Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:

2. Überblick

Maschinenpass (maschinenpass.de) und das privat betriebene DPP-Verzeichnis dpplist.eu sind B2B-Plattformen zur Erstellung, Verwaltung und Veröffentlichung von Maschinenpässen (Anleitung, Erklärung und Akte je Seriennummer) im Umfeld der EU-Maschinenverordnung (EU) 2023/1230. Diese Datenschutzerklärung gilt für beide Dienste.

3. Verarbeitete Daten

3.1 Kontodaten

Bei der Registrierung erheben wir: Namen (Ansprechpartner), E-Mail-Adresse und ein Passwort-Hash (das Klartextpasswort wird nicht gespeichert). Optional können Unternehmensdaten (Firmenname, Adresse, USt-IdNr., Handelsregister, Telefon, Website) hinterlegt werden. Für die Anmeldung per Link senden wir Ihnen eine E-Mail mit einem einmaligen Link.

3.2 Maschinenpass-Daten und hochgeladene Dateien

Hersteller, Händler und Betreiber erfassen Daten zu Maschinen: Bezeichnung, Seriennummer, GTIN, Baujahr, Modell, Konformitätsangaben, Materialangaben, DPP-Felder, Betriebsdaten (Standort, Betriebsstunden, Prüftermine), Wartungs- und Lebenszykluseinträge, Störungs- und Garantiemeldungen sowie Dokumente und Fotos (Dateien bis 25 MB, etwa Betriebsanleitungen, Rechnungen, Reparaturfotos). Diese Angaben können Personenbezug haben, etwa durch Namen von Ansprechpartnern, Betreibern oder Kunden in Freitexten. Bitte tragen Sie personenbezogene Daten dort nur ein, wenn es erforderlich ist.

Rollen: Für die Konto- und Plattformdaten sind wir Verantwortlicher. Die Inhalte eines Maschinenpasses verantwortet der jeweilige Hersteller; soweit wir sie für ihn speichern, handeln wir als sein Auftragsverarbeiter.

Daten, die wir nicht von Ihnen erhalten (Art. 14 DSGVO): Hersteller, Händler und Betreiber tragen mitunter Kontaktdaten Dritter ein, etwa von Kunden, Eigentümern oder Ansprechpartnern im Service. Wir erhalten diese Angaben dann vom jeweiligen Nutzer, nicht von der betroffenen Person. Sie dienen der Dokumentation und Abwicklung der jeweiligen Maschine (Art. 6 Abs. 1 lit. b oder f DSGVO durch den Verantwortlichen des Passes). Betroffene Personen wenden sich für Auskunft und Löschung an den Hersteller oder an uns; wir leiten die Anfrage weiter (siehe Abschnitt 13).

3.3 Öffentliche Pass-Ansicht und Verzeichnis dpplist.eu

Wer den QR-Code einer Maschine scannt oder die Pass-Adresse kennt, kann den öffentlichen Pass ohne Anmeldung abrufen. Dort stehen die vom Hersteller freigegebenen Angaben. Aus der Wartungshistorie erscheinen nur Datum und Art des Eintrags (Inspektion, Reparatur, Wartung), keine Notizen; Betriebsstunden und Stunden je Wartung nur mit Freigabe des Betreibers. Lebenslauftexte stammen allein vom Hersteller. Freitexte von Betreibern oder Händlern erscheinen nie in der öffentlichen Ansicht. Name und E-Mail-Adresse von Eigentümern sind nicht Teil der öffentlichen Ansicht.

Hersteller können einzelne Pässe zusätzlich im Verzeichnis dpplist.eu listen. dpplist.eu ist ein von uns privat betriebenes Verzeichnis und kein offizielles Register der EU oder einer Behörde.

