Datenschutzbestimmungen

QReportly („die Plattform“ oder „der Anbieter“) misst dem Schutz personenbezogener Daten und der Vertraulichkeit der Personen, die seine Dienste nutzen, grundlegende Bedeutung bei.

Diese Datenschutzbestimmungen gelten für: (i) Verarbeitungen durch den Anbieter als Verantwortlicher für eigene Tätigkeiten (Administratorkonten, Abrechnung, Support); (ii) Verarbeitungen durch den Anbieter als Auftragsverarbeiter im Namen der Kunden für Daten, die in Meldungen und Vorgängen des internen Meldekanals enthalten sind.

Für den öffentlichen Meldekanal, der meldenden Personen zugänglich ist, wendet der Anbieter fortgeschrittene technische und organisatorische Maßnahmen zur Datenminimierung an, die in den nachstehenden Abschnitten erläutert werden.

Qreportly LLC hat zum Datum der letzten Aktualisierung dieser Richtlinie keinen Vertreter in der EU nach Artikel 27 DSGVO bestellt. Es werden kein Name, keine Gesellschaft, keine Anschrift und keine E-Mail eines Vertreters veröffentlicht, weil keiner verifiziert ist. Ein Vertreter nach Artikel 27 ist keine EU-Niederlassung. Ob Artikel 27 gilt, ist eine Rechtsfrage und wird hier nicht entschieden.

In Bezug auf personenbezogene Daten, die in über den internen Kanal übermittelten Meldungen, Berichten, Nachrichten, Anhängen und operativen Metadaten zur Fallbearbeitung enthalten sind, handelt der Kunde — die registrierte juristische Person — als Verantwortlicher (Data Controller).

QReportly handelt ausschließlich als Auftragsverarbeiter (Data Processor / technischer Anbieter) und verarbeitet Daten nur auf Grundlage dokumentierter Weisungen des Kunden, zum Zweck der Erbringung der vertraglich vereinbarten Leistungen und innerhalb der Grenzen dieser Bestimmungen und der Nutzungsvereinbarung.

Für eigene Daten von Administratorkonten, Abrechnungsdaten und kaufmännische Kommunikation handelt der Anbieter als eigenständiger Verantwortlicher und ist verpflichtet, betroffenen Personen die nach DSGVO erforderlichen Informationen bereitzustellen.

Abhängig von der Art der Nutzung der Plattform können folgende Datenkategorien verarbeitet werden:

Die Plattform ist strukturell so konzipiert, dass IP-Adressen, Geolokalisierungsdaten oder digitale Fingerabdrücke (Browser-Fingerprinting) von Hinweisgebern, die auf den öffentlichen Meldekanal zugreifen, nicht erhoben, protokolliert oder gespeichert werden.

Diese Minimierungsarchitektur soll das Risiko der Reidentifizierung meldender Personen, die sich für eine anonyme Meldung entscheiden, reduzieren und den Kunden bei der Erfüllung seiner gesetzlichen Vertraulichkeitspflichten unterstützen.

Der Anbieter setzt innerhalb des Meldeflusses für meldende Personen keine verhaltensbezogenen Tracking-Technologien, kein Werbe-Profiling und keine invasive Analyse ein. Etwaige Analyseinstrumente auf der öffentlichen Präsentationswebsite sind vom gesicherten Meldekanal technisch getrennt.

QReportly speichert keine IP-Adressen von Hinweisgebern in der Anwendungsdatenbank. Öffentliche Melde-Endpunkte nutzen ein In-Memory-Rate-Limit, das die Client-IP für das Zeitfenster hasht. Infrastrukturanbieter, die die Anwendung ausliefern (einschließlich des Hosts), können weiterhin netzwerkbezogene IP-Adressen und Anfrage-Metadaten sehen. Fortgesetztes Browsen gilt nicht als Analytics-Einwilligung.

