Datenschutzrichtlinie

Zuletzt aktualisiert: 25. Juli 2026

Diese Datenschutzerklärung beschreibt, wie METIS SAS („wir", „uns") Ihre personenbezogenen Daten erhebt, verwendet und schützt, wenn Sie DPP-Tool (den „Dienst") nutzen. Kontakt: [email protected].

1. Verantwortlicher

METIS SAS, 120 Chemin de Ceinture, 13400 Aubagne, Frankreich. SIRET: 991 555 574 00011.

2. Erhobene Daten

Wir erheben folgende personenbezogene Daten:

  • Kontodaten: E-Mail-Adresse, Name, Firmenname (optional), Datum der letzten Anmeldung
  • Produktdaten: die Produktinformationen, die Sie zur Erstellung digitaler Produktpässe eingeben
  • Nutzungsdaten: aufgerufene Seiten, genutzte Funktionen (mit Ihrer Einwilligung über Google Analytics 4)
  • Technische Daten: IP-Adresse, Browsertyp, Gerätetyp (zu Sicherheits- und Leistungszwecken)
  • Daten zum Anmeldeschutz: ein Zähler fehlgeschlagener Anmeldeversuche, geführt zu einem Einweg-Hash der E-Mail-Adresse und der IP-Adresse. Weder die Adresse noch die E-Mail selbst werden in diesen Zähler geschrieben; er wird bei einer erfolgreichen Anmeldung gelöscht.
  • Sicherheitswarnungen: Wenn wiederholte Fehlversuche einen Schwellenwert überschreiten, erfassen wir das Ereignis zusammen mit dem Netz, aus dem die Versuche kamen — die Adresse gekürzt auf /24 (IPv4) bzw. /48 (IPv6), niemals die vollständige Adresse.
  • Passwort-Zurücksetzung: ein Einweg-Hash des Links, eine Stunde gültig, zur einmaligen Verwendung.
  • Zwei-Faktor-Authentifizierung (nur wenn Sie sie aktivieren): das gemeinsame Geheimnis zur Prüfung Ihrer Codes sowie Einweg-Hashes Ihrer zehn Wiederherstellungscodes.

Wir erheben keine Kartendaten. Sämtliche Zahlungen werden sicher von Stripe abgewickelt.

3. Zwecke der Verarbeitung

Ihre Daten werden zu folgenden Zwecken verarbeitet:

  • Bereitstellung des Dienstes DPP-Tool und Erstellung digitaler Produktpässe
  • Verwaltung Ihres Nutzerkontos und Ihres Abonnements
  • Versand transaktionaler E-Mails (Kontobestätigung, Passwort-Zurücksetzung, Sicherheitsbenachrichtigungen, Änderungen des Abonnements)
  • Verbesserung des Dienstes durch anonyme Nutzungsstatistiken (mit Einwilligung)
  • Gewährleistung der Sicherheit und Integrität der Plattform — insbesondere das Erkennen und Blockieren von Versuchen, Passwörter zu erraten, sowie die Möglichkeit, Ihr Konto mit einem zweiten Faktor zu schützen

Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Grundlage des oben beschriebenen Anmeldeschutzes und der Sicherheitswarnungen — sowie Einwilligung für Statistiken (Art. 6 Abs. 1 lit. a).

4. Weitergabe von Daten

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben sie ausschließlich weiter an:

  • Stripe: Zahlungsabwicklung (PCI-DSS-konform)
  • o2switch: Hostinganbieter (Daten in Frankreich gespeichert)
  • Brevo: Zustellung unserer transaktionalen E-Mails — Kontobestätigung, Passwort-Zurücksetzung, Sicherheitsbenachrichtigungen. Brevo erhält die Empfängeradresse und den Nachrichteninhalt. Hinweis: Brevo schreibt Links in den versandten Nachrichten zur Klickmessung um; die Links, die Sie in unseren E-Mails anklicken, laufen daher über Brevo.
  • Supabase: die Datenbank, die unsere Sicherheitswarnungen entgegennimmt. Sie erhält niemals Ihre E-Mail-Adresse, Ihren Namen oder Ihre vollständige IP-Adresse — nur das in Abschnitt 2 beschriebene gekürzte Netz und die Tatsache, dass ein Schwellenwert überschritten wurde.
  • Cloudflare: Auslieferung und Schutz des Datenverkehrs vor der Website
  • Google Analytics 4: anonyme Nutzungsstatistiken (nur mit Ihrer Einwilligung)