3.4 Server-Logfiles

Beim Abruf protokolliert der Webserver: IP-Adresse, Datum und Uhrzeit, Methode, aufgerufenen Pfad ohne Abfrageparameter, Statuscode, übertragene Datenmenge, Referrer ohne Abfrageparameter, Antwortzeit und eine Anfragekennung. Den User-Agent protokolliert der Webserver nicht. Die Protokolle dienen der Fehlerdiagnose und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Sie werden täglich rotiert und spätestens nach 52 Tagen gelöscht.

3.5 Sicherheitsprotokoll der Anmeldung

Die Plattform führt ein Protokoll über Anmeldungen, fehlgeschlagene Anmeldungen, Zwei-Faktor- und Einmalanmeldung (SSO), Passwortänderungen, beendete Sitzungen und Eingriffe von Administratoren. Je Eintrag speichern wir Zeitpunkt, Ereignis, betroffenes Konto sowie IP-Adresse und User-Agent des Geräts. Bei fehlgeschlagenen Anmeldungen zu unbekannten Konten speichern wir keine eingegebene E-Mail-Adresse. Zweck ist die Abwehr von Missbrauch und der Nachweis, wer wann gehandelt hat (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO). Für dieses Protokoll ist noch keine automatische Löschfrist eingerichtet; die Frist legen wir fest und tragen sie hier ein.

3.6 Öffentliche Formulare ohne Konto

Auf der öffentlichen Pass-Ansicht kann jede Person ohne Anmeldung die Betriebsanleitung in Papierform anfordern und ein Anliegen melden (etwa eine Barriere oder ein Sicherheitsproblem). Dafür erheben wir die Angaben, die Sie eintragen: bei der Papieranforderung Name, E-Mail-Adresse und Anschrift, bei der Meldung die Beschreibung und freiwillig Name und Kontaktweg. Die Angaben gehen an den Hersteller des Passes, der sie für seine Pflichten (Anfrage- und Beschwerdeverzeichnis, Versand innerhalb eines Monats) benötigt (Art. 6 Abs. 1 lit. b, c und f DSGVO). Nach Ablauf der Aufbewahrungsfrist werden Name und Kontaktangaben entfernt, der Nachweis über den Vorgang bleibt ohne Personenbezug. Beide Formulare schützt Cloudflare Turnstile (Abschnitt 9).

3.7 Anmeldung, Zwei-Faktor, Einmalanmeldung und Benutzerverwaltung

Konten können mit einem zweiten Faktor (Authenticator-App, Wiederherstellungscodes) geschützt werden. Eine Pflicht für bestimmte Rollen ist vorgesehen, gilt aber erst, wenn der Betreiber die Funktion einschaltet; derzeit ist sie nicht eingeschaltet. Unternehmen können Einmalanmeldung (SSO) über ihren eigenen Identitätsdienst und die automatische Benutzerverwaltung (SCIM) einrichten. Dabei erhalten wir von dessen Betreiber Kennung, Name, E-Mail-Adresse und Gruppenzugehörigkeit der Mitglieder. Geheimnisse (zweiter Faktor, Zugangsdaten für SSO) speichern wir verschlüsselt.

3.8 Schnittstellen, Webhooks und Connectoren

Hersteller können API-Schlüssel erzeugen, Webhooks einrichten und Connectoren zu ihren eigenen Systemen (zum Beispiel ERP) verbinden. Dabei übertragen wir Pass- und Modelldaten an die vom Hersteller eingetragenen Adressen und lesen Daten aus seinen Systemen. Wohin Daten fließen, bestimmt allein der Hersteller; er ist für diese Empfänger verantwortlich. Wir speichern Protokolle der Zustellungen und Läufe 90 Tage.

3.9 Behörden und Prüfer

Auf Anfrage einer Marktüberwachungsbehörde kann der Hersteller ein Behördenpaket mit Unterlagen zu einer Maschine zusammenstellen und der Behörde übergeben (Art. 6 Abs. 1 lit. c DSGVO). Prüfer (zum Beispiel einer benannten Stelle) erhalten nur Zugriff auf die Fälle, die der Hersteller ihnen bereitstellt; ihre Zugriffe werden protokolliert. Behörden und Prüfer sind damit Empfänger der Daten im jeweiligen Fall.

