Datenschutzerklärung

Verantwortlicher im Sinne der DSGVO und sonstiger datenschutzrechtlicher Bestimmungen ist:

Einen Datenschutzbeauftragten haben wir nicht bestellt, da hierzu keine gesetzliche Verpflichtung besteht.

Scanee ist eine Plattform für digitale Stempel- und Kundenkarten, die lokale Geschäfte (Merchants) ihren Endkundinnen und Endkunden in Apple Wallet zur Verfügung stellen — ohne App-Installation und ohne verpflichtende Endkunden-Registrierung. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist.

Für die Daten, die ein Geschäft (Merchant) über seine eigenen Endkundinnen und Endkunden erhebt und in der Plattform verarbeitet, ist das jeweilige Geschäft datenschutzrechtlich verantwortlich. Die Leadscape GmbH handelt insoweit als Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage des mit dem Geschäft geschlossenen Vertrags. Für den Betrieb der Plattform selbst (z. B. Merchant-Konten, technische Logs) ist die Leadscape GmbH Verantwortliche.

Wir betreiben Scanee nicht auf eigenen Servern, sondern setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen ist:

• Vercel Inc. (Hosting der Anwendung und Auslieferung der Web-Inhalte). Beim Aufruf der Seiten werden technisch notwendige Server-Logfiles verarbeitet (siehe Ziffer 4). Vercel ist ein Unternehmen mit Sitz in den USA; Daten können in Drittländer übermittelt werden (siehe Ziffer 8).
• Supabase Inc. (Datenbank, Authentifizierung und Datei-Speicher). Hier werden die Konto- und Anwendungsdaten gespeichert. Die von uns genutzte Datenbank-Region liegt in der Europäischen Union (Frankfurt am Main, eu-central-1).
• Apple Inc. (Bereitstellung der Wallet-Pässe und Push-Aktualisierungen über den Apple Push Notification service, APNs). Sitz in den USA (siehe Ziffer 6 und 8).

Rechtsgrundlage für den Einsatz der Dienstleister ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO) sowie die Erfüllung unserer vertraglichen Pflichten (Art. 6 Abs. 1 lit. b DSGVO).

Bei jedem Aufruf unserer Plattform erfasst das System unseres Hosters automatisiert Daten und Informationen vom Endgerät des aufrufenden Rechners. Hierzu können gehören: IP-Adresse (in der Regel gekürzt bzw. nur temporär), Datum und Uhrzeit des Zugriffs, aufgerufene URL, übertragene Datenmenge, Referrer, verwendeter Browser-Typ und Betriebssystem.

Zweck: technische Auslieferung, Stabilität und Sicherheit (Angriffserkennung, Fehleranalyse). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb). Diese Daten werden nicht mit anderen Datenquellen zusammengeführt.

Für die Nutzung des Dashboards legen Geschäfte ein Konto an. Die Registrierung und Anmeldung erfolgt mit E-Mail-Adresse und Passwort über unseren Dienstleister Supabase Auth.

Wir verarbeiten dabei insbesondere:

• E-Mail-Adresse und Passwort der anmeldenden Person (das Passwort wird ausschließlich gehasht durch Supabase Auth gespeichert)
• Anmelde- und Sitzungsdaten (Login-Zeitpunkte, Token)
• Stammdaten des Geschäfts (z. B. Name, Slug, Logo, Markenfarbe, Standort) sowie die im Betrieb erzeugten Inhalte (Kundenkarten, Stempel, Belohnungen, Kampagnen, Statistiken)

Zweck: Bereitstellung des Dashboards, Authentifizierung und Vertragsabwicklung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).

Endkundinnen und Endkunden erhalten eine digitale Stempelkarte in Apple Wallet, ohne ein eigenes Benutzerkonto anzulegen. Dabei werden folgende Daten verarbeitet:

• Name (Vor- und Nachname) der Kundin bzw. des Kunden, der bei der Erstellung der Karte erfasst wird.
• Optionale E-Mail-Adresse — nur, wenn die Kundin bzw. der Kunde diese aktiv angibt und dem ausdrücklich zustimmt (Opt-in). Ohne Einwilligung wird keine E-Mail erfasst.
• Karten- und Stempeldaten: Anzahl der Stempel, Belohnungsstatus, Zeitpunkte der Stempelvergabe (Audit/Verlauf), zufällig erzeugte Karten- und Seriennummern.
• Apple-Wallet-Registrierungen: Geräte-Kennung, Push-Token und Pass-Typ, damit aktualisierte Pässe an das Gerät ausgeliefert werden können (siehe Ziffer 7).

Zweck: Führung der Stempelkarte, Gutschrift von Stempeln und Belohnungen sowie — bei E-Mail-Opt-in — gegebenenfalls Information über Angebote. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Treueprogramms) sowie für die optionale E-Mail Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Die Stempelkarte wird als signierter Apple-Wallet-Pass (.pkpass) bereitgestellt. Damit Änderungen am Pass (z. B. ein neuer Stempel oder ein freigeschaltetes Angebot) auf dem Gerät aktualisiert werden, registriert sich das Gerät bei uns und Apple liefert die Aktualisierung über den Apple Push Notification service (APNs) aus.

Dabei werden Geräte-Kennung und Push-Token verarbeitet. Push-Hinweise auf dem Sperrbildschirm erscheinen ausschließlich bei einer tatsächlichen Feldänderung am Pass — es findet kein freier Werbe-Versand statt. Anbieter ist Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Funktion der Stempelkarte) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an aktuellen Pässen).

Bei der Nutzung von Vercel und Apple sowie ggf. Supabase können personenbezogene Daten in die USA übermittelt bzw. dort verarbeitet werden. Die USA gelten als Drittland ohne generell gleichwertiges Datenschutzniveau. Soweit die Anbieter unter dem EU-US Data Privacy Framework zertifiziert sind, erfolgt die Übermittlung auf dieser Grundlage; andernfalls stützen wir die Übermittlung auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) zuzüglich ergänzender Schutzmaßnahmen.

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Merchant-Konto- und Vertragsdaten werden für die Dauer der Geschäftsbeziehung gespeichert; nach deren Ende greifen gesetzliche Aufbewahrungsfristen (insbesondere handels- und steuerrechtlich bis zu zehn Jahre). Kundenkarten- und Stempeldaten werden gelöscht, sobald die Karte gelöscht wird bzw. das Geschäft die Plattform nicht mehr nutzt. Server-Logfiles werden nur kurzzeitig vorgehalten und anschließend gelöscht oder anonymisiert.

Empfänger der Daten sind die unter Ziffer 3 genannten Auftragsverarbeiter (Vercel, Supabase, Apple). Eine Weitergabe an weitere Dritte erfolgt nur, wenn dies zur Vertragserfüllung erforderlich ist, Sie eingewilligt haben oder wir gesetzlich dazu verpflichtet sind. Ein Verkauf von Daten findet nicht statt.

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an kontakt@leadscape.de.

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für die Leadscape GmbH ist regelmäßig der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig.

Diese Datenschutzerklärung ist aktuell gültig. Durch die Weiterentwicklung der Plattform oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen.