Verantwortlich für die Datenverarbeitung auf dieser Website ist: Simon Schmandt, Am Köhler 63, 42349 Wuppertal, Deutschland E-Mail: kontakt@skarva.de – siehe auch Impressum.
2. Welche Daten wir zu welchem Zweck verarbeiten
Konto: E-Mail-Adresse und Passwort (verschlüsselt gespeichert), um dich anzumelden und dein Konto zu betreiben. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Organisation & Team: Organisationsname, deine Rolle, Team-Zugehörigkeit, Einladungen (E-Mail-Adressen der eingeladenen Personen). Rechtsgrundlage: Vertrag bzw. berechtigtes Interesse an der Team-Verwaltung (Art. 6 Abs. 1 lit. b und f DSGVO).
Digitale Profilseite: die Inhalte, die du selbst einträgst (Name, Position, Firma, Telefon, E-Mail, Adresse, Links, Logo/Bild, eigene Felder) und dein Kartendesign. Die Profilseite ist öffentlich abrufbar – das ist der Zweck des Produkts. Rechtsgrundlage: Vertrag und deine Eingabe (Art. 6 Abs. 1 lit. b DSGVO).
Kontaktanfragen (Leads): nutzt ein Besucher deiner Profilseite das Kontaktformular, speichern wir die eingegebenen Angaben (Name, optional E-Mail, Telefonnummer und Nachricht, im Team-Tarif auch bis zu drei Bilder) und stellen sie der zugehörigen Organisation bereit. Hinterlässt der Besucher eine E-Mail-Adresse, kann er eine automatische Eingangsbestätigung erhalten. Rechtsgrundlage: Einwilligung des Besuchers (Art. 6 Abs. 1 lit. a DSGVO), die beim Absenden aktiv erteilt wird. Als Nachweis speichern wir Zeitpunkt und Fassung der Einwilligung zusammen mit der Anfrage.
Fotos zu Kontaktanfragen: Nutzer können zu einer Kontaktanfrage optional ein Foto der Person speichern (z. B. bei einem Messekontakt). Das Foto wird verkleinert gespeichert, ist nur für berechtigte Personen der Organisation sichtbar und wird mit der Anfrage gelöscht. Die Organisation, die das Foto aufnimmt, ist dafür verantwortlich, dass die abgebildete Person einverstanden ist (Art. 6 Abs. 1 lit. a DSGVO).
Kontakt-Scanner (optional, nur im Team-Tarif): fotografiert ein Nutzer die Visitenkarte einer anderen Person, wird der Text direkt auf seinem Gerät erkannt (Texterkennung im Browser, die Erkennungsdateien kommen von unserem eigenen Server); das Foto wird dafür nicht an Dritte übermittelt. Name, Firma, Position, E-Mail und Telefon der fotografierten Person werden dem Nutzer zur Prüfung angezeigt. Erst nach der Bestätigung durch den Nutzer wird ein Kontakt gespeichert (mit einer verkleinerten Fassung des Fotos). Die Organisation, die scannt, ist dafür verantwortlich, die betroffene Person zu informieren und über eine Rechtsgrundlage zu verfügen (z. B. Art. 6 Abs. 1 lit. f DSGVO bei einem Messekontakt). Gescannte Kontakte erhalten keine automatischen Bewertungs-E-Mails. Zur Missbrauchsbegrenzung zählen wir die Scans je Nutzer und Tag (der Zähler wird nach 90 Tagen gelöscht).
Terminbuchung (optional, nur im Team-Tarif): bucht ein Besucher einen Termin, speichern wir Name, E-Mail und/oder Telefonnummer, Termin und eine optionale Notiz und senden eine Bestätigung mit einem Absage-Link. Buchungen werden nach 12 Monaten gelöscht. Rechtsgrundlage: vorvertragliche Maßnahmen bzw. Einwilligung des Besuchers (Art. 6 Abs. 1 lit. a und b DSGVO).
Team-Chat (nur im Team-Tarif): Nachrichten, Bilder, Dateien, Sprach- und Videonachrichten, die Mitglieder einer Organisation untereinander austauschen. Sie sind nur für die Teilnehmer der Unterhaltung sichtbar; die Organisation kann Anhänge und – falls eingestellt – ganze Nachrichten nach einer von ihr gewählten Frist automatisch löschen lassen. Rechtsgrundlage: Vertrag bzw. berechtigtes Interesse an der Team-Zusammenarbeit (Art. 6 Abs. 1 lit. b und f DSGVO).
