DSGVO-Konformität & europäische Datenschutz-Architektur

1. Geltungsbereich und rechtlicher Rahmen

Diese Erklärung zur DSGVO-Konformität dokumentiert, wie die TRUSTQR LTD (eingetragen im Vereinigten Königreich unter der Firmennummer 17272910, nachfolgend „TrustQR“, „wir“ oder „uns“) die Anforderungen der Datenschutz-Grundverordnung der Europäischen Union (Verordnung (EU) 2016/679, DSGVO), des britischen UK GDPR / Data Protection Act 2018 sowie des deutschen Bundesdatenschutzgesetzes (BDSG) in der Praxis umsetzt.

Diese Bestimmungen gelten für sämtliche Aktivitäten auf unserer Website, in den Kunden-Dashboards, den Verifizierungsschnittstellen und der Cloud-Infrastruktur. Weitere Einzelheiten entnehmen Sie bitte unserer Datenschutzerklärung sowie den Nutzungsbedingungen.

2. Datensparsamkeit bei der Produktprüfung für Endkunden

Gemäß Art. 5 Abs. 1 lit. c DSGVO müssen personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“.

Wenn Verbraucher die Smartphone-Kamera auf einen TrustQR-Sicherheitscode richten, um eine sofortige Produktprüfung durchzuführen:

• Keine App-Pflicht: Die Prüfung öffnet sich sekundenschnell im regulären Standardbrowser des Smartphones (Safari, Chrome, Firefox). Es muss keine App aus einem App Store geladen werden.
• Keine Registrierung oder Anmeldung: Kunden werden niemals nach Namen, Anschrift, E-Mail-Adresse oder Telefonnummer gefragt.
• Keine Erfassung von Werbe-IDs: Weder Tracking-Kennungen (IDFA, GAID) noch Adressbücher oder Geräteseriennummern werden ausgelesen.
• Keine exakte GPS-Standortabfrage: Wir fordern im Browser zu keinem Zeitpunkt exakte GPS-Koordinaten des Geräts an.

Damit wird sichergestellt, dass Patienten bei Arzneimitteln, Eltern bei Babynahrung und Käufer von Lebensmitteln oder Luxusartikeln die Echtheit ohne jede Preisgabe persönlicher Daten überprüfen können.

3. Erkennung von Mehrfachscans und Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO)

Um Fälscherbanden daran zu hindern, echte QR-Codes zu kopieren und massenhaft auf minderwertige Plagiate zu drucken, betreibt TrustQR ein aktives Fälschungsschutz-System mit intelligenter Mehrfachscan-Erkennung.

Die Rechtsgrundlage für die Verarbeitung der rein technischen Telemetriedaten bei der Prüfung ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO:

• Betrugsprävention und Verbraucherschutz: Der Schutz vor gefährlichen Arzneimittelfälschungen, gefälschten Nahrungsergänzungsmitteln und mangelhaften Plagiaten ist ein in Erwägungsgrund 47 der DSGVO ausdrücklich anerkanntes berechtigtes Interesse.
• Markenschutz und Integrität der Lieferkette: Unterstützung von Herstellern bei der Aufdeckung unautorisierter Graumarkt-Abflüsse und illegaler Nachdrucke über unsere Markenschutz-Lösung.

Technische Schutzmaßnahmen bei der Telemetrie

Um den Grundrechten der Verbraucher vollumfänglich Rechnung zu tragen, wenden wir strenge Schutzmaßnahmen an:

• Sofortige IP-Pseudonymisierung: Beim Scan anfallende IP-Adressen werden mit wechselnden Schlüsseln (Salts) unverzüglich in Einweg-Hashes umgewandelt. Die originale IP-Adresse wird verworfen.
• Ausschließlich grobe regionale Zuordnung: Es erfolgt lediglich eine grobe Zuordnung auf Regions- bzw. Landesebene, um physikalisch unmögliche Scan-Geschwindigkeiten (z. B. zeitgleicher Scan desselben Codes in Berlin und Tokio) als Fälschung zu identifizieren.
• Kein Profiling: Wir führen keine sitzungsübergreifenden Profile, erheben keine Werbe-Cookies und führen keine Verhaltensanalysen von Personen durch.
• Kein Datenverkauf: TrustQR verkauft, vermietet oder teilt zu keinem Zeitpunkt Verifizierungsdaten mit Datenhändlern oder Werbenetzwerken.

4. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Die datenschutzrechtliche Einordnung gemäß DSGVO gestaltet sich wie folgt:

TrustQR als Auftragsverarbeiter (Art. 28 DSGVO)

Für Markenhersteller und Verpackungsdrucker, die unsere Technologie zur Produktprüfung im industriellen Maßstab einsetzen, fungiert TrustQR als Auftragsverarbeiter. Der jeweilige Geschäftskunde ist der Verantwortliche, der über Chargen, Produkte und Prüfregeln entscheidet.

