Datenschutzhinweise
Zuletzt aktualisiert am 23. Oktober 2026
Diese Hinweise erläutern, welche personenbezogenen Daten DPP Host verarbeitet, zu welchem Zweck und wie lange: wenn Sie dpphost.eu besuchen, einen Produktpass auf id.dpphost.eu öffnen, uns schreiben, das Dashboard unter app.dpphost.eu, die API oder den MCP-Server nutzen oder auf forms.dpphost.eu eine Lieferantenanfrage beantworten. Für einen Teil dieser Daten ist die Marke verantwortlich, die DPP Host nutzt, und wir verarbeiten sie in ihrem Auftrag; in den folgenden Abschnitten steht, wo das der Fall ist.
Verantwortlicher
Verantwortlich für die Datenverarbeitung ist die Qubites ApS, Ulsøparken 49, 2. 2660 Brøndby Strand, Dänemark (CVR 37061026), die DPP Host betreibt. Bei Fragen zu Ihren personenbezogenen Daten schreiben Sie an privacy@dpphost.eu, bei allen anderen Anliegen an hello@dpphost.eu.
Wenn eine Marke verantwortlich ist
Marken, also die Unternehmen, die DPP Host nutzen, veröffentlichen damit Produktpässe, fragen bei ihren Lieferanten Produktdaten an und bieten mit Premium den Eigentümern ihrer Produkte Services an. Für die personenbezogenen Daten, die dabei verarbeitet werden, ist die Marke Verantwortlicher und DPP Host ihr Auftragsverarbeiter: für das, was die Marke in ihre Produktpässe und Seiten aufnimmt, für die Kontaktdaten und Antworten ihrer Lieferanten und für die Daten in ihren Eigentümer-Services. Wir verwenden diese Daten nur nach den Weisungen der Marke. Fragen dazu sowie Anträge auf Auskunft, Berichtigung oder Löschung richten Sie an die Marke. Senden Sie sie an uns, leiten wir sie an die Marke weiter.
Technische Daten
Wenn Sie eine unserer Websites öffnen oder die API nutzen, verarbeitet Cloudflare, das sie ausliefert, Ihre IP-Adresse und technische Daten zu jeder Anfrage, etwa die aufgerufene Adresse, die Uhrzeit und Ihren Browser, um den Dienst bereitzustellen und vor Missbrauch zu schützen. Anfragen, die unsere Datenbank erreichen, protokolliert außerdem Supabase. Die API, der MCP-Server und die Lieferantenformulare begrenzen, wie viele Anfragen eine IP-Adresse pro Minute stellen kann; Cloudflare zählt das nur für die laufende Minute, und wir speichern die Adresse nicht. Die Anbieter löschen diese Protokolle nach kurzer Zeit. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
Auf den Seiten des Dashboards, auf denen Sie sich anmelden, ein Konto erstellen oder ein Passwort zurücksetzen, auch bei der Anmeldung zu den Eigentümer-Services einer Marke, und wenn Sie sich vor einer sensiblen Aktion erneut anmelden, prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen und nicht von einem automatisierten Programm kommt; die meisten Menschen bemerken von dieser Prüfung nichts. Dafür verarbeitet Cloudflare als unser Auftragsverarbeiter Ihre IP-Adresse und technische Merkmale Ihres Browsers und Ihres Geräts. Rechtsgrundlage ist unser berechtigtes Interesse, Konten und Anmeldungen vor automatisiertem Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Dieselbe Prüfung schützt das Formular, mit dem Sie dem Eigentümer eines gefundenen Produkts schreiben.
Produktpässe
Jeder Produktpass auf id.dpphost.eu wird von der Marke veröffentlicht, die für das Produkt verantwortlich ist, und die Marke entscheidet, was er zeigt. Jede neue Version eines Produktpasses zeigt außerdem den verifizierten rechtlichen Namen und das Land der Marke sowie bei einer Gesellschaft deren verifizierte Umsatzsteuer-Identifikationsnummer oder Registernummer. Bei einem Einzelunternehmer ist der rechtliche Name sein eigener Name. Zeigt ein Produktpass personenbezogene Daten, ist die Marke dafür verantwortlich, und wir veröffentlichen sie in ihrem Auftrag. Veröffentlichte Produktpässe bleiben so lange online, wie es die EU-Vorschriften verlangen; das können viele Jahre sein. Sollen personenbezogene Daten aus einem Produktpass entfernt werden, wenden Sie sich an die darin genannte Marke oder an uns. Zum Öffnen eines Produktpasses brauchen Sie kein Konto. Wir zählen ohne personenbezogene Daten, wie oft Produktpässe geöffnet werden: je Tag, Produkt (ohne Seriennummer), Sprache und Land sowie danach, ob die aktuelle oder eine frühere Version geöffnet wurde. Wir erfassen keine IP-Adressen, keine Angaben zu Ihrem Browser, keine Cookies und nicht, von welcher Seite Sie kommen. Marken mit Premium sehen diese Tagessummen für ihre eigenen Produkte. Cloudflare speichert die Zählungen 3 Monate lang, unsere Datenbank die Tagessummen 25 Monate lang.
Zeigt eine Marke auf ihrer Passseite ein Video von YouTube oder Vimeo, zeigt die Seite zuerst ein Standbild von unseren eigenen Servern; von YouTube oder Vimeo wird erst etwas geladen, wenn Sie auf Abspielen drücken. Dann wird das Video von YouTube (Google) im erweiterten Datenschutzmodus oder von Vimeo mit der Einstellung „Do Not Track“ abgespielt. Für den jeweiligen Anbieter gelten dabei seine eigenen Datenschutzbestimmungen: Er erhält Ihre IP-Adresse und Angaben zu Ihrem Browser und kann Informationen in Ihrem Browser speichern. Links auf einer Passseite, etwa zu Dokumenten oder zur Prüfung eines Zertifikats, öffnen andere Websites erst, wenn Sie darauf klicken.
Wenn Sie uns schreiben
Wenn Sie uns an hello@dpphost.eu oder privacy@dpphost.eu schreiben, zum Beispiel um Unterlagen für eine Unternehmensprüfung zu senden, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, um Ihnen zu antworten und Ihr Anliegen weiterzuverfolgen. Rechtsgrundlage ist unser berechtigtes Interesse, Personen zu antworten, die uns kontaktieren (Art. 6 Abs. 1 lit. f DSGVO), und bei Anträgen zu Ihren Rechten unsere rechtliche Verpflichtung, sie zu beantworten (Art. 6 Abs. 1 lit. c DSGVO). Wir bewahren diese E-Mails so lange auf, wie wir sie für die Antwort und die Nachverfolgung benötigen, höchstens aber 2 Jahre nach unserem letzten Austausch.
Wenn Sie sich für Benachrichtigungen zu EU-Vorschriften anmelden
Wenn Sie sich auf dpphost.eu für Benachrichtigungen zu EU-Produktvorschriften anmelden, speichern wir Ihre E-Mail-Adresse, die von Ihnen angegebene Webadresse des Unternehmens oder Produkts, die Sprache der Seite sowie den Zeitpunkt Ihrer Anmeldung und Ihrer Bestätigung. Wir senden zuerst eine Bestätigungs-E-Mail und Benachrichtigungen erst nach Ihrer Bestätigung: sobald eine Vorschrift zum Produktpass für Produkte wie Ihre einen Termin erhält, und noch einmal, bevor sie gilt; niemals Werbung. Jede E-Mail enthält einen Link zum Abbestellen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie über diesen Link widerrufen. Eine Adresse, die nicht innerhalb von 7 Tagen bestätigt wird, löschen wir; Ihren Eintrag löschen wir 30 Tage, nachdem Sie die Benachrichtigungen beendet haben. Unseren Nachweis über jede E-Mail an Sie löschen wir nach 30 Tagen. Um Missbrauch des Formulars zu begrenzen, speichern wir in unseren Zählern höchstens einen Tag lang einen schlüsselbasierten Hash Ihrer IP-Adresse, nie die Adresse selbst.
Konten im Dashboard
Wenn Sie unter app.dpphost.eu ein Konto erstellen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, ein sicher gehashtes Passwort, falls Sie eines festlegen, Ihre Sprache, die Organisationen, denen Sie angehören, mit Ihrer jeweiligen Rolle sowie ein Protokoll der Aktionen, die Sie darin ausführen. Supabase, das unsere Anmeldung betreibt, erfasst außerdem Ihre Sitzungen und Anmeldungen mit Ihrer IP-Adresse und Ihrem Browser. Wir benötigen diese Daten, um den Dienst bereitzustellen, für den Sie oder Ihre Organisation sich registriert haben (Art. 6 Abs. 1 lit. b DSGVO); ohne Namen und E-Mail-Adresse können Sie kein Konto haben. Sie bleiben höchstens 90 Tage angemeldet und ohne Nutzung höchstens 30 Tage. Wir bewahren Ihr Konto auf, bis Sie es auf Ihrer Seite „Konto“ löschen oder uns bitten, es zu löschen. Mit der Löschung werden Ihre Mitgliedschaften, Ihre Anmeldung und das Protokoll Ihrer Anmeldungen sofort entfernt; die Einträge in den Aktionsprotokollen Ihrer Organisationen darüber, was Sie dort getan haben, bleiben unter einer Kennung erhalten, die nicht mehr zu Ihrem Konto führt. Bevor Sie Ihr Konto löschen können, müssen Sie in jeder Organisation, deren einziger Inhaber Sie sind und die weitere Mitglieder hat, ein anderes Mitglied zum Inhaber machen, uns schreiben, damit wir jede Organisation schließen, deren einziges Mitglied Sie sind, und jedes Eigentümerkonto löschen, das Sie bei einer Marke haben. Das Aktionsprotokoll einer Organisation wird so lange aufbewahrt, wie ihre veröffentlichten Produktpässe abrufbar sind, da es dokumentiert, wer diese veröffentlicht und geändert hat.
Sie können sich auch über Google, Apple oder Microsoft anmelden. In diesem Fall bestätigt der Anbieter nach seinen eigenen Datenschutzbestimmungen, wer Sie sind, und übermittelt uns auf Ihren Wunsch Ihre E-Mail-Adresse, Ihre Benutzerkennung bei diesem Anbieter und, falls er sie mitsendet, Ihren Namen und weitere grundlegende Profilangaben. Wir speichern sie bei Ihrem Konto, damit Sie sich wieder auf dieselbe Weise anmelden können; der Anbieter erfährt, dass Sie sich bei DPP Host anmelden. Ihr Passwort für diesen Anbieter erhalten wir nie. Wenn Sie Apples Funktion „E-Mail-Adresse verbergen“ wählen, erhalten wir eine Adresse bei Apple, die unsere E-Mails an Sie weiterleitet. Wenn Sie die Anmeldung in zwei Schritten einschalten, wird ein geheimer Schlüssel für Ihre Authenticator-App bei Ihrem Konto gespeichert (bei Supabase in Frankfurt), und die Zeitpunkte, zu denen Sie ihn verwenden, werden protokolliert; Sie können die Anmeldung in zwei Schritten auf Ihrer Seite „Konto“ ausschalten. Rechtsgrundlage für beides ist der Vertrag mit Ihnen oder Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO).
Organisationen, Unternehmensprüfungen und GTINs
Eine Organisation muss eine Unternehmensprüfung bestehen, bevor sie Produktpässe veröffentlichen kann. Eine Umsatzsteuer-Identifikationsnummer aus der EU wird automatisch im Mehrwertsteuer-Informationsaustauschsystem der EU (VIES) geprüft, das die Europäische Kommission mit den nationalen Steuerbehörden betreibt und das den registrierten Namen und die Anschrift zurückgeben kann; bestätigt VIES die Nummer nicht, wird die Prüfung abgelehnt, und die Organisation kann eine neue Prüfung starten, die unsere Mitarbeitenden von Hand vornehmen. Andere Register, etwa das dänische CVR, prüfen unsere Mitarbeitenden von Hand. Kann kein Register das Unternehmen bestätigen, etwa bei vielen Einzelunternehmern und Unternehmen außerhalb der EU, bitten unsere Mitarbeitenden per E-Mail um Unterlagen wie einen Registerauszug oder eine Gewerbeerlaubnis und löschen diese E-Mail, sobald über die Prüfung entschieden ist. Wir speichern das Land, die Nummer, den rechtlichen Namen und, soweit ein Register sie angibt, die Anschrift, eine etwaige Notiz der Organisation, das Ergebnis sowie, wer die Prüfung beantragt und wer darüber entschieden hat. Unsere Mitarbeitenden gleichen den rechtlichen Namen außerdem mit den Sanktionslisten der EU ab. Bei einem Einzelunternehmer sind diese Aufzeichnungen personenbezogene Daten. Wir verwenden sie, damit nur echte Unternehmen veröffentlichen, damit jedes Unternehmen nur eine verifizierte Organisation hat, um die verifizierten Angaben in seinen Produktpässen zu zeigen (siehe „Produktpässe“; eine über den Weg für Einzelunternehmer geprüfte Nummer wird nie gezeigt) und damit Produktpässe vertrauenswürdig bleiben. Rechtsgrundlagen sind der Vertrag mit Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO), unser berechtigtes Interesse, Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO), und für die Sanktionsprüfung unsere rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). Wir bewahren diese Aufzeichnungen so lange auf, wie die Organisation bei DPP Host besteht, weil sie zeigen, warum sie veröffentlichen durfte.
Um Produktpässe für eine GTIN (eine Barcode-Nummer) zu veröffentlichen, braucht eine Organisation einen Anspruch auf diese GTIN oder die Erlaubnis der Organisation, die den Anspruch innehat. Zu einem Anspruch gehört ein Nachweis, etwa der Name des GS1-Lizenznehmers, ein Nachweis auf der Web-Domain der Organisation oder eine GS1-Digital-Link-Adresse, den unsere Mitarbeitenden von Hand prüfen. Wir speichern den Anspruch, den Namen des Lizenznehmers, den Nachweis, eine etwaige Notiz oder einen etwaigen Einspruch sowie, wer den Anspruch beantragt und wer darüber entschieden hat. Diese Aufzeichnungen sind nur dann personenbezogene Daten, wenn sie eine Person nennen, etwa einen Einzelunternehmer. Wir bewahren sie so lange auf, wie die Organisation besteht, aus denselben Gründen und auf denselben Rechtsgrundlagen wie die Unternehmensprüfung. Um zu belegen, dass sie eine Web-Domain kontrolliert, trägt eine Organisation einen Code in die DNS-Einträge der Domain ein, den wir über Cloudflare abfragen.
Teams, Einladungen und Partner
Mitglieder einer Organisation sehen die Namen, E-Mail-Adressen und Rollen der anderen Mitglieder, seit wann sie Mitglied sind und ob sie die Anmeldung in zwei Schritten nutzen; Administratoren sehen außerdem das Aktionsprotokoll der Organisation. Ein Administrator lädt jemanden ein, indem er einen Link erstellt und weitergibt; wir senden keine Einladungs-E-Mail. Wir speichern die eingeladene E-Mail-Adresse zusammen mit der Organisation und der Rolle, bis die Einladung angenommen wird; wird sie nicht angenommen, löschen wir die Adresse innerhalb von 30 Tagen nach Ablauf oder Rücknahme der Einladung. Rechtsgrundlage ist das berechtigte Interesse der einladenden Organisation, ihr Team hinzuzufügen (Art. 6 Abs. 1 lit. f DSGVO). Eine Organisation kann auch ein anderes Unternehmen, etwa eine Agentur, als Partner bei sich mitarbeiten lassen. Die Mitarbeitenden des Partners sehen dann, was Mitglieder mit derselben Rolle sehen, die Mitglieder der Organisation sehen ihre Namen und E-Mail-Adressen, und das Aktionsprotokoll hält fest, was sie tun. Die Aufzeichnung darüber, welcher Partner wann und von wem verknüpft wurde, bewahren wir bei den Aufzeichnungen der Organisation so lange auf wie deren Aktionsprotokoll. Rechtsgrundlage ist der Vertrag mit Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO). Ein Partner kann außerdem eine Organisation für eine Marke vorbereiten, die noch nicht beigetreten ist, und die E-Mail-Adresse einer Kontaktperson bei dieser Marke eingeben, an die wir die Anfragen des Partners zur Freigabe von Pässen senden. Diese Adresse und die Sprache der E-Mails an sie bewahren wir auf, bis die Kontaktperson die Organisation übernimmt; geschieht das nie, löschen wir beides 90 Tage nach der Eingabe der Adresse oder nach dem Ablauf der letzten Anfrage, je nachdem, welcher Zeitpunkt später liegt. Die Mitarbeitenden des Partners, die dort Anfragen senden, sehen die Adresse. Jede Anfrage bleibt bei den Aufzeichnungen der Organisation: wer welche Pässe wann gesendet hat, die Entscheidung der Marke, wer sie getroffen hat und eine etwaige Begründung; all das sehen die Mitarbeitenden des Partners, die dort tätig sind. Rechtsgrundlage ist das berechtigte Interesse daran, dass eine Marke die Pässe freigeben kann, die ein Partner für sie vorbereitet hat (Art. 6 Abs. 1 lit. f DSGVO). Eine Marke, die Eigentümer-Services nutzt, kann außerdem ein Geschäft per E-Mail einladen, ihre Produkte auf die Kundinnen und Kunden des Geschäfts zu registrieren. Wir speichern die eingeladene Adresse und ihre Sprache, bis die Einladung angenommen oder zurückgenommen wird, andernfalls bis 29 Tage nach ihrem Ablauf; wer die Einladung öffnet, sieht den Namen der Marke und diese Adresse. Rechtsgrundlage ist das berechtigte Interesse der Marke, die Geschäfte hinzuzufügen, die ihre Produkte verkaufen (Art. 6 Abs. 1 lit. f DSGVO). Nimmt ein Geschäft an, speichern wir, welche Organisation welche Fassung der Händlerbedingungen angenommen hat, wer sie angenommen hat und wann, auf Grundlage des Vertrags mit dieser Organisation (Art. 6 Abs. 1 lit. b DSGVO). Eine Marke kann außerdem einen Vertreiber für die Länder verknüpfen, die er beliefert; der Vertreiber kann dann ein Geschäft per E-Mail für die Produkte der Marke einladen. Diese Einladung speichern wir wie die Einladung einer Marke, zusammen mit dem Vertreiber, der sie gesendet hat; wer sie öffnet, sieht auch den Namen des Vertreibers, und die Marke sieht jedes Geschäft, das ein Vertreiber hinzufügt. Rechtsgrundlage ist das berechtigte Interesse des Vertreibers und der Marke, die Geschäfte hinzuzufügen, die die Produkte der Marke verkaufen (Art. 6 Abs. 1 lit. f DSGVO). Sendet ein Unternehmen Produkte einer Marke über DPP Host an ein anderes Unternehmen oder markiert es Produkte in seinem Bestand als verloren oder gestohlen, halten wir bei den Aufzeichnungen der beteiligten Unternehmen und der Marke fest, welches Mitglied das getan hat, und zwar so lange, wie die Organisation der Marke besteht, oder bis das Konto dieses Mitglieds gelöscht wird; Grundlage ist der Vertrag mit diesen Organisationen (Art. 6 Abs. 1 lit. b DSGVO). Lässt ein Geschäft sein Rechnungssystem eine Kopie jeder Rechnung an seine Adresse bei DPP Host schicken, lesen wir als Auftragsverarbeiter des Geschäfts nach den Händlerbedingungen die Rahmennummern, die Rechnungsnummer und das Datum aus der Kopie aus, bewahren diese Angaben 24 Monate lang bei den Verkaufsaufzeichnungen des Geschäfts auf und verwerfen die Kopie sofort (sie kann Name und Anschrift der Käuferin oder des Käufers enthalten; eine Kopie, die wir nicht lesen können, wird 7 Tage lang ohne ihren Inhalt vermerkt).
API-Schlüssel, KI-Apps und Shops
Wenn ein Administrator einen API-Schlüssel erstellt, speichern wir seinen Namen, wer ihn erstellt hat, seine Berechtigungen und sein Ablaufdatum, seine ersten Zeichen, wann er zuletzt verwendet wurde, und einen schlüsselbasierten Hash des Schlüssels; der vollständige Schlüssel wird einmal angezeigt und nie gespeichert. Wir zählen die Anfragen jeder Organisation pro Tag und bewahren diese Zählungen 400 Tage auf. Sie können über unseren MCP-Server unter mcp.dpphost.eu eine KI-App, etwa einen KI-Assistenten, mit DPP Host verbinden: Sie melden sich an und erlauben ihr, in einer Organisation zu arbeiten, für einen von Ihnen gewählten Zeitraum von höchstens 365 Tagen. Wir speichern die Verbindung: Ihre Benutzerkennung, die Organisation, den Namen und die Webadresse der App, die Berechtigungen, wann Sie sie erlaubt haben und wie viel sie täglich genutzt wird; die tägliche Nutzung bewahren wir 400 Tage auf. Die Verbindung wird außerdem, teilweise verschlüsselt, in Cloudflare Workers KV gespeichert, das nicht auf die EU beschränkt ist. Ein Zugriff gilt jeweils für 1 Stunde, und eine Verbindung endet außerdem nach 30 Tagen ohne Nutzung oder wenn Sie sie im Dashboard beenden. Die Administratoren der Organisation sehen, wer welche App verbunden hat. Die App erhält die Pass-, Produkt- und Entwurfsdaten, die sie im Rahmen der von Ihnen erteilten Berechtigungen abfragt, nie Angaben zu Mitgliedern oder Eigentümern, und ihr Anbieter verarbeitet diese Daten nach seinen eigenen Bestimmungen. Eine KI-App kann nicht veröffentlichen: Jede Änderung gibt ein Mensch frei. Apps, die sich bei unserem MCP-Server registrieren, übermitteln uns ihren Namen, ihre Webadresse und, wenn sie wollen, Kontaktadressen; diese bewahren wir bis zu 90 Tage nach der letzten Nutzung der App auf. Wenn ein Administrator einen Shopify- oder WooCommerce-Shop verbindet, speichern wir, wer ihn verbunden und freigegeben hat, sowie die Webadresse des Shops und informieren die Administratoren der Organisation per E-Mail; der Shop sendet uns nur Produktdaten, nie Daten zu Kunden, Bestellungen oder Besuchern. Aufzeichnungen zu Schlüsseln, Verbindungen und Shops bleiben nach ihrem Ende bei den Aufzeichnungen der Organisation. Rechtsgrundlage ist der Vertrag mit Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO).
