Scanlead Datenschutzerklärung

Fassung vom 30. September 2026. Aktuell gültige Fassung, verbindlich für alle Nutzer des Scanlead-Dienstes.

1. Identität des Verantwortlichen

Verantwortlicher im Sinne von Artikel 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) ist:

Quantum Liquid LLC, eine Gesellschaft mit beschränkter Haftung nach dem Recht des Bundesstaates Wyoming (Wyoming Limited Liability Company), mit Sitz in 30 N Gould St, Sheridan, WY 82801, Vereinigte Staaten von Amerika.

Website: https://scanlead.io. Kontaktadresse für alle Anfragen zu personenbezogenen Daten: support@scanlead.io.

Quantum Liquid LLC betreibt den Dienst Scanlead, im Folgenden als „Scanlead" oder „der Dienst" bezeichnet.

Quantum Liquid LLC hat keine Niederlassung in der Europäischen Union. Sofern und sobald dies nach Artikel 27 DSGVO verpflichtend wird, benennt Quantum Liquid LLC einen Vertreter in der Union. Zum Zeitpunkt dieser Erklärung handelt die Gesellschaft unmittelbar über support@scanlead.io, wohin sich alle betroffenen Personen mit Wohnsitz in der EU, im EWR, im Vereinigten Königreich und in der Schweiz wenden können.

2. Anwendungsbereich

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten durch Scanlead im Zusammenhang mit der Nutzung der Website scanlead.io, der progressiven Webanwendung (PWA) Scanlead sowie der zugehörigen Dienste (API, CRM-Integrationen, transaktionale E-Mails).

Sie gilt für drei Personenkategorien:

Registrierte Nutzer („Nutzer"), die ein Scanlead-Konto zur Erfassung von Kontakten auf Fachmessen anlegen.
Personen, deren Kontaktdaten von einem Nutzer über den Dienst erfasst werden („Erfasste Kontakte").
Besucher der Website scanlead.io ohne Kontoerstellung.

3. Kategorien der erhobenen personenbezogenen Daten

3.1 Kontodaten des Nutzers

Bei der Kontoerstellung und während der Nutzung des Dienstes erhebt Scanlead:

E-Mail-Adresse.
Passwort, gespeichert als gesalzener Hashwert (bcrypt oder gleichwertig).
Vor- und Nachname.
Firmenname und Branche des Nutzers.
Sprach- und Zeitzoneneinstellungen.
Anmeldeprotokolle (Datum, IP-Adresse, User-Agent) zur Kontosicherheit.

3.2 Vom Nutzer erfasste Kontakte („Leads")

Wenn der Nutzer Scanlead auf einer Messe verwendet, erfasst er Daten Dritter. Diese Daten können umfassen:

Vor- und Nachname des Kontakts.
Firma und Funktion.
Geschäftliche E-Mail-Adresse.
Telefonnummer.
Freitextnotizen des Nutzers.
Vom Nutzer aufgenommenes Foto der Visitenkarte.
Zeitstempel und Ort (Name der Messe) der Erfassung.

Für diese Daten handelt der Nutzer als Verantwortlicher und Scanlead als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO. Die Bedingungen sind in der Auftragsverarbeitungsvereinbarung (DPA) geregelt, die die Nutzungsbedingungen ergänzt.

3.3 Nutzungs- und Analysedaten

Scanlead verwendet PostHog (Server in den Vereinigten Staaten), um das Nutzungsverhalten zu verstehen. Erhobene Ereignisse umfassen:

Aufgerufene Seiten, geöffnete Bildschirme.
Aktionen in der Anwendung (Schaltfläche „neuer Scan", Export, CRM-Verbindung).
Gerätetyp, Betriebssystem, Browser.
Verkürzte IP-Adresse.

Bei angemeldeten Nutzern wird diesen Ereignissen eine pseudonyme Nutzerkennung zugeordnet. Es werden keine personenbezogenen Daten von Erfassten Kontakten an PostHog übermittelt.

