Datenschutzerklärung

Diese Datenschutzerklärung informiert gemäß Art. 13, 14 DSGVO über die Verarbeitung personenbezogener Daten beim Besuch der Website qmreport.de und bei der Nutzung des Dienstes QMreport (gemeinsam „Dienst“).

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht besteht.

2. Überblick

• Der Dienst richtet sich ausschließlich an Unternehmen (B2B). Sämtliche Kundendaten (hochgeladene Dokumente, Analyseergebnisse, Vorlagen) werden verschlüsselt in der AWS-Region eu-central-1 (Frankfurt am Main) gespeichert.
• Es werden keine Analyse-, Tracking- oder Marketing-Tools eingesetzt und keine Werbe-Cookies gesetzt. Es kommen ausschließlich technisch erforderliche Cookies zum Einsatz (siehe Ziffer 6); ein Cookie-Banner ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
• Schriftarten werden lokal eingebunden; es findet kein Abruf bei Google statt.

3. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Für die Daten des Besuchs dieser Website sowie für Registrierungs-, Vertrags- und Abrechnungsdaten ist Richard J. Weber Verantwortlicher im Sinne der DSGVO. Soweit Kunden im Rahmen der Nutzung des Dienstes Dokumente hochladen, die personenbezogene Daten enthalten (z. B. Namen von Konstrukteuren oder Prüfern in technischen Zeichnungen), verarbeitet QMreport diese Daten als Auftragsverarbeiter im Auftrag des jeweiligen Kunden auf Grundlage des Auftragsverarbeitungsvertrags (AVV).

4. Hosting und Infrastruktur (AWS)

Der Dienst wird bei Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg („AWS“) betrieben. Anwendung, Datenbank (Amazon DynamoDB) und Dateispeicher (Amazon S3, serverseitig verschlüsselt, kein öffentlicher Zugriff) laufen in der Region eu-central-1 (Frankfurt am Main). Die Auslieferung erfolgt über das Content Delivery Network Amazon CloudFront; die TLS-Verschlüsselung wird an weltweit verteilten Edge-Standorten terminiert, dynamische Inhalte werden dort nicht persistent zwischengespeichert.

Beim Aufruf des Dienstes werden technisch bedingt Server-Logdaten verarbeitet (IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, User-Agent, Statuscode). Diese Daten dienen der Bereitstellung, Stabilität und Sicherheit des Dienstes (Fehleranalyse, Abwehr von Angriffen) und werden nicht mit anderen Datenquellen zusammengeführt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und effizienten Betrieb) bzw. Art. 6 Abs. 1 lit. b DSGVO gegenüber Vertragspartnern. Mit AWS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Soweit im Ausnahmefall (z. B. Support-Zugriffe) Daten in Drittländer gelangen, ist dies durch EU-Standardvertragsklauseln abgesichert; Amazon Web Services, Inc. ist zudem unter dem EU-US Data Privacy Framework zertifiziert.

5. Registrierung, Login und Organisationsverwaltung (Clerk)

Für Registrierung, Anmeldung und die Verwaltung von Benutzerkonten und Organisationen setzen wir Clerk, Inc. (USA) ein. Verarbeitet werden dabei insbesondere Name, E-Mail-Adresse, Passwort (als Hash), Organisationszugehörigkeit sowie Login-Metadaten (Zeitpunkt, IP-Adresse, Gerätedaten zur Sitzungs- und Missbrauchskontrolle). Clerk versendet in unserem Auftrag transaktionale E-Mails (z. B. Verifizierungs-Codes und Einladungen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzerkontos). Mit Clerk besteht ein Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln; Clerk, Inc. ist unter dem EU-US Data Privacy Framework (einschließlich UK- und Schweiz-Erweiterung) zertifiziert.

6. Cookies

Der Dienst verwendet ausschließlich technisch erforderliche Cookies für die Sitzungsverwaltung des Logins (Clerk, insbesondere __session und __client_uat). Ohne diese Cookies ist ein Login nicht möglich. Die Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; die anschließende Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Marketing- oder Statistik-Cookies werden nicht eingesetzt.

