Datenschutzerklärung

Everplate wird aus Deutschland betrieben und in ganz Europa genutzt. Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage, mit wem wir sie teilen, wo sie gespeichert werden, wie lange wir sie aufbewahren und welche Rechte Sie haben. Wir wenden die Datenschutz-Grundverordnung, das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG) an.

Wenn hier etwas unklar ist, schreiben Sie an hello@everplate.io; ein Mensch liest das.

1. Wer verantwortlich ist

Verantwortlicher im Sinne des Artikels 4 Nummer 7 DSGVO ist:
Laddro Digital UG (haftungsbeschränkt)
Belziger Str. 69-71
10823 Berlin, Deutschland
HRB 285589 B, Amtsgericht Charlottenburg
Geschäftsführer: Oussama Bentaib
E-Mail: hello@everplate.io

Wir haben keinen Datenschutzbeauftragten bestellt. Unsere Verarbeitung erreicht die Schwelle des Artikels 37 DSGVO und des § 38 BDSG nicht. Sollte sie das tun, bestellen wir einen und weisen hier darauf hin.

2. Wofür diese Erklärung gilt

• Die Marketing-Website unter everplate.io, die Seiten, die Sie gerade lesen.
• Die Anwendung unter app.everplate.io, in der Kunden ein Konto anlegen, ein Abonnement abschließen, Dokumentation hochladen und veröffentlichen.
• Die veröffentlichten Seiten, zu denen ein QR-Code an einer Maschine führt, und die dort heruntergeladenen Dateien.

3. Das Scannen eines QR-Codes an einer Maschine

Jede Person, die vor einer Maschine steht, kann deren Dokumentation erreichen. Es gibt kein Konto, keine Anmeldung und keinerlei Registrierung, und das ist beabsichtigt: Wer eine Sicherheitsanweisung braucht, darf nicht zuerst nach seiner Identität gefragt werden.

Die Seite, auf der ein Scan landet:

• setzt kein Cookie und schreibt nichts auf Ihr Gerät;
• enthält keine Analyse, kein Tracking-Pixel und überhaupt kein Skript;
• lädt nichts von Dritten, keine Schriften, keine Bibliotheken, keine Bilder von anderswo;
• enthält keine Kennung für Sie. Die Adresse codiert die Maschinenversion, nie die Person, die sie ansieht, sodass zwei Personen, die dasselbe Schild scannen, für uns nicht unterscheidbar sind.

Da nichts auf Ihrem Gerät gespeichert oder von ihm ausgelesen wird, verlangt § 25 TDDDG keine Einwilligung, und es erscheint kein Cookie-Banner.

Es bleibt eine gewöhnliche Webanfrage. Um Ihnen die Seite und die Dateien zu senden, erhält unser Server notwendigerweise Ihre IP-Adresse, die angeforderte Adresse und den User-Agent Ihres Browsers; diese erscheinen in Hosting-Protokollen. Wir verarbeiten sie nach Artikel 6 Absatz 1 Buchstabe f DSGVO, in unserem berechtigten Interesse daran, die Dokumentation auszuliefern, den Dienst verfügbar zu halten und ihn gegen Missbrauch zu verteidigen. Wir führen sie mit nichts anderem zusammen, wir zählen Scans nicht und erstellen daraus keine Profile, und wir melden dem Kunden, dessen Dokumentation Sie lesen, keine Scan-Aktivität.

4. Der Besuch dieser Marketing-Website

Diese Website besteht aus statischen Dateien. Sie hat keine Formulare, keinen Login, keine Kommentarfunktion und keinen Newsletter. Sie setzt keine Cookies, nutzt kein Analyse- oder A/B-Testwerkzeug, bindet keine Social-Media-Schaltflächen ein und lädt weder Schriften noch Skripte von Dritten. Es gibt kein Cookie-Banner, weil es nichts gibt, worin einzuwilligen wäre.

Wie in Abschnitt 3 erhält unser Hosting-Anbieter die Verbindungsdaten, die zum Ausliefern einer Seite nötig sind. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO.