3.4 Zahlungsdaten

Zahlungen werden von Stripe, Inc. (Zahlungsdienstleister) abgewickelt. Scanlead speichert keine Kartendaten. Wir bewahren ausschließlich auf:

Die Stripe-Kundennummer (stripe_customer_id).
Den Abonnementstatus (aktiv, pausiert, gekündigt).
Den abonnierten Tarif und die Währung.
Die über das Stripe-Kundenportal abrufbaren Rechnungen.

3.5 Transaktionale E-Mail-Daten

Transaktionale E-Mails (Registrierungsbestätigung, Passwortrücksetzung, Aktivitätszusammenfassungen) werden über Resend versendet. Verarbeitet werden: Empfänger-E-Mail-Adresse, Betreff und Inhalt der Nachricht, Zustellstatus.

4. Zwecke und Rechtsgrundlagen

Gemäß Artikel 6 Absatz 1 DSGVO stützt sich jede Verarbeitung auf eine identifizierte Rechtsgrundlage.

Zweck	Rechtsgrundlage	Verweis
Bereitstellung des Dienstes für registrierte Nutzer	Vertragserfüllung	Art. 6 Abs. 1 lit. b
Rechnungsstellung und Erfüllung buchhalterischer Pflichten	Rechtliche Verpflichtung	Art. 6 Abs. 1 lit. c
Versand notwendiger transaktionaler E-Mails	Vertragserfüllung	Art. 6 Abs. 1 lit. b
Reichweitenmessung und Produktverbesserung über PostHog	Berechtigtes Interesse, mit Widerspruchsrecht	Art. 6 Abs. 1 lit. f
Nicht unbedingt erforderliche Cookies	Einwilligung	Art. 6 Abs. 1 lit. a
Sicherheit, Betrugsprävention, Zugriffsprotokolle	Berechtigtes Interesse	Art. 6 Abs. 1 lit. f
Beantwortung behördlicher Anfragen	Rechtliche Verpflichtung	Art. 6 Abs. 1 lit. c
Verarbeitung der vom Nutzer erfassten Leads	Auftragsverarbeitung für den Nutzer als Verantwortlichen	Art. 28

Für das berechtigte Interesse wurde eine dokumentierte Abwägung durchgeführt: die Analyse beschränkt sich auf pseudonymisierte Daten, der Nutzer kann jederzeit über die Kontoeinstellungen widersprechen, und es werden keine automatisierten Entscheidungen mit Rechtswirkung getroffen.

5. Speicherdauer

Scanlead wendet folgende Speicherdauern an.

Kontodaten des Nutzers: für die gesamte Dauer der Kontonutzung, dann 3 Jahre nach der letzten Aktivität zur geschäftlichen Nachverfolgung, sofern nicht widersprochen wird. Gesetzlich vorgeschriebene Daten (Rechnungswesen) werden 10 Jahre lang gemäß den geltenden buchhalterischen Pflichten aufbewahrt.
Erfasste Leads: kontrolliert durch den Nutzer. Sie werden aufbewahrt, bis der Nutzer sie löscht. Bei Kontoschließung werden Leads innerhalb von 30 Tagen gelöscht, sofern der Nutzer zuvor keinen Export beantragt.
PostHog-Analyse: 12 Monate rollierend.
Sicherheitsprotokolle: 12 Monate.
Rechnungen: 10 Jahre (steuerliche Pflicht).
Datenbanksicherungen: eine vollständige Kopie pro Tag, komprimiert, nach 30 Tagen gelöscht. Gelöschte Daten können daher bis zu 30 Tage in diesen Kopien verbleiben.

6. Empfänger und Auftragsverarbeiter

Scanlead nutzt die folgenden Auftragsverarbeiter, abschließend aufgelistet zum Datum dieser Fassung. Die aktuelle Liste ist die auf dieser Seite, https://scanlead.io/privacy.