3.10 App

Die Maschinenpass-App liest Codes mit der Kamera; die Bilder werden nur im Arbeitsspeicher verarbeitet. Nach der Anmeldung speichert die App Ihre Zugangsdaten im Schlüsselbund (iOS) beziehungsweise Schlüsselspeicher (Android). Offline erfasste Einträge liegen in einer verschlüsselten Datenbank auf dem Gerät, Fotos und heruntergeladene Anleitungen als Dateien im geschützten Ordner der App. Der Server speichert, auf welchen Geräten Ihr Konto angemeldet ist (Plattform, Modellname, App- und Systemversion), und zeigt Ihnen diese Liste. Mitteilungen sind aus, bis Sie sie einschalten; dann speichern wir das Push-Token des Geräts, und die Zustellung läuft über Apple (APNs) beziehungsweise Google (FCM). Die App erhebt keinen Standort und enthält keine Werbe- oder Analysewerkzeuge. Sie können Ihr Konto in der App löschen.

3.11 Cookies und lokale Speicherung im Browser

Wir setzen keine Werbe- oder Tracking-Cookies. Im Browser (localStorage, sessionStorage) legt die Oberfläche die folgenden Einträge an. Sie dienen dem Betrieb oder halten Einstellungen fest, die Sie selbst vorgenommen haben. Keiner davon wird zu Werbezwecken genutzt, und nur das Anmelde-Token wird bei API-Anfragen an unseren Server gesendet.

Löschen können Sie alle Einträge jederzeit in den Einstellungen Ihres Browsers („Websitedaten löschen“); in der App löschen Sie den Scan-Verlauf auf der Startseite unter „Zuletzt geöffnet“ mit „Verlauf löschen“ und mit der Abmeldung die Offline-Kopien. Der Zugriff ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich oder dient einer von Ihnen gewählten Einstellung (§ 25 Abs. 2 Nr. 2 TDDDG). Der Scan-Verlauf entsteht nur in der App und nur, nachdem Sie einen Pass geöffnet haben; im Browser wird er nicht angelegt.

4. Zwecke der Verarbeitung und Rechtsgrundlagen

5. Hosting und Infrastruktur

Wir betreiben die Plattform auf einem virtuellen Server (vServer) bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentrum in Deutschland). Hetzner ist unser Auftragsverarbeiter.

Sicherungen: Täglich wird der gesamte Datenbestand, einschließlich der hochgeladenen Dokumente, verschlüsselt auf einen getrennten Speicher gesichert. Wir bewahren 30 tägliche und 12 monatliche Sicherungen auf. Daten, die Sie im laufenden Betrieb löschen, können deshalb noch bis zu rund 12 Monate in Sicherungen liegen. Sie werden dort nicht für andere Zwecke verwendet und nach dem Ablauf der Sicherung endgültig entfernt. Die Sicherung ersetzt kein Archiv: die gesetzliche Aufbewahrung von Pflichtunterlagen liegt beim Hersteller.

6. E-Mail-Versand

Wir versenden E-Mails über einen eigenen Mailserver auf diesem Server. Es wird kein externer E-Mail-Dienstleister eingesetzt.

7. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Funktionen: Assistent zu einem Pass, Hilfe-Chat, Auslesen von Typenschild-Fotos und Rechnungen, Plausibilitätsprüfung und Wartungsprognose. KI-Antworten sind als solche gekennzeichnet und können Fehler enthalten.

Ob Daten den Server verlassen, entscheidet die Firma. Ein Administrator stellt für die ganze Firma den KI-Modus ein: „Aus“ (Standard: keine KI-Funktion des Assistenten, der Bild- und Rechnungsanalyse, und nichts geht an einen externen Anbieter; die Übersetzung von Modelltexten läuft davon unabhängig auf unserem Server, siehe unten), „Lokal“ (nur ein Sprachmodell auf unserem Server, keine Bildanalyse) oder „Extern“ (ein externer Anbieter, auch für Bilder). „Extern“ lässt sich nur wählen, wenn die Firma den Auftragsverarbeitungsvertrag angenommen hat.