Wir schließen mit Geschäftskunden standardmäßig einen Vertrag zur Auftragsverarbeitung (AVV) ab, der die strengen Anforderungen von Art. 28 DSGVO und der EU-Standardvertragsklauseln (SCC) vollständig erfüllt.

TrustQR als Verantwortlicher (Art. 4 Nr. 7 DSGVO)

TrustQR handelt als Verantwortlicher für:

• Geschäftskunden, die ein Kundenkonto anlegen und Pakete auf unserer Preisseite buchen.
• Interessenten, die über unser Kontaktformular oder per E-Mail Anfragen an uns richten.
• Direkte Besucher unserer Informationsseiten auf trustqr.org/de/.

5. Technische und organisatorische Maßnahmen (TOM nach Art. 32 DSGVO)

Zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus setzt TrustQR moderne Sicherheitsstandards ein:

• Verschlüsselung bei Übertragung: Sämtliche Datenströme werden ausnahmslos über TLS 1.3 mit modernen Chiffren und HSTS verschlüsselt.
• Verschlüsselung im Ruhezustand: Datenbanken, Codespeicher und Log-Dateien sind mit AES-256 verschlüsselt.
• Zugriffskontrollen: Strenges Rollen- und Rechtemanagement (RBAC), Zwei-Faktor-Authentifizierung (2FA) für alle Administrationszugänge und automatische Session-Timeouts.
• Revisionssichere Protokollierung: Kritische Aktionen wie Chargenfreigaben oder API-Schlüssel-Generierungen werden lückenlos protokolliert.
• Laufende Schwachstellenprüfungen: Regelmäßige automatisierte Code-Scans und Sicherheits-Audits verhindern Sicherheitslücken.

6. Serverstandorte und internationale Datenübermittlung

Unsere Cloud-Infrastruktur befindet sich in nach ISO 27001 und SOC 2 zertifizierten Rechenzentren innerhalb Europas. Bei Datenübermittlungen zwischen dem Vereinigten Königreich und dem Europäischen Wirtschaftsraum (EWR):

• Übermittlungen stützen sich auf den offiziellen Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich.
• Für etwaige sonstige Drittlandübertragungen kommen die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) inklusive Transfer Impact Assessments (TIA) zur Anwendung.

7. Ihre Rechte als betroffene Person (Kapitel III der DSGVO)

Die DSGVO gewährt Ihnen umfassende Betroffenenrechte, die TrustQR uneingeschränkt respektiert:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft über Ihre von uns verarbeiteten Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht auf unverzügliche Berichtigung unrichtiger Daten.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Datenverarbeitung verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Geschäftskunden können ihre Daten in strukturierten, maschinenlesbaren Formaten (JSON, CSV) exportieren.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können einer Verarbeitung auf Grundlage berechtigter Interessen jederzeit widersprechen.
• Rechte bei automatisierten Entscheidungen (Art. 22 DSGVO): Unsere Algorithmen erkennen zwar Mehrfachscans von Verpackungen, treffen jedoch keinerlei automatisierte Entscheidungen mit rechtlicher Wirkung gegenüber Personen.

Geltendmachung Ihrer Rechte

Zur Ausübung Ihrer Betroffenenrechte wenden Sie sich bitte per E-Mail an unser Datenschutz-Team unter privacy@trustqr.org oder info@trustqr.org. Wir bearbeiten jede berechtigte Anfrage unverzüglich, spätestens innerhalb der gesetzlichen Frist von 30 Tagen, kostenfrei gemäß Art. 12 Abs. 3 DSGVO.

8. Speicherdauer und automatische Löschfristen

Daten werden nur so lange aufbewahrt, wie es für den jeweiligen Zweck erforderlich ist:

• Prüf-Telemetrie: Scan-Ereignisse verbleiben zur Missbrauchserkennung im flüchtigen Speicher und werden nach 90 Tagen in anonymisierte, nicht rückführbare Zähler überführt.
• Geschäftskonten: Daten aktiver Accounts werden für die Dauer des Vertragsverhältnisses sowie gemäß den handels- und steuerrechtlichen Aufbewahrungsfristen gespeichert.
• Support-Anfragen: Mitteilungen über unser Kontaktformular werden zur Qualitätssicherung für 24 Monate archiviert und anschließend gelöscht.

9. Kontakt zum Datenschutzbeauftragten & Aufsichtsbehörden

Für Fragen zum Datenschutz oder zur Anforderung einer Vereinbarung zur Auftragsverarbeitung (AVV) kontaktieren Sie uns bitte:

Sollten Sie der Ansicht sein, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, steht Ihnen gemäß Art. 77 DSGVO das Recht auf Beschwerde bei einer zuständigen Datenschutz-Aufsichtsbehörde zu (in Deutschland beispielsweise beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) oder der jeweiligen Landesdatenschutzbehörde Ihres Bundeslandes).