Auftragsverarbeiter	Rolle	Serverstandort
Replit, Inc.	Hosting der Anwendung	Region auf Anfrage
Neon (von Replit verwaltete Postgres-Datenbank)	Hauptdatenbank: Konten, Messen, Leads	Region auf Anfrage
Supabase Inc.	Authentifizierung der Konten, Speicherung der täglichen Datenbanksicherungen	Paris, Frankreich (EU)
Stripe, Inc.	Zahlungsabwicklung	Vereinigte Staaten
Resend	Versand transaktionaler E-Mails	Vereinigte Staaten
PostHog Inc.	Produkt-Analytik	Vereinigte Staaten
Cloudflare	CDN, DDoS-Schutz	Weltweite Präsenzpunkte, EU-Terminierung für EU-Verkehr

Scanlead verpflichtet jeden Auftragsverarbeiter zu vertraglichen Garantien, die den in dieser Erklärung beschriebenen entsprechen, gemäß Artikel 28 DSGVO.

Es werden keine Daten an Dritte verkauft. Scanlead betreibt keine verhaltensbasierte Werbung.

7. Internationale Datenübermittlungen

Bestimmte Auftragsverarbeiter (Replit, Neon, Stripe, Resend, PostHog) sowie die Gesellschaft selbst haben ihren Sitz in den Vereinigten Staaten. Übermittlungen an diese Empfänger werden abgesichert durch:

Standardvertragsklauseln (SCC), erlassen von der Europäischen Kommission mit Beschluss 2021/914 vom 4. Juni 2021, Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) je nach Konstellation.
Gegebenenfalls die Selbstzertifizierung des Auftragsverarbeiters unter dem EU-U.S. Data Privacy Framework.
Ergänzende technische Maßnahmen: Verschlüsselung während der Übertragung (mindestens TLS 1.2), Verschlüsselung im Ruhezustand, Datenminimierung, Zugriffstrennung.

Eine Übermittlungsfolgenabschätzung (Transfer Impact Assessment) ist auf Anfrage unter support@scanlead.io erhältlich.

Bei Supabase werden die Authentifizierung der Konten und die täglichen Datenbanksicherungen in der Europäischen Union gehostet, in Paris (Frankreich). Die Anwendung wird von Replit gehostet und die Hauptdatenbank von Neon, einer von Replit verwalteten Postgres-Datenbank: Die Region ihrer Server wird auf Anfrage an support@scanlead.io mitgeteilt. Die Analysedaten von PostHog werden in den Vereinigten Staaten verarbeitet.

8. Rechte der betroffenen Personen

Gemäß den Artikeln 15 bis 22 DSGVO stehen jeder betroffenen Person folgende Rechte zu.

Auskunftsrecht (Art. 15): Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden, und Erhalt einer Kopie.
Recht auf Berichtigung (Art. 16): unrichtige oder unvollständige Daten berichtigen zu lassen.
Recht auf Löschung (Art. 17): Löschung der Daten zu verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
Recht auf Einschränkung der Verarbeitung (Art. 18).
Recht auf Datenübertragbarkeit (Art. 20): Erhalt der Daten in einem strukturierten, gängigen und maschinenlesbaren Format.
Widerspruchsrecht (Art. 21), insbesondere bei Verarbeitungen auf Grundlage berechtigter Interessen.
Recht auf jederzeitigen Widerruf der Einwilligung ohne rückwirkende Wirkung, wenn die Verarbeitung auf Art. 6 Abs. 1 lit. a beruht.
Recht, Anweisungen zum Schicksal der Daten nach dem Tod zu erteilen, soweit das anwendbare Recht dies vorsieht.
Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI, www.bfdi.bund.de) oder bei der zuständigen Landesaufsichtsbehörde bzw. jeder anderen zuständigen Aufsichtsbehörde des Mitgliedstaats des gewöhnlichen Aufenthalts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

8.1 Ausübung der Rechte

Nutzer können die Rechte auf Auskunft, Berichtigung, Datenübertragbarkeit und Löschung unmittelbar über die Einstellungen ihres Scanlead-Kontos ausüben.

Jede Anfrage kann auch an support@scanlead.io gerichtet werden, verbunden mit einem Nachweis zur Identitätsprüfung des Antragstellers. Eine Antwort erfolgt innerhalb eines Monats, verlängerbar um zwei Monate bei komplexen Anfragen gemäß Art. 12 Abs. 3 DSGVO.