Unter „Neuer Pass“ können Sie Dateien zu einem Produkt (PDF-Dateien oder Fotos) ablegen oder einen Link zu seiner Seite einfügen. Wir senden sie einmal an Anthropic, dessen KI-Modell Claude sie liest, um die Werte zu finden, die der Pass braucht, und die Stelle, an der jeder Wert steht; Fotos senden wir ohne Standort- und Kameradaten. Jeder Wert bleibt ein Vorschlag, bis eine Person ihn bestätigt. Fügt ein Administrator einem GTIN-Anspruch ein GS1-Lizenzzertifikat oder eine Mitgliedsrechnung von GS1 hinzu, senden wir das Dokument auf dieselbe Weise einmal an Anthropic, um die darin angegebenen Unternehmensangaben zu lesen (wer es ausgestellt hat, den Lizenznehmer, seine Firmenpräfixe und seine Datumsangaben); wir speichern nur diese Angaben beim Anspruch, nicht die Datei, und entscheiden anhand dieser Angaben über den Anspruch. Die Dateien und die Seite speichern wir nicht: Sie werden im Arbeitsspeicher gelesen und mit der Anfrage verworfen. Wir speichern die gefundenen Werte, jeweils mit dem Dateinamen und einem kurzen Zitat, das zeigt, wo der Wert gefunden wurde, und 400 Tage lang eine Zählung der Lesevorgänge jeder Organisation (wer, wann und wie viele Dateien, ohne deren Inhalt), um das Monatslimit einzuhalten. Anthropic verarbeitet die Dateien in den USA oder in einem anderen Land, in dem das Unternehmen seinen Dienst betreibt, auf Grundlage der Standardvertragsklauseln der EU. Es löscht die Dateien und die Antwort innerhalb von 30 Tagen und verwendet sie nicht zum Training von Modellen; nur Inhalte, die seine automatischen Prüfungen als Verstoß gegen seine Nutzungsrichtlinie markieren, können länger aufbewahrt werden, bis zu 2 Jahre lang. Im Dashboard hilft der Guide, ein KI-Assistent, den Bearbeitern Ihrer Organisation beim Erstellen ihrer Pässe. Wenn Sie dem Guide schreiben, senden wir Ihre Nachricht, die früheren Nachrichten der Unterhaltung und die Angaben zum Konto Ihrer Organisation, die er für die Antwort braucht (Tarif, Entwürfe und was ihnen fehlt, Preise und KI-Credits), an Anthropic, dessen Claude-Modell die Antwort schreibt; eine Datei, die Sie im Guide hinzufügen, wird wie unter „Neuer Pass“ gelesen. Die Werte, die der Guide vorschlägt, bleiben im Entwurf Vorschläge, bis eine Person sie bestätigt. Die Unterhaltung, die nur Sie sehen, bewahren wir 30 Tage nach ihrer letzten Nachricht auf, eine Zählung der Nachrichten jeder Person (wer, wann und wie viele, ohne Inhalt) 400 Tage lang für das Stundenlimit und die KI-Credits. Anthropic verarbeitet sie wie oben beschrieben, löscht sie innerhalb von 30 Tagen und nutzt sie nicht zum Training von Modellen. Davon abgesehen verarbeitet DPP Host Ihre Daten nicht mit KI-Modellen. Rechtsgrundlage ist der Vertrag mit Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO).
E-Mails, die wir versenden
Wir versenden E-Mails von noreply@dpphost.eu über Resend, unseren Auftragsverarbeiter: Anmeldecodes und -links, Bestätigungen der E-Mail-Adresse und Links zum Zurücksetzen des Passworts sowie E-Mails dazu, wie Ihre Organisation DPP Host nutzt, zum Beispiel zu Zahlungen und fehlgeschlagenen Zahlungen, zu Tarifwechseln, zu Entscheidungen über Unternehmensprüfungen und GTIN-Ansprüche, zu bald ablaufenden Zertifikaten, zu fertigen Exporten, zu einer Erinnerung an einen gespeicherten Import, wenn Sie eine anfordern, zu Antworten auf Lieferantenanfragen, zu Reparaturanfragen von Eigentümern, zur Einladung einer Marke oder eines Vertreibers an ein Geschäft, zum Link, den ein Geschäft uns an seine Kundin oder seinen Kunden senden lässt, zu Lieferungen, die ein Unternehmen erhält oder die zurückgenommen werden, zu Rückrufen und Sicherheitswarnungen einer Marke zu Produkten, die ein Unternehmen im Bestand hat, und zu Problemen mit Webhooks oder Shop-Verbindungen. Sie gehen an die betroffene Person oder meist an die Inhaber und Administratoren der Organisation; die E-Mails zu Lieferungen, Rückrufen und Sicherheitswarnungen gehen auch an ihre Bearbeiter. Wir versenden keine Newsletter und keine Werbung, und wir erfassen nicht, ob Sie unsere E-Mails öffnen oder auf ihre Links klicken. Resend versendet sie aus der EU (Irland) und bewahrt eine Kopie jeder E-Mail und ihr Versandprotokoll 30 Tage lang in den USA auf. Über jede E-Mail, die wir versenden, führen wir einen Nachweis mit der Adresse, an die sie ging, um zeigen zu können, was versendet wurde, und um sie nicht doppelt zu senden; die Nachweise über E-Mails an Sie werden mit Ihrem Konto gelöscht, die übrigen so lange aufbewahrt, wie die betreffende Organisation besteht. Rechtsgrundlage ist der Vertrag mit Ihnen oder Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO). Antworten Sie nicht auf diese E-Mails; schreiben Sie stattdessen an hello@dpphost.eu. Sendet ein Finder eine Nachricht zu einem Produkt, das sein Eigentümer als verloren oder gestohlen markiert hat, teilen wir dem Eigentümer per E-Mail mit, dass eine Nachricht eingegangen ist; was der Finder geschrieben hat, steht nicht darin. Wenn Sie uns um Hilfe bei einem gespeicherten Import bitten, bewahren wir Ihre Anfrage (Ihre Nachricht, falls Sie eine schreiben, die Zahlen des Imports und wer angefragt hat) auf und senden sie mit Ihrer E-Mail-Adresse an unsere Mitarbeitenden, damit wir Ihnen antworten können; die Mitglieder Ihrer Organisation sehen, dass Sie angefragt haben, und wir löschen die Anfrage 2 Jahre, nachdem wir sie abgeschlossen haben.