7. Zahlungsabwicklung (Stripe)

Für die Abrechnung kostenpflichtiger Tarife nutzen wir Stripe. Vertragspartner für Kunden im EWR ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland; Daten können an Stripe, Inc. (USA) übermittelt werden. Die Eingabe von Zahlungsdaten erfolgt ausschließlich auf den von Stripe gehosteten Seiten (Checkout und Kundenportal); wir erhalten und speichern keine vollständigen Zahlungsdaten. Verarbeitet werden u. a. Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsinformationen und Umsatzdaten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten, §§ 147 AO, 257 HGB). Soweit Stripe Daten zur Betrugsprävention und zur Erfüllung eigener rechtlicher Pflichten verarbeitet, ist Stripe insoweit eigenständiger Verantwortlicher. Drittlandtransfers sind durch EU-Standardvertragsklauseln abgesichert; Stripe, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert.

8. Dokumenten-Upload und KI-Analyse (Anthropic)

Kernfunktion des Dienstes ist die automatische Auswertung hochgeladener technischer Zeichnungen (PDF). Die hochgeladenen Dateien und die daraus erzeugten Analyseergebnisse und Berichte werden verschlüsselt in der AWS-Region Frankfurt gespeichert (siehe Ziffer 4) und sind nur für die jeweilige Organisation des Kunden zugänglich.

Für die Auswertung werden die Seiteninhalte der hochgeladenen Dokumente an Anthropic PBC (San Francisco, USA) übermittelt und dort durch das KI-Modell „Claude“ verarbeitet. Anthropic verarbeitet diese Daten als Unterauftragsverarbeiter ausschließlich zur Erbringung der Analyse, verwendet sie nicht zum Training seiner Modelle und speichert sie nur befristet (u. a. zur Missbrauchskontrolle). Die Übermittlung in die USA ist durch einen Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

Technische Zeichnungen enthalten in der Regel keine oder nur wenige personenbezogene Daten (z. B. Namen in Schriftfeldern). Wir empfehlen, Dokumente vor dem Upload auf nicht erforderliche personenbezogene Daten zu prüfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Inhalte, für die der Kunde Verantwortlicher ist, erfolgt die Verarbeitung nach Maßgabe des AVV.

9. Speicherdauer und Löschung

• Hochgeladene Dokumente, Analyseergebnisse und Vorlagen können jederzeit in der Anwendung gelöscht werden. Bei Löschung der Organisation bzw. des zugehörigen Kontos werden alle gespeicherten Inhalte automatisch gelöscht; in Datenbank-Sicherungen können Einträge technisch bedingt bis zu 35 Tage fortbestehen, bevor sie überschrieben werden.
• Kontodaten werden für die Dauer des Nutzungsverhältnisses gespeichert und nach dessen Beendigung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Abrechnungsrelevante Daten (Rechnungen, Buchungsbelege) werden nach §§ 147 AO, 257 HGB bis zu zehn Jahre aufbewahrt.
• Server-Logdaten werden nach kurzer Zeit automatisch gelöscht bzw. überschrieben.

10. Empfänger und Drittlandtransfers

Eingesetzte Dienstleister (Auftragsverarbeiter bzw. Zahlungsdienstleister):

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn hierzu eine gesetzliche Pflicht besteht oder Sie eingewilligt haben.

11. Ihre Rechte

Ihnen stehen als betroffene Person folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch: Sie können einer Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine E-Mail an weber@qmreport.de. Ihnen steht außerdem ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu (Art. 77 DSGVO); zuständig für uns ist der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Häßlerstraße 8, 99096 Erfurt.

12. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die KI-Analyse erzeugt Berichtsentwürfe zu Bauteilen und trifft keine Entscheidungen mit rechtlicher Wirkung gegenüber Personen.

13. Aktualität dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils unter qmreport.de/datenschutz veröffentlichte Fassung.

Stand: Juli 2026