8.2 Erfasste Kontakte (Leads)

Möchte ein Erfasster Kontakt seine Rechte ausüben, kann die Anfrage entweder an den erfassenden Nutzer (Verantwortlicher) oder an Scanlead gerichtet werden. Scanlead leitet die Anfrage an den betreffenden Nutzer weiter und unterstützt ihn bei der Bearbeitung gemäß Art. 28 Abs. 3 lit. e DSGVO.

9. Keine automatisierte Entscheidungsfindung und kein KI-Training

Scanlead trifft keine Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung auf automatisierter Basis im Sinne von Art. 22 DSGVO.

Die personenbezogenen Daten der Nutzer und Erfassten Kontakte werden niemals zum Training von Modellen künstlicher Intelligenz verwendet, weder durch Scanlead noch durch Dritte. Funktionen zur Texterkennung (OCR) auf Visitenkarten beruhen auf lokaler Verarbeitung oder auf einem Drittdienst, der sich vertraglich verpflichtet, die übermittelten Bilder weder aufzubewahren noch damit Modelle zu trainieren.

10. Cookies und Tracker

Scanlead verwendet zwei Kategorien von Cookies und ähnlichen Technologien.

Unbedingt erforderliche Cookies: Sitzung, Authentifizierung, Spracheinstellungen, CSRF-Schutz. Sie werden ohne Einwilligung gesetzt, gemäß § 25 Abs. 2 TDDDG bzw. Art. 5 Abs. 3 der ePrivacy-Richtlinie.
Analyse-Cookies (PostHog): werden nur nach ausdrücklicher Einwilligung über den Zustimmungsbanner gesetzt. Die Einwilligung kann jederzeit über den Link „Cookies verwalten" im Fußbereich widerrufen werden.

Es werden keine Werbecookies gesetzt.

11. Minderjährige

Der Dienst richtet sich nicht an Personen unter 16 Jahren. Es wird wissentlich kein Konto für Minderjährige unter 16 Jahren eingerichtet. Erlangt Scanlead Kenntnis davon, dass ein Konto von einem Minderjährigen unter dieser Altersgrenze eröffnet wurde, wird das Konto geschlossen und die zugehörigen Daten werden gelöscht.

12. Sicherheit

Scanlead trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten (Art. 32 DSGVO):

Verschlüsselung während der Übertragung (mindestens TLS 1.2) und im Ruhezustand (AES-256).
Datentrennung zwischen Arbeitsbereichen (Row Level Security in Postgres).
Zwei-Faktor-Authentifizierung für alle Konten verfügbar.
Jeden Tag eine vollständige Sicherung der Datenbank, komprimiert, 30 Tage in einem privaten Speicher bei Supabase (Paris) aufbewahrt, dann gelöscht.
Protokollierung administrativer Zugriffe.
Schwachstellenmanagement-Richtlinie und Verfahren zur Vorfallsbewältigung.
Vertraulichkeitsverpflichtungen aller Personen mit Zugang zu den Daten.

Bei einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, meldet Scanlead dies der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden gemäß Art. 33 DSGVO und informiert die betroffenen Personen, wenn die Verletzung voraussichtlich zu einem hohen Risiko führt (Art. 34 DSGVO).

13. Änderungen dieser Erklärung

Scanlead kann diese Erklärung ändern. Jede wesentliche Änderung wird den Nutzern per E-Mail sowie über einen Banner in der Anwendung mindestens 30 Tage vor Inkrafttreten mitgeteilt. Die fortgesetzte Nutzung des Dienstes nach Ablauf dieser Frist gilt als Annahme. Die geltende Fassung ist stets unter https://scanlead.io/privacy abrufbar.

14. Kontakt

Für Fragen, Anfragen oder Beschwerden zu dieser Erklärung:

Quantum Liquid LLC, zu Händen „Privacy", 30 N Gould St, Sheridan, WY 82801, Vereinigte Staaten von Amerika.

E-Mail: support@scanlead.io.