Datenschutzerklärung

1. Verantwortlicher

E-Mail: info@moritz-mergenthaler.de

2. Anonyme Sitzungen

PackNavi kann vor Angabe einer E-Mail-Adresse eine zufällige, nicht erratbare Sitzungskennung erzeugen. Der Browser übermittelt sie an die API, damit Produkte, Verpackungsszenarien, Angaben, Fortschritt und Uploads serverseitig gespeichert und nur im autorisierten Kontext zurückgegeben werden.

„Anonym“ bedeutet hier, dass zunächst kein Konto erforderlich ist; es bedeutet nicht, dass alle verbundenen Daten datenschutzrechtlich anonym sind. Inhalte oder technische Datensätze können eine Identifizierung ermöglichen. Die Anwendung sieht derzeit keinen automatischen produktseitigen Ablauf anonymer Sitzungen vor. Dieses Aufbewahrungskonzept muss vor dem Produktivbetrieb abschließend festgelegt werden.

3. E-Mail, Konten und Authentifizierung

Beim Speichern einer E-Mail-Adresse verarbeitet PackNavi die normalisierte Adresse und einen Zuordnungs-Hash, erstellt oder findet Nutzer- und Organisationsbezüge und verknüpft nur die im jeweiligen Kontext zulässige aktuelle Arbeit. Bestehende Profildaten werden ohne Authentifizierung nicht offengelegt.

Für den Profil-Login wird ein sechsstelliger Einmalcode per E-Mail versandt, nur als Einweg-Hash gespeichert, auf fünf Fehlversuche begrenzt und nach 30 Minuten ungültig. Nach der Prüfung speichert PackNavi einen gehashten Authentifizierungstoken-Datensatz; der Browser hält den zugehörigen Token bis zu 30 Tage. Eine lokale Entwicklungsumgebung kann ausdrücklich für reinen E-Mail-Login konfiguriert sein; dies ist nicht der produktive Authentifizierungsweg.

4. Produkte und Verpackungsanalyse

Verarbeitet werden unter anderem Produktname und -beschreibung, Abmessungen, Masse, Material, Oberfläche, Verpackungskontext, Logistik, Umwelteinflüsse, Mengen, Prozess- und Automationsdaten, regulatorischer Kontext und weitere Verpackungsanforderungen.

Außerdem werden Fortschritt, unbekannte oder übersprungene Felder, Hilfenutzung, Vertraulichkeitsentscheidung, Revisionsbezüge und Zeitpunkte gespeichert. Dies dient der Fortsetzung, Anpassung der Oberfläche, Vollständigkeitsbewertung und Dokumenterstellung. Allgemeine Anwendungslogs sollen keine sensiblen Antwortinhalte enthalten.

5. Bilder und Dokumente

Nutzer können Produkt- und Produktionslinienbilder sowie ergänzende Dokumente hochladen. Diese können Geschäftsgeheimnisse oder personenbezogene Daten enthalten. Dateien werden validiert, im geschützten Laravel-Speicher abgelegt und über berechtigungsgeprüfte API-Endpunkte statt über vorhersagbare öffentliche URLs ausgeliefert. Große Bilder können auf einen Full-HD-Rahmen verkleinert werden.

Hochgeladene Inhalte können in ein autorisiert erzeugtes Dokument eingebettet werden. Soweit angeboten, kann stattdessen die Vertraulichkeitsausnahme dokumentiert werden.

6. Erzeugte Dokumente

PackNavi verarbeitet gespeicherte Spezifikationsdaten und geschützte Bilder, um im Backend ein autorisiertes, lokalisiertes PDF zu erzeugen. Downloads werden mit privaten No-Store-Headern ausgeliefert. Die aktuelle Implementierung bietet keine öffentlichen RFQ-Freigabelinks und keinen automatisierten RFQ-E-Mail-Versand.

Werden später geschützte Freigaben, unveränderliche RFQ-Snapshots oder E-Mail-Versand aktiviert, muss diese Erklärung vor Nutzung dieser Datenflüsse aktualisiert werden.

7. Technische und Sicherheitsdaten

Bei Anfragen werden dem Hosting- und Webserver technisch insbesondere IP-Adresse, Zeitpunkt, angeforderter Pfad und User-Agent bekannt. Abhängig von der finalen Serverkonfiguration können sie in Zugriffs- oder Sicherheitslogs stehen. Laravel führt betriebliche Fehlerprotokolle; OTP-Klartext und Dateiinhalte werden nicht gezielt protokolliert.

Sicherheitsdaten umfassen zufällige Kennungen, gehashte Sitzungs- und Authentifizierungstoken, OTP-Versuchszähler, Ablauf- und Bestätigungszeitpunkte, letzte Nutzung beziehungsweise Aktivität und Eigentumszuordnungen.

8. Cookies und lokaler Speicher

First-Party-Cookies halten den anonymen Sitzungstoken, Authentifizierungstoken, aktuelle Produkt-/Szenario-Kennungen und die Spracheinstellung für Kernfunktionen. Die Einwilligungswahl wird bis zu 180 Tage gespeichert. Nur nach Analyse-Einwilligung kann Google Analytics die Cookies _ga und _ga_<Mess-ID> für bis zu 180 Tage setzen.

LocalStorage wird nur als vorübergehende Ausfallsicherung verwendet, wenn das Speichern einer Spezifikation auf dem Server fehlschlägt. Änderungen werden erneut übertragen und nach Erfolg entfernt. Er ist nicht als reguläre Fragebogendatenbank vorgesehen. Einzelheiten stehen in den Cookie- und Speicherinformationen.