• Anthropic (USA): Nur im Modus „Extern“ und nur, wenn eine Person die Funktion aufruft, gehen Eingaben, die dafür herangezogenen Pass-Inhalte, hochgeladene Bilder und Rechnungen an den Anbieter. Rechnungen können Personen- und Kaufdaten enthalten. Die Übermittlungsgrundlage für die USA und der Vertragsstand werden noch geprüft; wir tragen sie hier ein, sobald sie feststehen.
• Lokales Modell (Ollama) auf unserem Server: dient im Modus „Lokal“ und für die Übersetzung von Modellinhalten. Die Übersetzung startet ein Hersteller-Administrator oder -Bearbeiter ausdrücklich für ein Modell und folgt dem Firmenschalter nicht; auch bei „Aus“ werden die Texte dieses Modells dann von diesem lokalen Modell verarbeitet. Die Daten verlassen dabei den Server nicht.

Die KI-Funktionen des Assistenten, der Bild- und Rechnungsanalyse laufen nur, wenn Sie sie aktiv aufrufen; die Übersetzung von Modelltexten startet ein Hersteller-Administrator oder -Bearbeiter ausdrücklich, unabhängig vom Firmenschalter. Geben Sie keine personenbezogenen Daten in Freitexte ein, wenn das nicht nötig ist.

8. Empfänger und Dienstleister

Wir geben personenbezogene Daten nur weiter, soweit es für den Dienst erforderlich oder gesetzlich geboten ist. Empfänger sind:

• Hetzner Online GmbH (Hosting, Deutschland) als Auftragsverarbeiter.
• Anthropic (KI, USA), siehe Abschnitt 7.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Turnstile), siehe Abschnitt 9.
• Marktüberwachungsbehörden und Prüfer im jeweiligen Fall, siehe Abschnitt 3.9.
• Empfänger, die ein Hersteller selbst einträgt (Webhooks, Connectoren, SSO-Anbieter), siehe Abschnitt 3.7 und 3.8.
• Apple und Google (Zustellung von Mitteilungen in der App, nur wenn Sie sie einschalten).
• Beteiligte an einem Pass: Hersteller, Händler und Betreiber sehen einander Meldungen, Wartungseinträge und Kundenangaben, soweit sie für den jeweiligen Pass freigegeben sind.

Die Liste der Unterauftragsverarbeiter mit Zweck, Daten und Sitz steht auf der Seite Unterauftragsverarbeiter.

9. Sicherheitsprüfung mit Cloudflare Turnstile

Anmelde-, Registrierungs-, Passwort-Reset- und weitere öffentliche Formulare schützen wir mit Cloudflare Turnstile, sofern dort aktiviert. Beim Laden des Formulars wird ein Skript von challenges.cloudflare.com geladen. Cloudflare erhält dabei technische Angaben wie IP-Adresse, Browser- und Geräteinformationen und bewertet damit, ob ein Mensch das Formular nutzt. Wir senden die IP-Adresse zusätzlich an Cloudflare, um das Ergebnis zu prüfen. Wir stützen die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Ob das Speichern und Auslesen von Informationen auf Ihrem Gerät dafür nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig ist und ob Cloudflare die Daten auch für eigene Zwecke nutzt, lassen wir rechtlich prüfen. Die Übermittlung in die USA und der Vertragsstand mit Cloudflare sind noch in Prüfung; wir tragen die Grundlage hier ein, sobald sie feststeht.