5. Ihr Konto

Für ein Everplate-Konto fragen wir nach einer E-Mail-Adresse, einem Passwort und Ihrem Firmennamen. Das Passwort wird ausschließlich als kryptografischer Hash gespeichert, nie in lesbarer Form, und kann weder von uns noch von sonst jemandem wiederhergestellt werden. Der Firmenname wird zum Namen des Kontos und erscheint auf Rechnungen.

Die Anmeldung setzt ein Cookie, everplate_session. Es enthält Ihr Sitzungstoken, ist als HttpOnly und SameSite markiert, wird in der Produktion nur über HTTPS übertragen und läuft ohne Erneuerung nach etwa einer Stunde ab. Es ist unbedingt erforderlich, um einen von Ihnen gewünschten Dienst zu erbringen, und daher nach § 25 Absatz 2 Nummer 2 TDDDG einwilligungsfrei.

Rechtsgrundlage für Kontodaten: Artikel 6 Absatz 1 Buchstabe b DSGVO, Erfüllung des mit uns geschlossenen Vertrags.

6. Zahlung und Testphase

Everplate hat keinen kostenlosen Tarif. Der Beginn der 14-tägigen Testphase erfordert eine Karte, daher werden Zahlungsdaten bei der Registrierung und nicht erst am Ende der Testphase erhoben.

Kartendaten werden unmittelbar in ein von Stripe Payments Europe, Ltd. betriebenes Zahlungsformular eingegeben und erreichen unsere Server nie. Wir legen bei Stripe einen Kundendatensatz mit Ihrem Firmennamen und Ihrer E-Mail-Adresse an und speichern auf unserer Seite die Stripe-Kunden- und Abonnementkennungen, den gewählten Tarif, den Abonnementstatus und das Enddatum der Testphase. Stripe verarbeitet Kartendaten als eigenständiger Verantwortlicher zu eigenen Zwecken der Rechtsbefolgung und Betrugsprävention nach seiner eigenen Datenschutzerklärung.

Rechtsgrundlagen: Artikel 6 Absatz 1 Buchstabe b DSGVO für die Zahlungsabwicklung und Artikel 6 Absatz 1 Buchstabe c DSGVO für die Aufbewahrung von Rechnungen und Buchführungsunterlagen, die das deutsche Steuerrecht verlangt.

7. Die Dokumentation, die Sie veröffentlichen

Wenn Sie Betriebsanleitungen, Konformitätserklärungen oder Einbauerklärungen hochladen, hosten wir sie für Sie. Für diese Inhalte sind Sie der Verantwortliche und wir der Auftragsverarbeiter, der nach Artikel 28 DSGVO auf Ihre dokumentierte Weisung handelt. Sie entscheiden, was hineinkommt, wir entscheiden darüber nichts, und wir öffnen Ihre Dateien zu keinem anderen Zweck als dem Speichern, Zusammenstellen und Ausliefern.

Dokumentation dieser Art enthält regelmäßig personenbezogene Daten von Personen, die Everplate nie genutzt haben. Eine EU-Konformitätserklärung nennt eine bestimmte Person und ist von ihr unterzeichnet. Betriebsanleitungen nennen Sicherheitsbeauftragte, technische Redakteure und Ansprechpartner. Sobald Sie veröffentlichen, stehen diese Namen so lange auf einer öffentlich erreichbaren Seite, wie Ihre Pflicht dauert, und das sind nach der Regulation (EU) 2023/1230 mindestens zehn Jahre nach dem Inverkehrbringen der Maschine.

Das ist eine bewusste Eigenschaft des Produkts und kein Versehen, und es hat eine Folge, mit der Sie planen sollten: veröffentlichte Revisionen sind unveränderlich. Eine Korrektur ist eine neue Revision, und die ersetzte bleibt mit ihrem ursprünglichen Datum und ihrer Prüfsumme abrufbar, denn eine Anleitung, die sich unbemerkt umschreiben lässt, taugt nicht als Nachweis. Einen Namen aus einer veröffentlichten Revision zu löschen, können wir daher nicht auf Anfrage leisten, und Artikel 17 Absatz 3 Buchstabe b DSGVO erkennt genau diese Lage an, in der die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist. Wenn eine Person aus der Dokumentation entfernt werden soll, veröffentlichen Sie eine korrigierte Revision. Wenn Sie meinen, dass etwas rechtswidrig veröffentlicht wurde, schreiben Sie uns, und wir gehen das mit Ihnen durch.