Zahlungen
Wenn eine Organisation für DPP Host bezahlt, läuft die Zahlung über Stripe. Wir übermitteln Stripe den Namen der Organisation, ihre E-Mail-Adresse für Rechnungen (oder die E-Mail-Adresse der Person, die kauft) und ihre Sprache. Stripe erhebt die Rechnungsanschrift, eine etwaige Umsatzsteuer-Identifikationsnummer, die Stripe prüft, und die Zahlungsdaten; vollständige Karten- oder Kontonummern erhalten wir nie. Stripe berechnet die Umsatzsteuer, stellt die Rechnungen aus und betreibt das Kundenportal, in dem Administratoren Rechnungen einsehen und Zahlungsdaten ändern. Wir speichern die Kundenreferenz bei Stripe, die E-Mail-Adresse für Rechnungen, das Land, die Umsatzsteuer-Identifikationsnummer und ihren Status sowie die Benachrichtigungen von Stripe zu Zahlungen. Stripe verarbeitet die Zahlung als unser Auftragsverarbeiter; zur Betrugsverhinderung und zur Erfüllung seiner eigenen gesetzlichen Pflichten, etwa zur Bekämpfung der Geldwäsche, ist Stripe eigenständiger Verantwortlicher nach seinen eigenen Datenschutzbestimmungen. Rechtsgrundlagen sind der Vertrag mit Ihrer Organisation (Art. 6 Abs. 1 lit. b DSGVO) und unsere Pflicht zur Buchführung (Art. 6 Abs. 1 lit. c DSGVO). Die Benachrichtigungen von Stripe werden 400 Tage nach ihrem Eingang gelöscht, sobald wir sie verarbeitet haben. Die Abrechnungsdaten bewahren wir so lange auf, wie die Organisation besteht, und Rechnungen und andere Buchhaltungsunterlagen so lange, wie es das dänische Buchführungsgesetz (bogføringsloven) verlangt (5 Jahre ab dem Ende des Geschäftsjahres). Stripe kann Daten in den USA verarbeiten; diese Übermittlung stützt sich auf den Datenschutzrahmen EU-USA (EU-U.S. Data Privacy Framework) und auf die Standardvertragsklauseln der Europäischen Kommission.
Wenn Sie eine Lieferantenanfrage beantworten
Eine Marke kann ihre Lieferanten mit einem Link zu einem Formular auf forms.dpphost.eu um Produktdaten bitten; den Link sendet die Marke selbst, oder wir senden ihn in ihrem Namen per E-Mail, mit bis zu zwei Erinnerungen. Die Marke ist Verantwortlicher und wir sind ihr Auftragsverarbeiter. Die Marke übermittelt uns Ihre Kontaktdaten, etwa Ihren Namen, Ihre E-Mail-Adresse, Ihr Land und Ihre Sprache, und sie erhält Ihre Antworten und die Dateien, die Sie hochladen, etwa Zertifikate oder Fotos; aus Fotos entfernen wir Standort- und Kameradaten, bevor wir sie speichern. Wie lange sie Ihre Kontaktdaten und Antworten aufbewahrt, entscheidet die Marke. Dateien, die die Marke in keinem Produktpass verwendet hat, werden 90 Tage nach dem Ende der Anfrage gelöscht; eine Anfrage endet, wenn sie zurückgezogen wird oder ihr Link abläuft. Für das Formular brauchen Sie kein Konto, und es setzt keine Cookies. Fragen zu Ihren Daten dort richten Sie an die Marke, die die Anfrage gesendet hat. Wenn Sie „Diese Anfrage melden“ nutzen, speichern wir einen Hash Ihrer E-Mail-Adresse, damit wir Ihnen keine weiteren Anfragen dieser Marke senden. Dafür sind wir Verantwortlicher, auf der Grundlage unseres berechtigten Interesses, Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO), und wir bewahren den Hash auf, bis Sie uns bitten, ihn zu entfernen.
Wenn Sie die Eigentümer-Services einer Marke nutzen
Manche Marken lassen die Eigentümer ihrer Produkte diese unter app.dpphost.eu/owner/… registrieren. In diesem Bereich ist die Marke Verantwortlicher, und DPP Host verarbeitet Ihre Daten in ihrem Auftrag; dort werden die Datenschutzinformationen der Marke angezeigt, und Fragen zu Ihren Produkten, Anfragen oder Daten in diesem Bereich richten Sie an die Marke. DPP Host ist für Ihre Anmeldung verantwortlich (Ihre E-Mail-Adresse und wann Sie sie bestätigt haben), die Sie bei mehreren Marken nutzen können; wir brauchen sie, um Ihnen die angeforderte Anmeldung bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Sie können sich in einem Eigentümerbereich auch mit Apple oder Google anmelden; was dieser Anbieter übermittelt und was wir davon speichern, steht unter „Konten im Dashboard“. Ein Name, den ein Eigentümer für seine Karte angibt oder den Apple oder Google bei der Anmeldung übermittelt, erscheint auf der eigenen Karte und Produktseite dieses Eigentümers; die andere Person bei einer Übergabe sieht nur den Vornamen und den Anfangsbuchstaben des Nachnamens, ebenso danach die Karte des vorherigen Eigentümers; ein Registrierungsnachweis, den ein Eigentümer teilt, zeigt das Produkt, seine Seriennummer, seit wann es registriert ist, und die Initialen des Eigentümers oder, wenn dieser es wählt, den vollen Namen; der Produktpass zeigt den Namen nie, und nichts davon zeigt eine E-Mail-Adresse, Telefonnummer oder Anschrift. Wenn ein Geschäft, das die Marke verknüpft hat, Ihnen ein Produkt übergibt, werden der Name des Geschäfts und das Verkaufsdatum Teil Ihrer Registrierung und Ihrer Garantie, und Ihre Karte und Produktseite zeigen „Gekauft bei“ mit dem Namen des Geschäfts; das Geschäft sieht bis 30 Tage nach der Übergabe Ihren Vornamen und den Anfangsbuchstaben Ihres Nachnamens und sonst nichts über Sie. Wenn das Geschäft Ihnen den Link von uns per E-Mail senden lässt, wird Ihre Adresse nur für diese E-Mail verwendet. Beim Öffnen eines Registrierungsnachweises wird der Aufruf gezählt, über Sie wird nichts gespeichert. Wir speichern Ihre Anmeldung, solange Sie bei einer Marke ein Eigentümerkonto oder ein Konto im Dashboard haben. Wenn Sie einen Anmeldelink anfordern, aber nie ein Eigentümerkonto eröffnen, oder wenn Ihr letztes Eigentümerkonto gelöscht wird, löschen wir die Anmeldung nach 30 Tagen ohne Nutzung. Fragen zu Ihrer Anmeldung: privacy@dpphost.eu.