Alle Dateianhänge zu Meldungen (PDF-, DOCX-Dokumente, PNG-/JPG-/JPEG-Bilder) werden beim Upload einem automatisierten kryptografischen Metadaten-Bereinigungsprozess unterzogen, einschließlich, jedoch nicht beschränkt auf: EXIF-Daten in Bildern, Informationen über den Dokumentenautor, eingebettete Eigenschaften, Bearbeitungszeitstempel und sonstige Elemente, die eine unbeabsichtigte Reidentifizierung erleichtern könnten.

Der Bereinigungsprozess erfolgt vor der endgültigen Speicherung der Dateien in der Infrastruktur der Plattform. Der Kunde ist dafür verantwortlich zu bewerten, ob die im sichtbaren Dokumenteninhalt verbleibenden Informationen für den Untersuchungszweck angemessen sind.

Dateien, die nicht sicher verarbeitet werden können oder die festgelegten technischen Grenzen überschreiten, können ohne Speicherung des Originalinhalts automatisch zurückgewiesen werden.

Der Anbieter wendet strikte Richtlinien zur Aufbewahrung und automatisierten Löschung an, die darauf ausgelegt sind, die Datenexposition über die für die Leistungserbringung und rechtliche Compliance erforderlichen Zeiträume hinaus zu begrenzen.

Als Auftragsverarbeiter für Meldeinhalte, Fallakten, Nachrichten und Anhänge verarbeitet der Anbieter personenbezogene Daten auf dokumentierte Weisung des Kunden als Verantwortlichem, gemäß Art. 28 DSGVO sowie den Datenverarbeitungsbestimmungen dieser Richtlinie und der Nutzungsbedingungen. Der Kunde als Verantwortlicher bestimmt die einschlägige Rechtsgrundlage nach Art. 6 DSGVO (und ggf. Art. 9/10 DSGVO), Zwecke, Speicherdauer und die Wahrnehmung der Betroffenenrechte für Melde-daten. Der kommerzielle Abonnementvertrag ist für sich genommen nicht die Rechtsgrundlage des Art. 6 Abs. 1 lit. b DSGVO für die Daten von Hinweisgebern oder in einer Meldung genannten Personen.

Als Verantwortlicher für Administrationskonten umfassen die Rechtsgrundlagen: Vertragserfüllung, berechtigtes Interesse an Plattform-Sicherheit und Betrugsprävention, gesetzliche buchhalterische und steuerliche Pflichten sowie Einwilligung, sofern ausdrücklich eingeholt (z. B. für Marketingkommunikation — sofern aktiviert).

Betroffene Personen haben die in der DSGVO vorgesehenen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, jeweils im gesetzlichen Rahmen.

Für Daten aus Meldungen sind Anträge auf Ausübung von Betroffenenrechten primär an den Kunden als Verantwortlichen zu richten. Der Anbieter unterstützt den Kunden im angemessenen Umfang und gemäß Vertrag bei der Bearbeitung solcher Anträge.

Für Daten, die der Anbieter als Verantwortlicher verarbeitet (Administratorkonten, Abrechnung), können Anfragen an die am Ende dieses Dokuments angegebene Kontaktadresse gerichtet werden. Der Anbieter antwortet innerhalb der in der DSGVO vorgesehenen Fristen.

Betroffene Personen haben das Recht, bei der zuständigen Aufsichtsbehörde des Mitgliedstaats ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes Beschwerde einzulegen.

Der Anbieter implementiert geeignete technische und organisatorische Maßnahmen zum Schutz von Daten, einschließlich: Verschlüsselung bei der Übertragung (TLS), rollenbasierte Zugriffskontrollen, logische Trennung zwischen Workspaces, Sicherheitsüberwachung, Verfahren zur Reaktion auf Vorfälle und verschlüsselte Backups in einer in der Europäischen Union gehosteten Infrastruktur.

Kein System kann absolute Sicherheit gewährleisten. Bei einem Sicherheitsvorfall, der Kundendaten betrifft, informiert der Anbieter den Kunden ohne unangemessene Verzögerung gemäß den anwendbaren vertraglichen und gesetzlichen Verpflichtungen.

