FAQ zu Sicherheit und Compliance
Antworten auf die Fragen, die Händler, Partner und Sicherheitsprüfer bei der Bewertung von QrX am häufigsten stellen. Wie QrX Daten im täglichen Betrieb schützt, lesen Sie unter "Sicherheit & Datenschutz".
Ist QrX ein Zahlungsanbieter oder eine Bank?
Nein. QrX B.V. ist weder eine Bank noch ein E-Geld-Institut oder ein lizenzierter Zahlungsdienstleister. Zahlungen von Verbrauchern werden von lizenzierten Zahlungsanbietern eingezogen (derzeit Stripe, Mollie und MultiSafePay). QrX stellt die Software, den QR-Zahlungsablauf und die Händler-Tools rund um diese Zahlungen bereit und verwahrt niemals Kundengelder.
Speichert QrX Kartendaten?
Nein. Kartennummern und Zahlungsdaten werden vom PCI-DSS-konformen Zahlungsanbieter verarbeitet. QrX erhält das Zahlungsergebnis und nutzt es, um die Zustellung zu koordinieren.
Wo werden die Daten gehostet?
QrX hostet die Plattform auf Google Cloud im Europäischen Wirtschaftsraum. Wenn ein Dienstleister Daten außerhalb des EWR übermittelt, nutzt QrX einen gültigen Übermittlungsmechanismus wie die EU-Standardvertragsklauseln (Standard Contractual Clauses).
Welche Dienstleister verarbeiten personenbezogene Daten?
Google Cloud und Firebase: Hosting, Speicherung, Anwendungslaufzeit und Push-Benachrichtigungen.
Stripe, Mollie und MultiSafePay: Zahlungseinzug und Abrechnung.
Bird: SMS- und WhatsApp-Nachrichten, einschließlich PIN-Zustellung.
SendGrid: transaktionale E-Mails.
UPS und andere für eine Sendung ausgewählte Versanddienstleister: die Daten, die für den Transport des Pakets erforderlich sind.
Sentry: Überwachung von Anwendungsfehlern.
Intercom: Gespräche mit dem Kundensupport.
Die aktuelle Liste finden Sie in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag (Data Processing Addendum).
Gibt es einen Auftragsverarbeitungsvertrag?
Ja. Wenn QrX die Daten der Kunden eines Händlers verarbeitet (für Sendungen, Payment on Delivery, PIN-Zustellung oder Retouren), ist QrX der Auftragsverarbeiter und der Händler der Verantwortliche. Das QrX Data Processing Addendum (verwerkersovereenkomst) nach Artikel 28 DSGVO ist Teil der Allgemeinen Geschäftsbedingungen von QrX und gilt automatisch. Sie finden es unter qrx.eu/data-processing-addendum. Es regelt Sicherheitsmaßnahmen, Unterauftragsverarbeiter (mit 14 Tagen Frist für einen Widerspruch gegen einen neuen), die Meldung von Datenschutzverletzungen, Audits sowie die Löschung oder Rückgabe von Daten.
Wie werden Datenschutzverletzungen behandelt?
QrX benachrichtigt den betroffenen Händler unverzüglich, nachdem QrX von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, und zwar rechtzeitig, damit der Händler die 72-Stunden-Meldepflicht nach Artikel 33 DSGVO erfüllen kann, sofern sie gilt.
Wie wird der Zugriff kontrolliert?
Die Anmeldung bei PortalX erfolgt mit einem Passwort und einem einmaligen Bestätigungscode. Rollenbasierte Berechtigungen legen fest, was jedes Teammitglied sehen und tun kann, und die Kontoabgrenzung hält die Daten jedes Händlers innerhalb seines eigenen Kontos und seiner eigenen Kanäle. Der API-Zugriff nutzt einen Kanal-API-Schlüssel, der gegen kurzlebige Bearer-Tokens eingetauscht wird, und Webhooks werden mit HMAC-SHA256 signiert.
Wie lange werden Daten gespeichert?
QrX speichert personenbezogene Daten nur so lange, wie es für ihren Zweck erforderlich ist. Steuerrelevante Unterlagen werden für die gesetzliche Frist aufbewahrt (7 Jahre, bzw. 10 Jahre für bestimmte Kategorien). Die Datenschutzerklärung nennt die aktuellen Aufbewahrungsfristen für Betriebsdaten, Logs und Backups sowie deren Umsetzungsstand.
Trifft QrX automatisierte Entscheidungen über Personen?
QrX trifft keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die rechtliche Wirkung entfalten oder Personen in ähnlicher Weise erheblich beeinträchtigen. Ob eine Zahlung erfolgreich ist oder fehlschlägt, entscheidet der lizenzierte Zahlungsanbieter. Betrugs- und Sicherheitsprüfungen können eine Transaktion zur Überprüfung markieren, und auf Anfrage kann eine Person eine Markierung überprüfen.
Wo kann ich den Plattformstatus einsehen?
Die öffentliche Statusseite ist status.qr-x.app.
Wie erkenne ich eine echte QrX-Zahlungsseite?
QrX Payment on Delivery-Seiten werden unter go.qr-x.app bereitgestellt, das Händlerportal unter portal.qr-x.app, die API unter api.qr-x.net und die Website unter qrx.eu. QrX fragt niemals per Chat, E-Mail oder Telefon nach Ihrem Passwort, Bestätigungscode oder Ihrer Kartennummer.
Können wir vor der Integration eine Sicherheitsprüfung durchführen?
Ja. Kontaktieren Sie das QrX-Team über qrx.eu/security oder qrx.eu/book-demo, um Ihre Integration, Ihre Zugriffsanforderungen und Ihren Sicherheitsfragebogen zu besprechen. Im Rahmen des Auftragsverarbeitungsvertrags kann QrX Audit-Anfragen mit aktuellen Sicherheitszusammenfassungen oder -berichten beantworten.
Wie melde ich ein Sicherheitsproblem?
Kontaktieren Sie den QrX-Support unter [email protected] und geben Sie an, dass es sich um eine Sicherheitsmeldung handelt. Bei Datenschutzanliegen schreiben Sie an [email protected]. Nehmen Sie keine Geheimnisse oder Passwörter in Ihre Nachricht auf. Sicherheitsmeldungen werden immer von einer Person bearbeitet.