Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

2. Überblick

Maschinenpass (maschinenpass.de) und das privat betriebene DPP-Verzeichnis dpplist.eu sind B2B-Plattformen zur Erstellung, Verwaltung und Veröffentlichung von digitalen Maschinenpässen (Digital Product Passports, DPP) im Umfeld der EU-Maschinenverordnung (EU) 2023/1230 und der ESPR (EU) 2024/1781. Diese Datenschutzerklärung gilt für beide Dienste.

3. Verarbeitete Daten

3.1 Kontodaten

Bei der Registrierung erheben wir: Namen (Ansprechpartner), E-Mail-Adresse und ein Passwort-Hash (das Klartextpasswort wird nicht gespeichert). Optional können Unternehmensdaten (Firmenname, Adresse, USt-IdNr., Handelsregister, Telefon, Website) hinterlegt werden. Für die Anmeldung per Link senden wir Ihnen eine E-Mail mit einem einmaligen Link.

3.2 Maschinenpass-Daten und hochgeladene Dateien

Hersteller, Händler und Betreiber erfassen Daten zu Maschinen: Bezeichnung, Seriennummer, GTIN, Baujahr, Modell, Konformitätsangaben, Materialangaben, DPP-Felder, Betriebsdaten (Standort, Betriebsstunden, Prüftermine), Wartungs- und Lebenszykluseinträge, Störungs- und Garantiemeldungen sowie Dokumente und Fotos (Dateien bis 25 MB, etwa Betriebsanleitungen, Rechnungen, Reparaturfotos). Diese Angaben können Personenbezug haben, etwa durch Namen von Ansprechpartnern, Betreibern oder Kunden in Freitexten. Bitte tragen Sie personenbezogene Daten dort nur ein, wenn es erforderlich ist.

Rollen: Für die Konto- und Plattformdaten sind wir Verantwortlicher. Die Inhalte eines Maschinenpasses verantwortet der jeweilige Hersteller; soweit wir sie für ihn speichern, handeln wir als sein Auftragsverarbeiter.

Daten, die wir nicht von Ihnen erhalten (Art. 14 DSGVO): Hersteller, Händler und Betreiber tragen mitunter Kontaktdaten Dritter ein, etwa von Kunden, Eigentümern oder Ansprechpartnern im Service. Wir erhalten diese Angaben dann vom jeweiligen Nutzer, nicht von der betroffenen Person. Sie dienen der Dokumentation und Abwicklung der jeweiligen Maschine (Art. 6 Abs. 1 lit. b oder f DSGVO durch den Verantwortlichen des Passes). Betroffene Personen wenden sich für Auskunft und Löschung an den Hersteller oder an uns; wir leiten die Anfrage weiter (siehe Abschnitt 13).

3.3 Öffentliche Pass-Ansicht und Verzeichnis dpplist.eu

Wer den QR-Code einer Maschine scannt oder die Pass-Adresse kennt, kann den öffentlichen Pass ohne Anmeldung abrufen. Dort stehen die vom Hersteller freigegebenen Angaben. Aus der Wartungshistorie erscheinen nur Datum und Art des Eintrags (Inspektion, Reparatur, Wartung), keine Notizen; Betriebsstunden und Stunden je Wartung nur mit Freigabe des Betreibers. Lebenslauftexte stammen allein vom Hersteller. Freitexte von Betreibern oder Händlern erscheinen nie in der öffentlichen Ansicht. Name und E-Mail-Adresse von Eigentümern sind nicht Teil der öffentlichen Ansicht.

Hersteller können einzelne Pässe zusätzlich im Verzeichnis dpplist.eu listen. dpplist.eu ist ein von uns privat betriebenes Verzeichnis und kein offizielles Register der EU oder einer Behörde.

3.4 Server-Logfiles

Beim Abruf protokollieren unsere Server technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Statuscode, übertragene Datenmenge, Referrer und User-Agent. Sie dienen der Fehlerdiagnose und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO) und werden nur so lange gespeichert, wie dafür erforderlich.

3.5 Cookies und lokale Speicherung im Browser

Wir setzen keine Werbe- oder Tracking-Cookies. Im Browser (localStorage) speichern wir nur, was für den Betrieb nötig ist oder von Ihnen gewünscht wurde:

• Anmeldung — Zugangs- und Aktualisierungs-Token (der Aktualisierungs-Token gilt bis zu 30 Tage), bis Sie sich abmelden. Bei einer Übernahme durch einen Administrator wird die vorherige Sitzung zeitweise gesichert.
• Einstellungen — Sprache, Hell/Dunkel-Modus, Hinweisbalken bestätigt, Stand der Einführungstour.

Der Zugriff auf diese Daten ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Nur das Anmelde-Token wird bei API-Anfragen an unseren Server gesendet.

4. Zwecke der Verarbeitung und Rechtsgrundlagen

5. Hosting und Infrastruktur

Wir betreiben die Plattform auf einem dedizierten Server bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum in Deutschland). Hetzner ist unser Auftragsverarbeiter.

6. E-Mail-Versand

Wir versenden E-Mails über einen eigenen Mailserver auf diesem Server. Es wird kein externer E-Mail-Dienstleister eingesetzt.

7. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Funktionen: Assistent zu einem Pass, Hilfe-Chat, Auslesen von Typenschild-Fotos und Rechnungen, Plausibilitätsprüfung, Wartungsprognose und Übersetzung. KI-Antworten sind als solche gekennzeichnet und können Fehler enthalten.

• Anthropic (USA): Hierhin gehen Ihre Eingaben, die dafür herangezogenen Pass-Inhalte und hochgeladene Bilder, sobald Sie eine solche Funktion nutzen. Für die Übermittlung in die USA stützen wir uns auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag.
• Lokales Modell (Ollama) auf unserem Server: kann für die Übersetzung genutzt werden; dabei verlassen die Daten den Server nicht.

Die Funktionen laufen nur, wenn Sie sie aktiv aufrufen. Für diese Funktion werden Ihre Eingaben und gegebenenfalls Bilder an einen externen KI-Anbieter in den USA übermittelt (Anthropic). Geben Sie keine personenbezogenen Daten in Freitexte ein, wenn das nicht nötig ist.

8. Empfänger und Dienstleister

Wir geben personenbezogene Daten nur weiter, soweit es für den Dienst erforderlich oder gesetzlich geboten ist. Empfänger sind:

• Hetzner Online GmbH (Hosting, Deutschland) als Auftragsverarbeiter.
• Anthropic (KI, USA), siehe Abschnitt 7.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Turnstile), siehe Abschnitt 9.
• Beteiligte an einem Pass: Hersteller, Händler und Betreiber sehen einander Meldungen, Wartungseinträge und Kundenangaben, soweit sie für den jeweiligen Pass freigegeben sind.

Die Liste der Unterauftragsverarbeiter mit Zweck, Daten und Sitz steht auf der Seite Unterauftragsverarbeiter.

9. Sicherheitsprüfung mit Cloudflare Turnstile

Anmelde-, Registrierungs-, Passwort-Reset- und weitere öffentliche Formulare schützen wir mit Cloudflare Turnstile, sofern dort aktiviert. Beim Laden des Formulars wird ein Skript von challenges.cloudflare.com geladen. Cloudflare erhält dabei technische Angaben wie IP-Adresse, Browser- und Geräteinformationen und bewertet damit, ob ein Mensch das Formular nutzt. Wir senden die IP-Adresse zusätzlich an Cloudflare, um das Ergebnis zu prüfen. Das Speichern und Auslesen von Informationen auf Ihrem Gerät ist dafür technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Für die Übermittlung in die USA stützen wir uns auf Standardvertragsklauseln beziehungsweise, soweit Cloudflare zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework.

10. Reichweitenmessung

Auf den öffentlichen Informationsseiten von maschinenpass.de messen wir die Reichweite mit Plausible Community Edition. Plausible läuft selbst gehostet auf unserem Server in Deutschland (Hetzner), setzt keine Cookies und legt keine personenbezogenen Profile an. Die IP-Adresse wird nur mit einem täglich wechselnden Salt gehasht verarbeitet. Einzelne Pässe, Konto- und Portalseiten werden nicht gemessen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sie können der Messung jederzeit widersprechen (Abschnitt 13).

11. Zahlungen

Eine Bezahlfunktion ist derzeit nicht freigeschaltet, es werden keine Zahlungsdaten verarbeitet. Sobald wir Zahlungen über Stripe (Stripe Payments Europe, Ltd., Irland, mit Datenübermittlung an die Stripe, Inc., USA) anbieten, ergänzen wir diese Erklärung vorher um Zwecke, Daten und Rechtsgrundlage (Art. 6 Abs. 1 lit. b DSGVO).

12. Speicherdauer

• Kontodaten: bis zur Schließung des Kontos. Beim Schließen werden die persönlichen Angaben sofort anonymisiert und die Sitzungen beendet; eine Kulanzfrist gibt es nicht.
• Maschinenpass-Daten: bis zur Löschung durch den Hersteller oder Betreiber, soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen (etwa für Konformitätsunterlagen: mindestens zehn Jahre ab Inverkehrbringen oder Inbetriebnahme, die digitale Anleitung und die Erklärung online über die erwartete Lebensdauer der Maschine).
• Server-Logfiles: nur so lange, wie für Betrieb und Sicherheit erforderlich.
• Handels- und steuerrechtlich aufbewahrungspflichtige Unterlagen (z. B. Rechnungen): 10 Jahre gemäß § 257 HGB / § 147 AO.

13. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten.
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten.
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht besteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch (Art. 21 DSGVO) gegen die Verarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO.
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Angemeldete Nutzer können ihre Daten selbst exportieren und ihr Konto schließen unter Datenschutz & Konto (maschinenpass.de). Außerdem erreichen Sie uns per E-Mail an kontakt@verdagen.ai. Betrifft Ihre Anfrage die Inhalte eines Passes, leiten wir sie an den verantwortlichen Hersteller weiter.

14. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für uns ist:

15. Aktualität dieser Erklärung

Diese Datenschutzerklärung ist aktuell gültig und datiert vom 6. November 2026. Durch die Weiterentwicklung unserer Dienste kann es notwendig werden, diese Datenschutzerklärung zu aktualisieren. Die jeweils aktuelle Fassung finden Sie stets unter /datenschutz.