Sicherheitsmeldungen: Über die Passseite eines Produkts können Sie ohne Eigentümerkonto Sicherheitsmeldungen zu diesem Produkt anfordern. Die Marke speichert dann Ihre E-Mail-Adresse, deren Sprache und das Produkt und nutzt sie nur, um Sie über Sicherheitswarnungen und Rückrufe zu informieren (Art. 35 der Verordnung (EU) 2023/988), nie für Werbung; sie sieht nur, wie viele Personen sich angemeldet haben. Registrierte Eigentümer erhalten diese Meldungen an die Adresse ihres Kontos oder an eine gesonderte Adresse, die sie angeben. Jede Meldung enthält einen Link zum Abbestellen; danach wird die Adresse gelöscht, ebenso eine gesonderte Adresse, die nicht innerhalb von 7 Tagen bestätigt wird. Die Anmeldung, mit der Sie Ihre Adresse bestätigen, wird direkt danach gelöscht, es sei denn, Sie haben ein Eigentümerkonto oder ein Konto im Dashboard.
Kaufbelege: Hat ein Geschäft, das die Marke verknüpft hat, Ihren Kaufbeleg beim Kauf eines Produkts hinzugefügt und haben Sie ihn bei der Übernahme des Produkts behalten, wird er mit Ihrer Registrierung aufbewahrt, und nur Sie können ihn sehen oder herunterladen. Die Marke sieht ihn nur, wenn Sie ihn einer Reparatur- oder Garantieanfrage beifügen, und nur, solange diese Anfrage offen ist. Er wird gelöscht, wenn Ihre Registrierung endet, zum Beispiel wenn Sie das Produkt übergeben, oder wenn Sie ihn entfernen; der nächste Eigentümer sieht ihn nie. Er wird in der EU bei Cloudflare gespeichert und ist in keiner Sicherungskopie enthalten.
Fahrräder und Batterien: Sind ein Fahrrad und seine Batterie beide auf Sie registriert, halten wir außerdem fest, welche Batterie in welchem Fahrrad eingesetzt ist, damit jede Karte das jeweils andere Teil nennt und ein Verkauf beide umfassen kann; die Marke sieht das nicht, und die Verknüpfung endet, wenn ein Teil allein verkauft, als verloren oder gestohlen markiert oder recycelt wird.
Verloren oder gestohlen: Wenn Sie ein Produkt als verloren oder gestohlen markieren und Findern erlauben, Ihnen zu schreiben, steht auf seiner Passseite, dass sein Eigentümer es sucht, mit einer Schaltfläche, um Ihnen eine Nachricht zu senden; die Seite zeigt nie Ihren Namen oder wie Sie erreichbar sind. Was ein Finder sendet, erreicht nur Sie: auf Ihrer Produktseite, auf Ihrer Wallet-Karte und in einer E-Mail, die Ihnen mitteilt, dass eine Nachricht eingegangen ist. Die Marke sieht sie nicht. Jede Nachricht wird nach 30 Tagen gelöscht oder schon vorher, wenn Sie sie melden oder Ihre Registrierung endet.
Wenn Sie dem Eigentümer eines gefundenen Produkts schreiben
Hat der Eigentümer eines Produkts es als verloren oder gestohlen markiert und erlaubt er Findern, ihm zu schreiben, enthält die Passseite des Produkts eine Schaltfläche, um dem Eigentümer eine Nachricht zu senden. Das Formular auf app.dpphost.eu fragt, wo sich das Produkt befindet; Sie können außerdem Ihren Standort hinzufügen (nur wenn Sie das möchten, und Ihr Browser fragt Sie vorher), eine Möglichkeit, wie der Eigentümer Sie erreichen kann, und eine kurze Nachricht. Wir geben dies nur an den registrierten Eigentümer des Produkts weiter: alles auf seiner Produktseite und den Ort, den Sie eingegeben haben, auf seiner Wallet-Karte; seine E-Mail teilt ihm nur mit, dass eine Nachricht eingegangen ist. Die Marke sieht Ihre Nachricht nie, und sie wird für nichts anderes verwendet. Für ihre Eigentümer-Services ist die Marke Verantwortlicher, und DPP Host verarbeitet Ihre Nachricht in ihrem Auftrag (siehe „Wenn Sie die Eigentümer-Services einer Marke nutzen“); Rechtsgrundlage ist das berechtigte Interesse des Eigentümers und Ihr eigenes daran, dass das Produkt zu seinem Eigentümer zurückkommt (Art. 6 Abs. 1 lit. f DSGVO). Ihre Nachricht wird nach 30 Tagen gelöscht oder schon vorher, wenn der Eigentümer sie meldet oder seine Registrierung endet.
Um Eigentümer vor Missbrauch zu schützen, prüft DPP Host als Verantwortlicher mit Cloudflare Turnstile, ob ein Mensch das Formular absendet, und begrenzt, wie viele Nachrichten eine Netzwerkadresse senden kann. Für diese Begrenzung speichern wir einen schlüsselbasierten Hash Ihrer IP-Adresse, nie die Adresse selbst: in unseren Zählern höchstens einen Tag lang und zusammen mit Ihrer Nachricht, solange diese aufbewahrt wird. Meldet der Eigentümer Ihre Nachricht, wird sie gelöscht, und Nachrichten von derselben gehashten Adresse werden 7 Tage lang abgelehnt. Links sind in Nachrichten nicht erlaubt. Das Formular setzt keine Cookies und speichert nichts in Ihrem Browser. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Soll Ihre Nachricht früher gelöscht werden, schreiben Sie an privacy@dpphost.eu und nennen Sie das Produkt und den Zeitpunkt, zu dem Sie sie gesendet haben.