Erinnerungen und Bewertungsanfragen (optional, nur im Team-Tarif): Erinnerungen zu Kontaktanfragen kommen als Benachrichtigung an die Person, die sie gesetzt hat. Aktiviert eine Organisation Bewertungsanfragen, versenden wir nach einer von ihr festgelegten Frist eine einmalige E-Mail nur an Personen, die im Kontaktformular dafür ein gesondertes, nicht vorangekreuztes Kästchen aktiviert und eine E-Mail-Adresse hinterlassen haben (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit formlos widerruflich). Die Einwilligung wird im Double-Opt-in-Verfahren bestätigt: Der Besucher erhält zuerst eine E-Mail mit einem Bestätigungslink, erst danach kann eine Bewertungsanfrage versendet werden. Über Zweck und Mittel entscheidet die Organisation; wir handeln insoweit in ihrem Auftrag.
Aufruf-Statistik (Auswertung im Team-Tarif): beim Aufruf einer Profilseite speichern wir ein Ereignis mit Zeitpunkt, grobem Gerätetyp (Handy/Desktop) und Quelle (QR/NFC). Bei Klick auf einen Link oder ein Kontaktfeld speichern wir dessen Bezeichnung. Es werden dabei keine IP-Adressen, Standortdaten oder personenbezogenen Besucherprofile gespeichert; die Auswertung ist rein aggregiert. Rechtsgrundlage: berechtigtes Interesse des Karteninhabers an der Reichweitenmessung der eigenen Karte (Art. 6 Abs. 1 lit. f DSGVO).
Bestellungen & Zahlungen: bestellte Karten/Mengen, Lieferadresse, Bestell- und Zahlungsstatus. Die Zahlung wickelt Stripe ab (siehe Abschnitt 4); Kreditkarten-/Bankdaten verarbeiten wir nicht selbst. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
Bestätigung als Unternehmer: Skarva verkauft nur an Firmen und Selbstständige. Bestätigt eine Firma das, speichern wir den angegebenen Firmennamen, den Zeitpunkt und wer bestätigt hat, als Nachweis. Rechtsgrundlage: Vertrag und berechtigtes Interesse an einem Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO); gespeichert bis zur Löschung der Firma.
Sticker- und Chip-Bestellungen: von dir hochgeladene Logos und Texte, Menge, NFC-Ziel (Webadresse oder Skarva-Seite), Lieferadresse und Bestellstatus. Unbezahlte Entwürfe löschen wir nach spätestens 30 Tagen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Einladungen & E-Mails: lädt eine Organisation Personen ein, verwenden wir die angegebene E-Mail-Adresse (auch eine nicht öffentlich angezeigte Einlade-Adresse) ausschließlich, um die Einladung zu versenden. Rechtsgrundlage: Vertrag bzw. berechtigtes Interesse an der Team-Verwaltung (Art. 6 Abs. 1 lit. b und f DSGVO).
Karten-Aktivierung: hinterlegt eine Organisation die E-Mail-Adressen ihrer Mitarbeiter (Freigabeliste), gleichen wir beim ersten Scan einer neutralen Firmenkarte die bestätigte E-Mail-Adresse der scannenden Person mit dieser Liste ab, um die Karte der richtigen Person zuzuordnen. Steht die Adresse nicht auf der Liste, geht eine Anfrage (E-Mail-Adresse, gewünschte Karte) an die Inhaber bzw. Admins der Organisation. Über Zweck und Mittel entscheidet die Organisation; wir handeln insoweit in ihrem Auftrag (Art. 6 Abs. 1 lit. b und f DSGVO).
Kontakt- und Sonderwunsch-Formular: Name, E-Mail-Adresse, Nachricht und betroffenes Produkt, um deine Anfrage zu beantworten. Die Angaben löschen wir nach Abschluss der Bearbeitung, soweit keine Aufbewahrungspflichten bestehen. Rechtsgrundlage: Einwilligung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. a und b DSGVO).
CRM-Anbindung und Webhook (optional): aktiviert eine Organisation diese Funktion, übermitteln wir die über ihre Profilseiten eingegangenen Kontaktanfragen an das von ihr gewählte CRM (HubSpot oder Pipedrive) bzw. an eine von ihr festgelegte Webhook-Adresse. Über Zweck und Mittel entscheidet die Organisation; wir handeln insoweit in ihrem Auftrag. Die Zugangsdaten werden verschlüsselt gespeichert.
Push-Benachrichtigungen (optional): schaltest du sie unter Einstellungen ein, speichern wir die technische Adresse deines Geräts bzw. Browsers (Push-Endpunkt und Schlüssel), um dir z. B. neue Kontaktanfragen zu melden. Die Zustellung läuft über den Push-Dienst deines Browser- bzw. Geräteanbieters (z. B. Google, Apple, Mozilla; siehe Abschnitt 4). Du kannst sie jederzeit ausschalten, dann löschen wir die Adresse. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Google Wallet (optional): tippst du auf „Zu Google Wallet hinzufügen“, erzeugen wir einen Link, der Name, Rolle, Firma, die Adresse deiner Profilseite (als QR-Code) und – falls vorhanden – das Logo deiner Profilseite enthält, und leiten dich zu Google weiter. Google speichert den Pass in deinem Google-Konto. Ohne dein Tippen auf den Knopf werden keine Daten an Google übermittelt. Wir speichern die Kennung des Passes zusammen mit deiner Profilseite, damit wir ihn sperren können, wenn die Profilseite gelöscht wird (danach wird auch die Kennung gelöscht). Rechtsgrundlage: dein Wunsch, die Karte im Wallet zu speichern (Art. 6 Abs. 1 lit. b DSGVO).
Notizen und Sprachnotizen: Texte und Audioaufnahmen, die du selbst zu deinem Konto oder zu einer Kontaktanfrage speicherst. Sie liegen in einem privaten Speicherbereich und sind nur für dich bzw. die berechtigten Personen deiner Organisation abrufbar. Wer Aufnahmen zu anderen Personen macht, muss deren Einverständnis einholen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO), bei Aufnahmen anderer Personen deren Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Interne Kommunikation (Pinnwand): Beiträge, Antworten und Anhänge, die Mitglieder einer Organisation untereinander austauschen. Sie sind nur für Mitglieder dieser Organisation sichtbar. Rechtsgrundlage: Vertrag bzw. berechtigtes Interesse an der Team-Zusammenarbeit (Art. 6 Abs. 1 lit. b und f DSGVO).
Team-Abo: Tarif, Anzahl der Sitze, Abo- und Zahlungsstatus, Stripe-Kunden-/Abo-ID. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
Partnerprogramm (Affiliate): falls du daran teilnimmst: dein Partner-Code, wer dich geworben hat / wen du geworben hast, erfasste Provisionen und – für die Auszahlung – Name und IBAN. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Meldet ein Partner vorab eine Firma, die er vermittelt hat („Vorab-Meldung“), speichern wir Firmenname, Ansprechperson und E-Mail-Adresse, die der Partner angegeben hat, um die Vermittlung später einer Provision zuzuordnen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO; Information der Betroffenen nach Art. 14 DSGVO über diesen Absatz). Offene Meldungen verfallen nach 60 Tagen, alle Meldungen werden spätestens 12 Monate nach Eingang gelöscht.
Schutz vor Missbrauch: um das systematische Durchprobieren von Karten-Codes zu verhindern, zählen wir falsche Code-Eingaben pro angemeldetem Nutzer bzw. pro IP-Adresse (als nicht umkehrbarer Hashwert). Die Zähler werden nach einem Tag gelöscht. Ebenso begrenzen wir Kontaktanfragen, Terminbuchungen und andere Formulare mit Zählern pro IP-Adresse bzw. E-Mail-Adresse, die wir ebenfalls nur als nicht umkehrbaren Hashwert speichern und spätestens nach zwei Tagen löschen. Rechtsgrundlage: berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
Kundenbuch und Kundenhistorie (Team-Tarif): Organisationen können Kontaktanfragen, Termine und Notizen zu einer Person zusammenführen. Über Zweck und Mittel entscheidet die Organisation; wir handeln insoweit in ihrem Auftrag.
Server-Logfiles: beim Aufruf der Seiten fallen beim Hosting-Anbieter technische Zugriffsdaten an (u. a. IP-Adresse, Zeitpunkt, aufgerufene Seite). Rechtsgrundlage: berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
3. Lokale Speicherung im Browser (Cookies & Ähnliches)
Skarva setzt keine Werbe- oder Tracking-Cookies ein. Verwendet werden:
Notwendig: Anmelde-Informationen (damit du eingeloggt bleibst) und der Inhalt deines Warenkorbs. Während eines Bestellvorgangs speichern wir deine Eingaben zusätzlich höchstens 24 Stunden, damit sie nach der Bestätigung deiner E-Mail-Adresse (meist in einem neuen Tab) noch da sind; beim Abschluss der Bestellung und beim Abmelden wird diese Kopie gelöscht. Kommst du über den Empfehlungslink eines Partners, merken wir uns dessen Code bis zu deiner Registrierung, höchstens 30 Tage; danach steht er an deinem Konto (siehe Partnerprogramm) und wird im Browser gelöscht. Ohne diese Speicher funktionieren Anmeldung und Bestellung nicht; keine Einwilligung erforderlich (§ 25 Abs. 2 TDDDG).
Notwendig für den Kontakt-Scanner: nutzt du den Scanner, legt der Browser die Erkennungsdateien (Sprachdaten, keine personenbezogenen Daten) in seinem Speicher ab, damit sie nicht bei jedem Scan neu geladen werden müssen (§ 25 Abs. 2 TDDDG). Du kannst sie über die Browser-Einstellungen („Websitedaten löschen“) entfernen.
Funktional (Einwilligung erforderlich): Speicherung deines Karten-Entwurfs im Browser, damit er beim nächsten Besuch noch da ist, sowie Anzeige-Einstellungen (z. B. Menüansicht) und ein Merker, dass die Einführungstour gezeigt wurde.
4. Empfänger / Auftragsverarbeiter
Zum Betrieb von Skarva setzen wir folgende Dienstleister ein:
Supabase (Datenbank & Authentifizierung): Supabase Pte. Ltd., Singapur. Die für Skarva genutzten Server liegen innerhalb der Europäischen Union. Da der Anbieter seinen Sitz außerhalb der EU hat, kann ein Zugriff aus einem Drittland nicht vollständig ausgeschlossen werden; es gelten die EU-Standardvertragsklauseln.
Push-Dienste (nur wenn du Push-Benachrichtigungen aktivierst): der Dienst deines Browser- bzw. Geräteanbieters (z. B. Google, Apple, Mozilla) erhält die Benachrichtigung samt Push-Endpunkt, um sie an dein Gerät zuzustellen.
Google Wallet (nur wenn du die Karte ins Wallet legst): Google Ireland Limited (Irland) bzw. Google LLC (USA). Google erhält die Angaben des Passes (Name, Rolle, Firma, Adresse der Profilseite, Logo) und speichert ihn in deinem Google-Konto; dafür gelten die Datenschutzbestimmungen von Google. Der Pass wird bei Google unter unserem Aussteller-Konto angelegt; wir speichern nur seine Kennung, um ihn sperren zu können. Wird dein Profil oder dein Konto gelöscht, sperren wir den Pass innerhalb eines Tages über die Google-Schnittstelle (er wird dann als abgelaufen angezeigt); entfernen kannst du ihn jederzeit selbst in deinem Wallet. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.
Hosting der Website: Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Die Server, auf denen die Website ausgeführt wird, stehen in Frankfurt am Main (EU); die Vertragspartnerin selbst hat ihren Sitz in den USA. Für eine damit verbundene Datenübermittlung in die USA gelten die EU-Standardvertragsklauseln.
Zahlungsabwicklung: Stripe Payments Europe, Ltd., Irland (mit Stripe, Inc., USA). Stripe verarbeitet die Zahlungsdaten eigenverantwortlich; es gilt zusätzlich die Datenschutzerklärung von Stripe.
E-Mail-Versand (Bestätigungs-, Bestell-, Versand- und Einladungs-Mails, Passwort-Zurücksetzen, Benachrichtigungen zu Kontaktanfragen, optionale wöchentliche Zusammenfassung): Resend (Plus Five Five, Inc., USA). Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.
Domain und E-Mail-Postfach: STRATO GmbH, Berlin (Domain und E-Mail-Postfach). Schreibst du uns an kontakt@skarva.de, liegt deine Nachricht in unserem Postfach bei diesem Anbieter (Server in Deutschland).
CRM-Anbieter (nur auf Veranlassung der jeweiligen Organisation): HubSpot Ireland Ltd. (Irland) bzw. Pipedrive OÜ (Estland). Die Organisation schließt den Vertrag mit dem CRM-Anbieter selbst; wir übermitteln nur auf ihre Weisung.
Kartendruck & Versand: Die physischen Karten werden von uns selbst hergestellt. Für den Versand geben wir Name und Lieferadresse an den Versanddienstleister (DHL / Deutsche Post) weiter.
5. Speicherdauer
Konto-, Profil- und Organisationsdaten: bis zur Löschung des Kontos.
