Hier erklären wir, welche personenbezogenen Daten wir verarbeiten, wenn Sie epc.is nutzen, sich unter auth.epc.is anmelden oder eine Digital-Link-Adresse unter epc.is oder id.epc.is aufrufen. Begriffe wie „Verarbeitung“ und „Verantwortlicher“ verwenden wir so, wie Art. 4 der Datenschutz-Grundverordnung (DSGVO) sie definiert.
1. Verantwortlicher
benelog GmbH & Co. KG, Maarweg 133, 50825 Köln, Deutschland
E-Mail: info@benelog.com, Telefon: +49 221 472540 001
Vertreten durch den Geschäftsführer Thomas Hirsch
Für Fragen zum Datenschutz erreichen Sie Sven Böckelmann unter sboeckelmann@benelog.com.
2. Aufruf der Website und Server-Logs
Bei jedem Seitenaufruf protokollieren unsere Server die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode, die übertragene Datenmenge, den Referrer und die Browserkennung. Ohne diese Daten lässt sich eine Website technisch nicht ausliefern; wir nutzen sie außerdem, um Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Die Logs löschen wir spätestens nach 30 Tagen. Nur wenn wir einen konkreten Sicherheitsvorfall aufklären müssen, bewahren wir die betroffenen Einträge länger auf.
3. Cookies und lokale Speicherung
Wir verwenden keine Cookies für Analyse, Werbung oder Tracking und binden keine Dienste Dritter ein, also keine Analysewerkzeuge, keine Karten, keine Videos und keine externen Schriftarten. Alles, was Ihr Browser lädt, kommt von unseren eigenen Servern.
Ein paar Cookies brauchen wir trotzdem, und zwar erst, wenn Sie sich anmelden oder auf dem Weg dorthin sind:
- ein Sitzungs-Cookie von epc.is, das Ihre Anmeldung hält;
- ein Cookie, das sich für höchstens zehn Minuten merkt, auf welche Seite Sie nach der Anmeldung zurück wollen;
- die Sitzungs- und Sprach-Cookies des Anmeldedienstes auth.epc.is (Keycloak) für Anmeldung, Registrierung und Abmeldung.
Diese Cookies sind für den Dienst, den Sie ausdrücklich nutzen wollen, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und brauchen deshalb keine Einwilligung. Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.
4. Registrierung und Benutzerkonto
Für Ihr Konto speichern wir Benutzername, E-Mail-Adresse, Vor- und Nachname, Ihr Passwort als Hash, die bevorzugte Sprache, den Zeitpunkt, zu dem Sie die Nutzungsbedingungen angenommen haben, und die Angaben zu Ihrem Unternehmen, die Sie freiwillig machen. Nach der Registrierung schicken wir Ihnen eine E-Mail, mit der Sie Ihre Adresse bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, also der Vertrag über die Nutzung der Beta. Die Daten bleiben gespeichert, bis Sie Ihr Konto löschen lassen oder die Beta endet.
5. Antrag auf Zugang zu einem Mandanten
Wenn Sie Zugang für Ihr Unternehmen beantragen, verarbeiten wir die Angaben aus dem Antrag: Name und Anschrift des Unternehmens, die GS1-Basisnummer, die Sie beanspruchen, eine GTIN oder GLN als Nachweis und den Stand der Bearbeitung. Die Kollegen, die den Antrag prüfen, bekommen eine E-Mail darüber; Sie bekommen eine, sobald wir entschieden haben.
Geben Sie einen Zugangsschlüssel von GS1 Germany an, übermitteln wir ihn an die GS1 Germany GmbH, Maarweg 133, 50825 Köln, um festzustellen, welche Nummernkreise Ihrem Unternehmen gehören. Bei uns bleibt davon nur das Ergebnis der Prüfung; den Schlüssel selbst verwerfen wir nach der Abfrage.
Rechtsgrundlage sind Art. 6 Abs. 1 lit. b und lit. f DSGVO; unser berechtigtes Interesse ist, dass nur befugte Personen Daten unter den GS1-Nummern eines Unternehmens veröffentlichen. Die Antragsdaten bewahren wir auf, solange das Konto besteht.