Meldungen zu Inhalten
Wenn Sie über das Formular auf unserer Seite zum Melden von Inhalten einen Inhalt melden, speichern wir Ihren Text, die gemeldete Webadresse, Ihren Namen und Ihre E-Mail-Adresse, falls angegeben, sowie einen schlüsselbasierten Hash Ihrer IP-Adresse. Die Meldung nutzen wir, um sie zu bearbeiten und unsere Pflichten nach dem Gesetz über digitale Dienste zu erfüllen (Art. 6 Abs. 1 lit. c DSGVO). Die betroffene Organisation erfährt nie, wer die Meldung gesendet hat. Den IP-Hash nutzen wir nur, um Missbrauch des Formulars zu begrenzen; das ist unser berechtigtes Interesse daran, dass es für alle nutzbar bleibt (Art. 6 Abs. 1 lit. f DSGVO). Den IP-Hash löschen wir nach 30 Tagen. Nach Ablauf von 3 Jahren ab unserer Entscheidung löschen wir Ihren Namen, Ihre E-Mail-Adresse und Ihren Text; wir behalten nur die Referenz, die Datumsangaben, die Kategorie, die gemeldete Webadresse und die Entscheidung als Nachweis dafür, wie wir die Meldung bearbeitet haben.
Speicherort und Empfänger
Unsere Datenbank, unsere Anmeldung und unsere Serverfunktionen laufen bei Supabase in Frankfurt am Main, Deutschland. Cloudflare liefert unsere Websites über sein weltweites Netz aus dem Rechenzentrum aus, das Ihnen am nächsten liegt, bewahrt unsere gespeicherten Dateien in der EU auf und leitet E-Mails an hello@dpphost.eu und privacy@dpphost.eu an unsere Postfächer bei Microsoft (Microsoft 365) und Google (Gmail) weiter. Resend versendet unsere E-Mails. Anthropic liest die Dateien und Seiten, die Sie unter „Neuer Pass“ ablegen, sowie die GS1-Dokumente, die Sie GTIN-Ansprüchen hinzufügen, und schreibt die Antworten des Guides. Supabase, Cloudflare, Microsoft, Resend und Anthropic sind unsere Auftragsverarbeiter. Stripe wickelt Zahlungen ab, wie oben beschrieben. Sie alle sind US-amerikanische Unternehmen oder gehören zu US-amerikanischen Unternehmensgruppen. Soweit personenbezogene Daten in die USA gelangen oder von außerhalb der EU auf sie zugegriffen wird, stützt sich die Übermittlung an unsere Auftragsverarbeiter und an Stripe auf die Standardvertragsklauseln der Europäischen Kommission im Auftragsverarbeitungsvertrag des jeweiligen Anbieters und bei Cloudflare, Resend und Stripe zusätzlich auf den Datenschutzrahmen EU-USA. Eine Kopie dieser Garantien erhalten Sie auf Anfrage an privacy@dpphost.eu. Unsere Liste der Unterauftragsverarbeiter, mit dem Tag, ab dem jeweils ein neuer tätig wird, finden Sie unter dpphost.eu/sub-processors (auf Englisch).
Weitere Empfänger: Das VIES-Register der EU erhält die Umsatzsteuer-Identifikationsnummer einer Organisation, die geprüft wird; Google, Apple und Microsoft wirken als eigenständige Verantwortliche an Anmeldungen mit, die Sie über sie beginnen; die Anbieter von KI-Apps, die Sie verbinden, erhalten, was die App für Sie abruft; Marken erhalten, was sie nach diesen Hinweisen sehen; und Behörden erhalten Daten, soweit das Gesetz es verlangt, zum Beispiel die Polizei nach dem Gesetz über digitale Dienste. Wir verkaufen keine personenbezogenen Daten.
Sicherungskopien und Exporte
Jede Nacht kopieren wir jeden veröffentlichten Produktpass in einen getrennten Speicher bei Cloudflare in der EU, damit Produktpässe wiederhergestellt werden können; die Kopie enthält nur, was die Passseiten zeigen. Jede nächtliche Kopie bewahren wir 35 Tage auf, eine Kopie pro Monat 400 Tage. Die Administratoren einer Organisation können deren Produktpässe, Entwürfe, Lieferantendateien, Medien und Seiten als ZIP-Dateien herunterladen, die wir nach 7 Tagen löschen; ein solcher Export enthält keine Daten von Mitgliedern oder Eigentümern, keine Schlüssel und keine Abrechnungsdaten. Gelöschte Daten können bis zu 7 Tage lang in den verschlüsselten Sicherungskopien der Datenbank verbleiben, bevor sie überschrieben werden.
Ihre Rechte
Sie können Auskunft über Ihre Daten, ihre Berichtigung oder Löschung, die Einschränkung ihrer Verarbeitung oder eine Kopie in einem maschinenlesbaren Format verlangen, und Sie können einer Verarbeitung widersprechen, die auf unserem berechtigten Interesse beruht. Schreiben Sie dazu an privacy@dpphost.eu. Wir antworten innerhalb eines Monats und können Sie bitten, Ihre Identität zu bestätigen. Ist eine Marke für Ihre Daten verantwortlich (siehe „Wenn eine Marke verantwortlich ist“), wenden Sie sich an die Marke, oder schreiben Sie uns, und wir leiten Ihr Anliegen weiter. Abgesehen von der automatischen VIES-Prüfung (siehe „Organisationen, Unternehmensprüfungen und GTINs“) treffen wir keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen über Sie, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Sie können außerdem bei der dänischen Datenschutzbehörde (Datatilsynet, datatilsynet.dk) oder bei der Datenschutzbehörde des Landes, in dem Sie leben oder arbeiten, Beschwerde einlegen.
Änderungen dieser Hinweise
Wir aktualisieren diese Hinweise, wenn sich ändert, was wir mit personenbezogenen Daten tun. Das Datum oben zeigt, wann wir sie zuletzt geändert haben.