Wenn Sie in einer über Everplate veröffentlichten Dokumentation genannt werden und wissen möchten, wer sie dort eingestellt hat, schreiben Sie an hello@everplate.io. Wir nennen Ihnen den Kunden, der diese Seite verantwortet, und leiten Ihre Anfrage an ihn weiter, wie es Artikel 14 DSGVO von uns als Auftragsverarbeiter verlangt.

8. Veröffentlichungsnachweise

Jede Veröffentlichung schreibt einen Nachweisdatensatz: welches Konto und welcher angemeldete Nutzer veröffentlicht hat, wann, welche Dateien, ihre Größen, ihre SHA-256-Prüfsummen, die angebotenen Sprachen und, bei einer Korrektur, was sie korrigiert und warum. Dieser Datensatz ist der Sinn des Dienstes. Er ist es, der einem Kunden erlaubt, einer Marktüberwachungsbehörde im Jahr 2037 zu zeigen, was 2027 veröffentlicht wurde, und er wird so lange aufbewahrt wie die Dokumentation, die er beschreibt.

Rechtsgrundlagen: Artikel 6 Absatz 1 Buchstabe b DSGVO sowie unser und unserer Kunden berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO an einer Dokumentation, die sich nachweisen und nicht nur behaupten lässt.

9. Auftragsverarbeiter, die wir einsetzen

Diese Anbieter verarbeiten personenbezogene Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags. Weitere gibt es nicht. Wir setzen keinen Analyseanbieter, kein Werbenetzwerk und keinerlei Tracking durch Dritte ein, auf keiner Everplate-Oberfläche.

Wir verkaufen keine personenbezogenen Daten, wir geben sie nicht an Werbetreibende weiter, und wir nutzen Ihre Dokumentation nicht, um irgendein Modell zu trainieren.

10. Wo Daten liegen und Übermittlungen außerhalb der EU

Unsere Datenbank, unsere API und die veröffentlichten Dateien liegen sämtlich in der Europäischen Union. Einige der oben genannten Anbieter sind außerhalb der EU ansässig oder betreiben globale Infrastruktur, sodass ein Teil der Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden kann. Für diese Übermittlungen stützen wir uns auf die Garantien des Kapitels V DSGVO:

• die Standardvertragsklauseln der Europäischen Kommission, Beschluss (EU) 2021/914, im Auftragsverarbeitungsvertrag mit jedem Anbieter;
• die Zertifizierung nach dem EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist;
• Verschlüsselung bei der Übertragung, Verschlüsselung im Ruhezustand und Zugriffskontrolle als ergänzende Maßnahmen.

Schreiben Sie uns, wenn Sie Einzelheiten zu den Garantien einer bestimmten Übermittlung wünschen. Kunden, die einen eigenen unterzeichneten Auftragsverarbeitungsvertrag benötigen, können ihn anfordern.

11. Cookies und lokale Speicherung

Everplate verwendet genau ein Cookie, das in Abschnitt 5 beschriebene Sitzungscookie, und zwar erst nach Ihrer Anmeldung. Es ist unbedingt erforderlich und nach § 25 Absatz 2 Nummer 2 TDDDG einwilligungsfrei. Auf dem Gerät einer Besucherin dieser Website oder einer Person, die einen QR-Code scannt, wird nichts gespeichert, sodass § 25 Absatz 1 TDDDG auf sie nie anwendbar ist und es nirgends auf Everplate ein Einwilligungsbanner gibt.