6. Daten in Ihrem Mandanten und deren Veröffentlichung
Die Inhalte in Ihrem Mandanten, also Produkt-, Standort- und Unternehmensdaten, Ereignisse und Verweise, sind in erster Linie Unternehmensdaten. Wo sie geschäftliche Kontaktangaben enthalten, etwa einen Ansprechpartner, speichern und veröffentlichen wir diese so, wie Sie es eingestellt haben (Art. 6 Abs. 1 lit. b DSGVO). Was Sie als öffentlich kennzeichnen, ist weltweit abrufbar. Verweise auf Ihre GS1-Nummern melden wir an die GS1-Registry; GS1 erhält dabei die Nummer, die Zieladresse und die Art des Verweises.
7. Aufrufe öffentlicher Produktseiten und Scans
Wenn jemand eine öffentliche Digital-Link-Adresse aufruft, zum Beispiel durch das Scannen eines QR-Codes, zählen wir diesen Abruf für die Statistik des jeweiligen Unternehmens. Gespeichert werden dafür die aufgerufene Nummer, der Zeitpunkt und das Land, das wir aus der Verbindung ableiten. Die IP-Adresse und jede Kennung des Geräts oder der Person bleiben außen vor. Um eindeutige Abrufe zu schätzen, nutzen wir ein Verfahren mit einem Schlüssel, der nur im Arbeitsspeicher liegt und nie auf eine Festplatte geschrieben wird. Sehr kleine Fallzahlen zeigen wir in der Statistik nicht an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
8. Kontakt per E-Mail
Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder lit. f DSGVO), und löschen sie, sobald sie dafür nicht mehr gebraucht werden und keine gesetzliche Aufbewahrungsfrist entgegensteht. Meldungen rechtswidriger Inhalte und Widersprüche gegen eine Sperre bewahren wir so lange auf, wie wir die Entscheidung nachvollziehen können müssen, höchstens zwölf Monate nach Abschluss des Falls.
9. Sperrung von Konten
Verstößt ein Konto gegen die Nutzungsbedingungen, verarbeiten wir die Daten, die wir dafür brauchen: das Konto, die betroffenen Inhalte, Zeitpunkte und unsere Begründung. Das geschieht zum Schutz der Plattform und Dritter (Art. 6 Abs. 1 lit. f DSGVO) und um unsere Pflichten aus der Verordnung (EU) 2022/2065 zu erfüllen (Art. 6 Abs. 1 lit. c DSGVO).
10. Hosting, Empfänger und Drittländer
epc.is läuft auf Servern in Köln. Wir betreiben die Plattform selbst, einschließlich des E-Mail-Versands. Personenbezogene Daten geben wir an die oben genannten Empfänger weiter, also an GS1 Germany für die Prüfung und an die GS1-Registry für Verweise, und an Behörden, wenn wir gesetzlich dazu verpflichtet sind. In Länder außerhalb der EU und des EWR übermitteln wir keine Daten.
11. Sicherheit
Alle Verbindungen sind mit TLS verschlüsselt. Die Anmeldung läuft über OpenID Connect mit PKCE, und die Mandanten sind voneinander getrennt. Darüber hinaus treffen wir die technischen und organisatorischen Maßnahmen, die Art. 32 DSGVO verlangt.
12. Ihre Rechte
Sie haben uns gegenüber das Recht auf
- Auskunft (Art. 15 DSGVO),
- Berichtigung (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO),
- Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO) und
- Widerspruch gegen Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).
Dafür genügt eine E-Mail an info@benelog.com. Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren; für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (www.ldi.nrw.de).
13. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen
Ohne die Kontodaten können wir kein Konto anlegen und ohne die Antragsdaten keinen Zugang freigeben; alles andere ist freiwillig. Über Anträge entscheiden Menschen. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.
14. Änderungen
Wenn sich die Plattform oder die Rechtslage ändert, passen wir diese Erklärung an. Die aktuelle Fassung steht immer unter epc.is/privacy.
Stand: 8. Oktober 2026