Datenschutzerklärung

Verantwortlich im Sinne der DSGVO ist Valerian Huber (Alpin-Code), im Folgenden "wir" oder "Inkmate".

Vollständige Anbieterkennzeichnung siehe Impressum .

Kontakt für Datenschutzanfragen: privacy@inkmate.shop

Inkmate verarbeitet vier klar getrennte Datenkategorien:

2.1 Shop-Daten (Merchant)

• Shopify-Shop-Domain (z.B. my-shop.myshopify.com)
• OAuth-Access-Token (verschlüsselt gespeichert, nur für Shopify-API-Calls genutzt)
• Plan-Tier (free / basic / pro / business)
• Brand-Kit-Daten (Logo, Farben, Typografie)
• Produkt-, Order-, Customer-Metadaten aus dem Shop — nur soweit für Print-Generierung benötigt

2.2 End-Customer-Daten (Shop-Kunde, der den QR scannt)

• Kennung des gescannten QR-Codes und der aufgerufenen Landing-Page
• Zeitstempel des Scans
• IP-Adresse nur pseudonymisiert: gespeichert wird ein Hash (HMAC-SHA-256 mit einem geheimen Server-Schlüssel, also gesalzen), nie die IP-Adresse im Klartext. Scans vor dem 25. September 2026 tragen noch einen einfachen SHA-256-Hash ohne Schlüssel.
• Sitzungs-Kennung: ein Hash aus IP-Hash und User-Agent, damit wiederholte Aufrufe derselben Sitzung derselben A/B-Variante zugeordnet werden
• Gerätetyp (mobile / desktop / tablet), Browser und Betriebssystem — aus dem User-Agent abgeleitet; der vollständige User-Agent wird nicht gespeichert
• Referrer (die verweisende Seite, sofern der Browser sie übermittelt)
• Ein vom Netzwerk mitgeliefertes Herkunftsland wird nur für das Geo-Targeting der Landing-Page ausgewertet und nicht gespeichert
• Sendet der Browser „Global Privacy Control“ oder „Do Not Track“, werden IP-Hash, Sitzungs-Kennung und Referrer nicht gespeichert; für die Zählung bleiben nur Zeitpunkt, Gerätetyp, Browser und Betriebssystem. IP-Hash, Sitzungs-Kennung und Referrer werden nach der Tarif-Frist gelöscht. Der Link „Tracking deaktivieren“ im Datenschutzhinweis jeder Landing-Page erklärt das und nennt die Kontaktadresse des Händlers für einen Widerspruch.
• Email + Consent-Bool (nur bei aktiver Lead-Capture-Form — opt-in)

2.3 Service-Telemetry

• Request-Latency, Error-Counter (rolling 5min, anonymisiert)
• App-Health-Metriken (Abruf durch unseren zentralen Betriebs-Hub) sowie technische Fehlerberichte ohne Klarnamen

2.4 Warteliste auf dieser Website

• E-Mail-Adresse; du bestätigst sie über einen Link in einer E-Mail
• freiwillig: was am besten zu deinem Shop passt
• Referrer (die verweisende Seite, sofern der Browser sie übermittelt)
• Seite der Anmeldung, Sprache sowie Zeitpunkt von Anmeldung und Bestätigung (Nachweis der Einwilligung)
• zur Abwehr von Missbrauch: ein gekürzter Hash der IP-Adresse (mit dem Tag verrechnet, nicht die Adresse selbst) und die Browser-Kennung (User-Agent)
• Kampagnen-Angaben aus dem Link, über den du gekommen bist (utm_source, utm_medium, utm_campaign, utm_content), sofern der Link sie enthält. Sie werden nur mit der Anmeldung übertragen und nicht auf deinem Gerät gespeichert.
• Rechtsgrundlage ist deine Einwilligung mit der Anmeldung (Art. 6 Abs. 1 lit. a DSGVO); abmelden kannst du dich jederzeit über den Link in der E-Mail.
• Die Anmeldung speichert der zentrale Dienst von alpin-code (internal.alpin-code.de, Server bei Hostinger in Frankfurt); die Bestätigungs-E-Mail und die Nachricht zum Start verschickt Resend. Wie lange die Angaben bleiben, steht unter 5. Speicherdauer.

