Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website und die PandaCards-Plattform (app.pandacards.de, cards.pandacards.de) nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?
Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Impressum dieser Website entnehmen.

Wie erfassen wir Ihre Daten?
Einerseits dadurch, dass Sie uns diese selbst mitteilen — z. B. bei der Registrierung eines Kontos, beim Anlegen einer PandaCard & PandaForm oder bei einer Kontaktanfrage. Andererseits erfassen unsere IT-Systeme automatisch bestimmte Daten beim Besuch der Website (siehe Abschnitt 3). Für die Landingpage werten wir zudem — nur mit Ihrer Einwilligung im Cookie-Banner — anonymisierte Nutzungsstatistiken aus; für digitale Visitenkarten (PandaCards) und PandaForm erfolgt eine cookiefreie, anonymisierte Statistik ohne Einwilligung auf Grundlage des berechtigten Interesses des jeweiligen Karteninhabers (siehe Abschnitt 4).

2. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

EnglGroup GbR Englbrecht & Glasse
Hermülheimerstraße 283
50354 Hürth
Deutschland

E-Mail: info@pandacards.de

PandaCards ist ein Produkt der EnglGroup GbR Englbrecht & Glasse.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter wurde nicht bestellt, da hierzu keine gesetzliche Verpflichtung besteht (§ 38 BDSG). Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an die oben genannte verantwortliche Stelle.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben. Eine Übersicht der wichtigsten konkreten Fristen finden Sie in Abschnitt 7.

3. Datenerfassung auf dieser Website

Cookies

Unsere Website verwendet Cookies. Cookies sind kleine Textdateien und richten auf Ihrem Endgerät keinen Schaden an. Bei Ihrem ersten Besuch fragen wir Sie per Cookie-Banner, ob Sie zusätzlich zu den technisch notwendigen Cookies auch der Statistik-Kategorie zustimmen. Ohne Ihre Zustimmung werden keine Statistik-Cookies gesetzt und keine Nutzungsdaten zur Landingpage erhoben (siehe Abschnitt 4).

Im Einzelnen setzen wir folgende Cookies:

Cookie	Zweck	Laufzeit	Kategorie
`theme_preference`	speichert Ihre Hell-/Dunkel-Modus-Einstellung	1 Jahr	technisch notwendig
`preferred_locale`	speichert Ihre Sprachwahl	1 Jahr	technisch notwendig
`cookie_consent`	speichert Ihre Auswahl im Cookie-Banner	1 Jahr	technisch notwendig
Session-Cookie (Login) inkl. CSRF-Schutz	hält Sie eingeloggt, schützt Formulare vor Missbrauch	2 Stunden Inaktivität	technisch notwendig
`landing_session`	verbindet Ihre Seitenaufrufe zu einer anonymen Sitzung für die Statistik	90 Tage	nur mit Einwilligung (Statistik)

Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technischen Betrieb der Website) i. V. m. § 25 Abs. 2 Nr. 2 TTDSG. Rechtsgrundlage für das Statistik-Cookie ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie das Cookie in Ihrem Browser löschen — der Banner erscheint dann bei Ihrem nächsten Besuch erneut.

Alle Cookies werden mit dem Sicherheitsattribut „Secure" gesetzt (Übertragung ausschließlich per HTTPS) sowie mit „SameSite=Lax" gegen Cross-Site-Missbrauch abgesichert. Das Login-Session-Cookie ist zusätzlich als „HttpOnly" markiert und damit für JavaScript nicht auslesbar. Die übrigen Cookies sind bewusst nicht HttpOnly, da unsere Website selbst lesend darauf zugreifen muss (z. B. um Ihre Sprachwahl anzuzeigen).

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

Browsertyp und Browserversion
verwendetes Betriebssystem
Referrer URL
Hostname des zugreifenden Rechners
Uhrzeit der Serveranfrage
IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Server-Log-Dateien werden nach 14 Tagen automatisch gelöscht.