12. Sicherheit

Dem Risiko angemessene Maßnahmen im Sinne des Artikels 32 DSGVO:

• TLS wird auf jeder Everplate-Adresse erzwungen.
• Verschlüsselung im Ruhezustand für die Datenbank und für gespeicherte Dateien.
• Passwörter ausschließlich als kryptografische Hashes gespeichert, nie in lesbarer Form.
• Sitzungstoken in HttpOnly-Cookies mit den Attributen Secure und SameSite in der Produktion.
• Veröffentlichte Revisionen auf drei Ebenen gegen Überschreiben geschützt: die Anwendung verweigert es, der Objektspeicher verweigert es, und die Datenbank verweigert Änderungen und Löschungen an veröffentlichter Historie.
• Geheimnisse in einem verwalteten Secret Store, nie im Quellcode eingecheckt.
• Ein dokumentiertes Verfahren für Vorfälle, einschließlich der Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Artikel 33 DSGVO und an die Betroffenen nach Artikel 34 DSGVO, soweit das Risiko es erfordert.

Kein System ist vollkommen sicher. Wenn Sie ein Sicherheitsproblem finden, schreiben Sie an hello@everplate.io.

13. Wie lange wir etwas aufbewahren

Eine Kontolöschung im Selbstbedienungsverfahren gibt es noch nicht. Schreiben Sie an hello@everplate.io, und wir schließen und löschen das Konto und behalten nur, wozu uns das Steuerrecht verpflichtet. Veröffentlichte Dokumentation ist die bewusste Ausnahme aus Abschnitt 7: Gehen ist leicht, aber eine Maschine im Feld braucht ihre Anleitung nicht deshalb nicht mehr, weil ein Abonnement geendet hat.

14. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

• Auskunft, Artikel 15. Fordern Sie eine Kopie der Daten an, die wir über Sie führen.
• Berichtigung, Artikel 16. Verlangen Sie, dass wir Unrichtiges korrigieren.
• Löschung, Artikel 17, vorbehaltlich der Grenzen aus Abschnitt 7 und gesetzlich aufzubewahrender Unterlagen.
• Einschränkung, Artikel 18. Verlangen Sie, die Verarbeitung auszusetzen, während etwas geprüft wird.
• Datenübertragbarkeit, Artikel 20. Fordern Sie die von Ihnen bereitgestellten Daten in einem strukturierten, maschinenlesbaren Format an. Ein vollständiger Export Ihrer Dokumentation steht Kunden jederzeit zur Verfügung und bleibt kostenlos.
• Widerspruch, Artikel 21. Widersprechen Sie einer Verarbeitung, die auf berechtigtem Interesse beruht.
• Widerruf der Einwilligung, Artikel 7 Absatz 3, ohne dass die bis dahin erfolgte Verarbeitung berührt wird.
• Freiheit von automatisierten Entscheidungen, Artikel 22. Wir treffen keine. Nichts in Everplate erstellt Profile oder entscheidet automatisiert über eine Person.
• Beschwerde bei einer Aufsichtsbehörde, insbesondere bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit oder bei der Behörde Ihres Wohn- oder Arbeitsorts.

Schreiben Sie an hello@everplate.io, um eines dieser Rechte auszuüben. Wir müssen gegebenenfalls zuerst Ihre Identität bestätigen. Wir antworten innerhalb eines Monats, wie es Artikel 12 Absatz 3 DSGVO verlangt, und teilen Ihnen mit, wenn eine komplexe Anfrage länger braucht.

15. Kinder

Everplate ist ein Geschäftskundendienst für Einführer, Bevollmächtigte und Hersteller gewerblicher Maschinen. Er richtet sich nicht an Kinder, und wir verarbeiten deren Daten nicht wissentlich.

16. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren; das Datum oben ändert sich dann. Wenn eine Änderung die Verarbeitung personenbezogener Daten wesentlich berührt, informieren wir Kunden mindestens 30 Tage vorher per E-Mail oder in der Anwendung, bevor sie wirksam wird.

17. Kontakt

Laddro Digital UG (haftungsbeschränkt)
Belziger Str. 69-71
10823 Berlin, Deutschland
E-Mail: hello@everplate.io