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — für App-Funktionalität: Print-Generierung, Coupon-Erstellung, Landing-Page-Rendering.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — für aggregierte Scan-Statistik ohne Personenbezug, App-Health-Monitoring, Missbrauchsprävention.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für Lead-Capture-Forms, Klaviyo-Sync, Newsletter-Anmeldungen. Widerruf jederzeit möglich.

Inkmate nutzt die folgenden Dienstleister. Shopify betreibt die Plattform, auf der Inkmate läuft, und ist dabei eigenständig verantwortlich. Die übrigen verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO); die vollständige Liste mit Zweck und Standort steht in Anlage 1 unserer Vereinbarung zur Auftragsverarbeitung.

Inkmate übermittelt keine Shop- oder Kundendaten an KI-Anbieter und ruft selbst keine KI auf. Bindet ein Shop-Inhaber seine eigene KI (z. B. Claude oder ChatGPT) per API-Schlüssel an, liest diese KI Daten seines Shops im Auftrag und über das Konto des Shop-Inhabers; dafür gilt dessen eigenes Vertragsverhältnis mit dem jeweiligen KI-Anbieter.

Für Shops, die Inkmate installieren, verarbeitet Inkmate die Daten ihrer Kunden als Auftragsverarbeiter. Die Vereinbarung dazu nach Art. 28 DSGVO, samt Unterauftragsverarbeitern und technischen und organisatorischen Maßnahmen, steht unter Auftragsverarbeitung (AVV/DPA).

• Warteliste: Eine nie bestätigte Anmeldung wird 30 Tage nach der letzten Anmeldung gelöscht. Eine bestätigte bleibt bis zur Abmeldung. Nach einer Abmeldung bleibt nur der Nachweis der Einwilligung 3 Jahre gespeichert (Art. 7 Abs. 1 DSGVO), dann wird er gelöscht. Verlangst du die Löschung, löschen wir sofort.
• Shop-Daten: Solange die App installiert ist. Nach der Deinstallation sendet Shopify nach 48 Stunden die Löschanweisung; dann löscht Inkmate alle Daten des Shops endgültig — einschließlich der Rechnungen. Rechnungen deshalb vor der Deinstallation exportieren.
• Scan-Logs: Die Kennungen eines Scans (gehashte IP-Adresse, Sitzungskennung) werden nach Ablauf der Frist des gebuchten Tarifs gelöscht — 7 Tage (Free), 90 Tage (Basic), 365 Tage (Pro), 1.095 Tage (Business); dieselbe Frist nennt der Datenschutzhinweis auf jeder Landing-Page. Danach bleiben nur Angaben ohne Personenbezug (Zeitpunkt, Gerätetyp, Land) für die Zählungen.
• Lead-Capture-Emails: Bis zum Widerruf der Einwilligung oder bis zur Löschung durch den Shop-Owner.
• Rechnungen / Invoices: Solange die App installiert ist, unveränderbar gespeichert. Die gesetzliche Aufbewahrungspflicht (GoBD / § 147 AO) trifft den Shop-Owner als Rechnungsaussteller: Inkmate löscht die Rechnungen mit den übrigen Shop-Daten 48 Stunden nach der Deinstallation (siehe oben).

Sie haben jederzeit das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde.

Anfragen bitte an privacy@inkmate.shop. Bearbeitungszeit max. 30 Tage.

inkmate.shop (Marketing-Site): keine Tracking-Cookies. Zur Reichweitenmessung nutzen wir Vercel Web Analytics — cookielos, nichts wird auf deinem Gerät gespeichert; erfasst werden Seitenaufrufe, Referrer, Gerätetyp und Land, die Besucher-Kennung ist ein täglich wechselnder Hash ohne Rückführung auf die IP-Adresse, kein geräte- oder seitenübergreifendes Tracking. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); eine Einwilligung ist dafür nicht erforderlich. Widerspruch hier, gültig für dieses Gerät und diesen Browser:

api.inkmate.shop (App + Landing-Pages): nur technisch notwendige Session-Cookies (Auth, A/B-Test-Bucket). Kein Third-Party-Tracking. In der Verwaltungsoberfläche der App (nicht auf Landing-Pages) misst Umami cookielos, welche Seiten Shop-Owner aufrufen — selbst betrieben auf analytics.alpin-code.de, ohne Cookies und ohne Profil einzelner Personen.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Änderungen werden mit neuem Stand-Datum veröffentlicht.