5. Speicherdauer

  • Aktive Konten: Die Daten werden für die Dauer Ihres Kontos aufbewahrt.
  • Geschlossene Konten: Sie können Ihr Konto selbst in den Einstellungen Ihres Dashboards schließen. Die Schließung wird sofort wirksam — Ihre veröffentlichten Produktpässe gehen offline. Ihre Daten werden anschließend 30 Tage später endgültig gelöscht, in unserer Datenbank wie in unseren Sicherungskopien, und können nicht wiederhergestellt werden.
  • Zähler für Anmeldeversuche: 15 Minuten Aktivität, spätestens nach 24 Stunden von der Festplatte entfernt
  • Links zur Passwort-Zurücksetzung: eine Stunde oder bis zur Verwendung
  • Anfragen zur Entsperrung der Zwei-Faktor-Authentifizierung: 72 Stunden oder bis zum Abbruch bzw. zur Ausführung
  • Serverprotokolle: automatisch nach 12 Monaten gelöscht

6. Datensicherheit

Wir setzen angemessene technische und organisatorische Maßnahmen um:

  • HTTPS/TLS-Verschlüsselung der gesamten Kommunikation
  • Passwort-Hashing mit bcrypt (Kostenfaktor 12)
  • Schutz vor dem Erraten von Passwörtern: Versuche sind je Konto und je Netz begrenzt und werden darüber hinaus vorübergehend blockiert
  • Optionale Zwei-Faktor-Authentifizierung (TOTP) mit Wiederherstellungscodes zur einmaligen Verwendung
  • CSRF-Token-Schutz auf allen Formularen
  • Verhinderung von SQL-Injection durch vorbereitete Anweisungen
  • Sicherheits-Header, darunter eine Content-Security-Policy, die ausschließlich die von uns für die jeweilige Seite signierten Skripte zulässt
  • Hochgeladene Dokumente außerhalb des Web-Stammverzeichnisses gespeichert und erst nach Eigentumsprüfung ausgeliefert
  • Daten auf Servern in der Europäischen Union (Frankreich)

7. Ihre Rechte (DSGVO)

Nach der Datenschutz-Grundverordnung haben Sie folgende Rechte:

  • Auskunft: eine Kopie Ihrer personenbezogenen Daten erhalten
  • Berichtigung: unrichtige Daten korrigieren lassen
  • Löschung: die Löschung Ihrer Daten verlangen
  • Einschränkung: die Verarbeitung Ihrer Daten einschränken
  • Datenübertragbarkeit: Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten
  • Widerspruch: einer auf berechtigtem Interesse beruhenden Verarbeitung widersprechen

Zur Ausübung dieser Rechte schreiben Sie uns an [email protected]. Wir antworten innerhalb von 30 Tagen.

Sie haben zudem das Recht, sich bei der französischen Datenschutzbehörde (CNIL) zu beschweren: www.cnil.fr.

8. Cookies

Wir verwenden folgende Cookies:

  • Notwendige Cookies: Sitzungsverwaltung (PHPSESSID) — für den Betrieb des Dienstes erforderlich
  • Statistik-Cookies: Google Analytics 4 — nur nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner aktiviert. Vor Ihrer Zustimmung wird kein Statistik-Skript geladen und kein Statistik-Cookie gesetzt.
  • Präferenz-Cookies: Speicherung Ihrer Einwilligungsentscheidung (cookie_consent)

Sie können Ihre Wahl jederzeit über den Link „Cookie-Einstellungen" im Fußbereich jeder Seite ändern oder widerrufen. Der Widerruf ist so einfach wie die Erteilung: Ihre Statistik-Cookies werden sofort gelöscht.

9. Übermittlungen in Drittländer

Ihre Konto- und Produktdaten werden in Frankreich (EU) bei o2switch gespeichert und verarbeitet.

Einige unserer Dienstleister verarbeiten Daten möglicherweise außerhalb der EU. Bei der Nutzung von Google Analytics 4 (mit Einwilligung) können Daten in den USA unter den Garantien des EU-US Data Privacy Framework verarbeitet werden. Unsere Sicherheitswarnungen werden bei Supabase gespeichert; da wir den Speicherort dieser Daten nicht garantieren können, übermitteln wir dorthin bewusst nichts, was Sie identifiziert — weder E-Mail-Adresse noch Name noch vollständige IP-Adresse.

10. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Registrierte Nutzer werden bei wesentlichen Änderungen per E-Mail informiert.