9. E-Mail, Hosting, Analyse und Empfänger

Produktives Hosting, Datenbank-/Dateispeicher und Transaktions-E-Mail sollen über STRATO-Dienste betrieben werden. Transaktions-E-Mail wird derzeit für den OTP-Login eingesetzt. Die lokale Entwicklung nutzt standardmäßig einen nicht zustellenden Array-Mailer.

Nach aktiver Einwilligung misst Google Analytics von Google Ireland Limited Seitenaufrufe und Navigation anhand des Pfads ohne Suchparameter, Seitentitels, Geräte-/Browserinformationen, der aus der IP-Adresse abgeleiteten ungefähren Region und Online-Kennungen. PackNavi deaktiviert Werbespeicherung, Werbenutzerdaten, Personalisierung und Google Signals. Vor der Einwilligung wird der Google-Tag nicht geladen.

Daten können an notwendige Hosting- und E-Mail-Infrastrukturanbieter, nur nach Analyse-Einwilligung an Google sowie bei gesetzlicher Pflicht an Behörden oder Berater übermittelt werden. Verträge, Konfiguration und Empfängerliste müssen vor Produktion abschließend geprüft werden.

10. Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der angeforderten Leistung, vorvertraglichen oder vertraglichen Schritten, Authentifizierung, Sicherheit, Missbrauchsprävention, Dokumenterstellung, Kommunikation und Erfüllung rechtlicher Pflichten. Je nach Beziehung und Daten kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO für angeforderte Vertragsschritte, lit. f für sicheren Betrieb und B2B-Kommunikation sowie lit. c für rechtliche Pflichten in Betracht.

Die optionale Google-Analytics-Verarbeitung wird nur nach Einwilligung aktiviert und stützt sich auf Art. 6 Abs. 1 lit. a DSGVO zusammen mit der anwendbaren Endgeräte-Regelung. Einwilligung ist keine Grundlage der Kernleistung und kann jederzeit über die Datenschutzeinstellungen widerrufen werden.

11. Speicherdauer und Löschung

Konto-, Produkt-, Spezifikations- und Dokumentdaten werden aufbewahrt, solange dies für Profil und Dienst erforderlich ist, bis zu einem wirksamen Lösch- oder Schließungsbegehren und danach nur, soweit Rechtspflichten, Sicherheit, Beweiszwecke oder Ansprüche dies erfordern. Uploads folgen grundsätzlich dem Lebenszyklus der zugehörigen Produktinhalte.

Anonyme Sitzungen haben derzeit keinen automatischen produktseitigen Ablauf. OTP-Herausforderungen werden nach 30 Minuten ungültig; der Zeitpunkt der Datenbankbereinigung abgelaufener Datensätze ist noch nicht abschließend festgelegt. Authentifizierungstoken laufen nach bis zu 30 Tagen ab oder werden beim Logout gelöscht. Log-, Backup- und E-Mail-Aufbewahrung hängt von der finalen Produktivkonfiguration ab. Exakte Fristen und Lösch-/Anonymisierungsregeln benötigen vor Start rechtliche und betriebliche Freigabe.

Browser-Cookies laufen gemäß ihrer konfigurierten Dauer ab oder werden vom Nutzer gelöscht. Die LocalStorage-Fehlerwarteschlange bleibt bis zur erfolgreichen Synchronisierung oder Browserlöschung.

12. Internationale Übermittlungen

Google Analytics kann Zugriffe oder Verarbeitungen durch Google-Gesellschaften außerhalb des EWR, insbesondere in den USA, beinhalten. Anwendbare Übermittlungsmechanismen, Google-Vertragsbedingungen und die endgültige Produktivkonfiguration müssen vor Start geprüft werden. Das gilt auch für andere Produktionsanbieter.

13. Sicherheit

PackNavi nutzt Maßnahmen wie nicht erratbare Kennungen, Einweg-Hashing von Token und OTP, Eigentumsprüfungen, geschützte Dateiauslieferung, Validierung, Raten- und Versuchslimits sowie reduzierte öffentliche Exposition. Absolute Sicherheit kann kein System garantieren. Nutzer sollten nur notwendige Inhalte hochladen und E-Mail-Konto sowie Geräte schützen.

14. Automatisierte Entscheidungen

Regelbasierte Verzweigungen und Vollständigkeitsberechnungen passen die Analyse an und zeigen fehlende Angaben. Sie treffen derzeit keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Personen im Sinne von Art. 22 DSGVO.

15. Betroffenenrechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen interessenbasierte Verarbeitung. Beruht eine Verarbeitung auf Einwilligung, kann diese für die Zukunft widerrufen werden. Zudem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.

Anfragen können an info@moritz-mergenthaler.de gerichtet werden. Zum Schutz vor unbefugter Offenlegung kann eine Identitätsprüfung erforderlich sein. Rechte können durch anwendbares Recht und Rechte anderer begrenzt sein.

Amtlicher Text der DSGVO (EUR-Lex) (öffnet in einem neuen Fenster)

16. Änderungen dieser Erklärung

Diese Erklärung wird bei Änderungen der Verarbeitung angepasst. Wesentliche Änderungen werden in Version, Aktualisierungs- und Gültigkeitsdatum abgebildet und, soweit erforderlich, mitgeteilt.