10. Reichweitenmessung

Auf den öffentlichen Informationsseiten von maschinenpass.de messen wir die Reichweite mit Plausible Community Edition. Plausible läuft selbst gehostet auf unserem Server in Deutschland (Hetzner), setzt keine Cookies und legt keine personenbezogenen Profile an. Die IP-Adresse wird nur mit einem täglich wechselnden Salt gehasht verarbeitet. Auf Pässen (/p/…), GS1-Adressen, Konto- und Portalseiten sowie auf dpplist.eu wird weder gemessen noch das Messskript geladen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Messdaten werden nur in aggregierter Form ausgewertet; eine feste Löschfrist für die Rohdaten in Plausible ist noch nicht festgelegt. Sie können der Messung jederzeit widersprechen, mit dem Schalter unten (er setzt in Ihrem Browser den Eintrag plausible_ignore; danach wird nichts mehr gesendet) oder formlos nach Abschnitt 13.

Der Messung in diesem Browser widersprechen

11. Zahlungen

Eine Bezahlfunktion ist derzeit nicht freigeschaltet, es werden keine Zahlungsdaten verarbeitet. Sobald wir Zahlungen über Stripe (Stripe Payments Europe, Ltd., Irland, mit Datenübermittlung an die Stripe, Inc., USA) anbieten, ergänzen wir diese Erklärung vorher um Zwecke, Daten und Rechtsgrundlage (Art. 6 Abs. 1 lit. b DSGVO).

12. Speicherdauer

• Kontodaten: bis zur Schließung des Kontos. Beim Schließen werden die persönlichen Angaben sofort anonymisiert und die Sitzungen beendet; eine Kulanzfrist gibt es nicht.
• Maschinenpass-Daten: bis zur Löschung durch den Hersteller oder Betreiber, soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen (etwa für Konformitätsunterlagen: mindestens zehn Jahre ab Inverkehrbringen oder Inbetriebnahme, die digitale Anleitung und die Erklärung online über die erwartete Lebensdauer der Maschine).
• Einträge zu Maschinen (Wartung, Prüfungen, Ereignisse): Sie bleiben nach dem Schließen Ihres Kontos als Teil der Maschinenakte erhalten und sind danach keiner Person mehr zugeordnet. Grund: Die Akte soll vollständig und nachvollziehbar bleiben. Eine gesetzliche Aufbewahrungspflicht für diese Einträge behaupten wir nicht.
• Server-Logfiles des Webservers: spätestens 52 Tage.
• Sicherheitsprotokoll der Anmeldung: noch ohne automatische Löschfrist (Abschnitt 3.5).
• Sicherungen: 30 tägliche und 12 monatliche Stände, gelöschte Daten damit bis zu rund 12 Monate (Abschnitt 5).
• Benachrichtigungen in der Plattform: 90 Tage nach dem Lesen oder Anlegen. Zustell- und Laufprotokolle von Webhooks und Connectoren: 90 Tage.
• Handels- und steuerrechtlich aufbewahrungspflichtige Unterlagen (§ 257 HGB, § 147 AO): Bücher 10 Jahre, Buchungsbelege einschließlich Rechnungen 8 Jahre, sonstige aufbewahrungspflichtige Unterlagen wie Handels- und Geschäftsbriefe 6 Jahre.

13. Ihre Rechte als betroffene Person

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten.
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten.
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht besteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch (Art. 21 DSGVO) gegen die Verarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO.
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Angemeldete Nutzer können ihre Daten selbst exportieren und ihr Konto schließen unter Datenschutz & Konto. Außerdem erreichen Sie uns per E-Mail an kontakt@verdagen.ai. Betrifft Ihre Anfrage die Inhalte eines Passes, leiten wir sie an den verantwortlichen Hersteller weiter.

14. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für uns ist:

15. Aktualität dieser Erklärung

Diese Datenschutzerklärung ist aktuell gültig und datiert vom 6. November 2026. Durch die Weiterentwicklung unserer Dienste kann es notwendig werden, diese Datenschutzerklärung zu aktualisieren. Die jeweils aktuelle Fassung finden Sie stets unter /datenschutz.