QReportly setzt technische und organisatorische Maßnahmen ein, die Sicherheitsrisiken verringern sollen. Verbindungen sind mit TLS geschützt. Mandantenumgebungen sind logisch isoliert. QReportly bietet derzeit keine Ende-zu-Ende-Verschlüsselung der Meldungstexte. Ruheverschlüsselung ist die des EU-Hosting-Stacks; QReportly beansprucht keinen gesonderten AES-Schlüssel je Mandant und keine ISO-/SOC-Zertifizierung.

Es sind zwei Übermittlungsverhältnisse zu unterscheiden; sie sind nicht austauschbar.

Übermittlung A — Kunde → Qreportly LLC: Unterliegt der Kunde (Verantwortlicher / Exporteur) der DSGVO Kapitel V für eine Übermittlung an Qreportly LLC (Auftragsverarbeiter / Importeur, niedergelassen in den Vereinigten Staaten), stützen sich die Parteien auf Modul 2 der Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/914, ergänzt durch die auf dieser Website veröffentlichte Ergänzung zu internationalen Datentransfers. Modul 3 gilt nicht für Übermittlung A.

Produktionsdatenbank und Objekt speicher für Kanaldaten werden in der Europäischen Union für Hosting in der Europäischen Union vorgesehen. Die Produktionsregion ist aus dem Anwendungsrepository nicht unabhängig verifiziert. EU-Hosting beseitigt Übermittlung A nicht von selbst: Qreportly LLC ist ein US-Auftragsverarbeiter und kann auf Kanaldaten aus der Ferne für Betrieb, Support, Sicherheit und Wartung zugreifen.

Übermittlung B — Qreportly LLC → Unterauftragsverarbeiter: Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten in einem Drittland ohne Angemessenheitsbeschluss oder erfordert Kapitel V ein Transferinstrument, verwendet Qreportly LLC (Exporteur / Auftragsverarbeiter) Modul 3 des Beschlusses (EU) 2021/914 mit diesem Unterauftragsverarbeiter (Importeur / Auftragsverarbeiter), soweit erforderlich. Modul 2 gilt nicht für Übermittlung B. Die aktuelle Liste steht auf der Unterauftragsverarbeiter-Seite.

Kanaldaten einschließlich Meldungsinhalt und Anhängen durchlaufen den Anwendungshost (Vercel, Inc.), weil die Next.js-Anwendung die Melde- und Fall-APIs bedient. Dieser Host ist nicht der primäre Speicher der Meldungstexte. Transaktions-E-Mail (Brevo) erhält betriebliche Hinweise mit Tracking-Codes und Organisationsnamen gemäß den aktuellen Vorlagen; nicht den Meldungstext. Abrechnung (Stripe) und optionales Google-Login verarbeiten Kontodaten, nicht Meldungstexte.

Qreportly LLC beansprucht keine Teilnahme am EU-US Data Privacy Framework. Die Zertifizierung eines Anbieters ist nicht die Zertifizierung von QReportly.

Im Falle eines rechtlich bindenden Ersuchens einer Behörde zu Kundendaten befolgt QReportly die Pflichten des jeweils anwendbaren Transferinstruments und des anwendbaren Rechts. Soweit gesetzlich zulässig, unterrichtet QReportly den Kunden, beschränkt die Offenlegung auf das rechtlich Gebotene und prüft verfügbare Mittel, das Ersuchen anzufechten oder einzuschränken.

Ist eine Mitteilung an den Kunden gesetzlich untersagt, gibt QReportly keine Informationen preis, deren Offenlegung gesetzlich verboten ist.

Der Anbieter kann diese Bestimmungen aktualisieren, um rechtliche, technische oder operative Entwicklungen abzubilden. Die jeweils aktuelle Fassung wird auf der Plattform mit Aktualisierungsdatum veröffentlicht.

Bei wesentlichen Änderungen wird der Kunde über angemessene Kanäle informiert (Benachrichtigung im Dashboard oder per E-Mail). Die fortgesetzte Nutzung der Dienste nach Inkrafttreten gilt im gesetzlich zulässigen Umfang als Annahme der Aktualisierungen.