird nicht an unsere Server übertragen.
Audience measurement with Matomo
To improve our service we collect anonymous usage statistics using Matomo. Matomo runs on our own server in Germany — no data is passed to third parties, and none leaves for countries outside the EU.
Your IP address is truncated by its last two bytes before it is stored (203.0.113.42 becomes 203.0.0.0, for example), so it cannot be traced back to you. The referring address is likewise stripped of its path.
Raw data is deleted automatically after six months. Only aggregated reports remain (such as "page views in July"), which no longer relate to any individual.
The legal basis is our legitimate interest in shaping our service to actual demand, under Art. 6(1)(f) GDPR. As we work without cookies and with a truncated IP address, the interference with your rights is minimal.
Your browser's "Do Not Track" setting is respected: if it is switched on, no measurement takes place at all.
Objecting to measurement
You may object to the use of Matomo at any time, informally — an e-mail to the address given in our legal notice is enough, and no reason is required. Your right to object under Art. 21 GDPR exists regardless. Independently of any objection, no measurement takes place if your browser sends "Do Not Track".
Counting of the knowledge pages
Every request to the German knowledge pages under /inci/, /konservierungsstoffe/ and /seifenrezept-inci/ is counted. Only four items are stored: the requested path, the time, the country code from Cloudflare’s edge header, and a derived class (suchmaschine, ki-crawler, werkzeug or browser).
The purpose is a single question: whether search engines fetch these pages at all, and whether they fetch them a second time. No merging with other data takes place, no profile is created, and individual people cannot be recognised from these rows. The three groups of pages are evaluated separately — they went online on different dates, and in one pot it would no longer be possible to say which of them was fetched.
The rows are deleted automatically after 180 days. Deletion is carried out by a daily sweep, not on request.
The legal basis is Art. 6(1)(f) GDPR — the legitimate interest in measuring whether our own offering can be found. As neither IP nor identifier is stored, attribution to a person is, to our knowledge, not possible.
9. Hosting & technische Infrastruktur
Der Dienst wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Alle Daten werden ausschließlich in der EU gespeichert und verarbeitet. Die Übertragung erfolgt verschlüsselt via TLS 1.3 (HTTPS).
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Datenschutzerklärung Hetzner
10. Ihre Rechte als betroffene Person
Sie haben gemäß DSGVO folgende Rechte gegenüber uns:
Auskunft (Art. 15)
Auskunft über die zu Ihrer Person gespeicherten Daten.
Berichtigung (Art. 16)
Berichtigung unrichtiger personenbezogener Daten.
Löschung (Art. 17)
Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten bestehen.
Einschränkung (Art. 18)
Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
Datenportabilität (Art. 20)
Übertragung Ihrer Daten in einem maschinenlesbaren Format.
Widerspruch (Art. 21)
Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen.
Zur Ausübung Ihrer Rechte wenden Sie sich an: [email protected]. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.
Unbeschadet davon haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW.
11. Datenschutzkontakt
Ilker Usanmaz – Datenschutzverantwortlicher
E-Mail: [email protected]
Adresse: Albert-Altwicker-Str. 31, 47445 Moers, Deutschland
Diese Datenschutzerklärung wurde zuletzt im April 2026 aktualisiert. Wir behalten uns vor, diese Erklärung bei Änderungen des Dienstes oder der Rechtslage anzupassen. Die jeweils aktuelle Version ist unter incipass.eu/datenschutz abrufbar.