Einladungen: 7 Tage gültig (Einladungen zu einem vorbereiteten Profil 30 Tage); erledigte Einladungen werden nach spätestens 90 Tagen entfernt.
Kontaktanfragen (Leads): spätestens 24 Monate nach Eingang der Anfrage (automatisierte Löschung).
Terminbuchungen: 12 Monate nach dem Termin.
Kundenstamm (von der Firma per CSV-Import oder Schnittstelle eingespielte Kundendaten): bis die Firma sie löscht, spätestens mit der Löschung der Organisation. Wir verarbeiten sie im Auftrag der Firma.
Team-Chat, Pinnwand-Beiträge und Notizen: bis zur Löschung durch den Nutzer bzw. die Organisation, spätestens mit der Löschung des Kontos bzw. der Organisation; Chat-Anhänge und – falls eingestellt – ganze Chat-Nachrichten nach der von der Organisation gewählten Frist (90 Tage bis 2 Jahre). Löscht eine Person ihr Konto, werden auch ihre Pinnwand-Beiträge und -Antworten gelöscht.
Partner-Codes und Provisionsdaten: solange das Partnerkonto besteht. Ausgezahlte Provisionen und bezahlte Partnerkarten-Bestellungen bewahren wir nach dem Löschen des Partnerkontos als Buchungsnachweis (mit Name, Partner-Code und Bankverbindung der Auszahlung) für die gesetzliche Frist von 10 Jahren ab Ende des Kalenderjahres der Zahlung auf.
Protokoll sensibler Aktionen im Betreiber-Bereich: 24 Monate.
Sprachnotizen zu Kontaktanfragen: im Tarif Standard 90 Tage, danach wird die Aufnahme automatisch gelöscht; mit Skarva Team bleibt sie bis zur Löschung der Anfrage oder bis der Nutzer sie löscht.
Unbezahlte Karten-Bestellungen: 24 Stunden bzw. 14 Tage, wenn eine Zahlung begonnen wurde (automatische Bereinigung).
Demo zum Team-Paket ohne anschließende Bestellung: 30 Tage nach Ablauf der Demo werden die Firma, die gestalteten Karten-Entwürfe und das Konto automatisch gelöscht. Während der Demo und nach ihrem Ablauf schicken wir dir Erinnerungs-E-Mails (u. a. einen Hinweis kurz vor der Löschung; Vertragsabwicklung).
Freiwilliges Feedback nach der Demo (Was hat gefallen, was fehlt): 24 Monate. Es wird mit dem Firmennamen gespeichert, ohne Nutzerkennung; deine E-Mail-Adresse speichern wir dazu nur, wenn du Rückfragen ausdrücklich erlaubst. Es bleibt auch bestehen, wenn du danach dein Konto löschst, und kann auf Anfrage gelöscht werden.
Anfragen zur Karten-Aktivierung: 90 Tage nach der Entscheidung (offene Anfragen 90 Tage nach Eingang); benutzte Einträge der Freigabeliste: 24 Monate nach der Aktivierung (nicht benutzte: bis die Organisation sie entfernt, spätestens 24 Monate nach der Anlage).
Unbezahlte Sticker-/Chip-Entwürfe: 30 Tage.
Nach der Löschung eines Kontos bewahren wir bezahlte Bestell- und Rechnungsdaten in einem gesperrten Archiv nur so lange auf, wie es gesetzlich vorgeschrieben ist, und löschen sie danach.
Statistik-Ereignisse (Aufrufe, Klicks): Rohereignisse werden nach 24 Monaten automatisch gelöscht.
Bestell- und Rechnungsdaten: gemäß gesetzlicher Aufbewahrungsfristen (§ 257 HGB / § 147 AO): Rechnungen und Buchungsbelege 10 Jahre, Geschäftsbriefe 6 Jahre, jeweils ab Ende des Kalenderjahres.
6. Deine Rechte
Du hast im Rahmen der gesetzlichen Vorgaben das Recht auf:
Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20),
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft,
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).
Angemeldete Nutzer können ihre Daten unter Einstellungen selbst als Datei exportieren und ihr Konto dort löschen. Mit der Löschung des Kontos werden auch deine Chat-Nachrichten namentlich entfernt (sie erscheinen dann als „Gelöschte Person“). Für alle anderen Anliegen – insbesondere zu Kontaktanfragen, die du als Besucher hinterlassen hast – wende dich an kontakt@skarva.de.
7. Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.