Kontaktaufnahme

Wenn Sie uns per E-Mail oder Kontaktformular kontaktieren, werden Ihre Angaben inklusive der von Ihnen dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Newsletter und Marketing-E-Mails

Wenn Sie beim Registrieren oder in Ihren Einstellungen der Newsletter-Option zustimmen, verwenden wir Ihre E-Mail-Adresse zum Versand von Marketing-E-Mails. Marketing-E-Mails werden ausschließlich nach vorheriger Einwilligung versendet, Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmelde-Link in jeder E-Mail oder direkt unter Einstellungen → „Benachrichtigungen". Systembedingte Pflichtmitteilungen (z. B. zu Vertrags- oder Rechtsänderungen) sind hiervon nicht betroffen und werden unabhängig von dieser Einwilligung versendet, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Registrierung und Kundenkonto

Wenn Sie ein Konto bei PandaCards registrieren, erheben und speichern wir die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, Passwort, optional Telefonnummer und Unternehmen) zur Erfüllung des Nutzungsvertrags. Passwörter werden ausschließlich als Hash gespeichert; sensible Profildaten (Name, E-Mail-Adresse, Telefonnummer, Unternehmen) werden verschlüsselt in unserer Datenbank abgelegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Registrieren Sie sich über Google, LinkedIn oder Facebook, erhalten wir die dafür nötigen Basisdaten (Name, E-Mail-Adresse, ggf. Profilbild) von diesem Anbieter — dessen eigene Datenschutzhinweise gelten für die dortige Verarbeitung zusätzlich.

Zahlungsabwicklung

Für kostenpflichtige Abonnements setzen wir den Zahlungsdienstleister Stripe ein. Vertragspartner für Kund:innen in Deutschland ist dabei Stripe Payments Europe, Limited (Irland, EU) — nicht die US-amerikanische Konzernmutter. Dabei werden die zur Zahlungsabwicklung erforderlichen Daten (u. a. Name, Zahlungsinformationen) an Stripe übermittelt. Stripe Payments Europe kann Daten im Rahmen der Leistungserbringung an verbundene Unternehmen und Subunternehmer außerhalb der EU weiterleiten, insbesondere an Stripe, LLC in den USA; hierfür bestehen geeignete Garantien nach Art. 44 ff. DSGVO (u. a. EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ihre Zahlungsdaten (z. B. Kreditkartennummer) werden dabei unmittelbar von Stripe verarbeitet — PandaCards selbst speichert zu keinem Zeitpunkt vollständige Zahlungsdaten, sondern nur eine Referenz-ID zur jeweiligen Stripe-Transaktion. Weitere Informationen: stripe.com/privacy.

PandaCards und Formulare Dritter

Wenn Sie eine von einer PandaCards-Kundin oder einem PandaCards-Kunden erstellte digitale Visitenkarte besuchen oder ein darüber eingebundenes Kontaktformular (PandaForm) ausfüllen, ist in der Regel der jeweilige Karteninhaber — nicht die EnglGroup GbR Englbrecht & Glasse — für diese konkrete Datenverarbeitung verantwortlich; wir verarbeiten diese Daten dann als Auftragsverarbeiter gemäß Art. 28 DSGVO in seinem Auftrag. Der Karteninhaber kann in seinen Formular-Einstellungen einen eigenen Datenschutz-Link hinterlegen; ist keiner hinterlegt, wird auf diese Datenschutzerklärung verwiesen.

4. Analyse und Statistik

Für die Landingpage (pandacards.de) betreiben wir eine eigene, selbst gehostete Analyse ohne Weitergabe an Google Analytics oder vergleichbare Drittanbieter-Werkzeuge. Erhoben werden — ausschließlich mit Ihrer Einwilligung im Cookie-Banner — folgende Daten je Sitzung:

aufgerufene Seiten, deren Reihenfolge und Ihre Verweildauer
grober Gerätetyp (Desktop/Mobil/Tablet) und Land (per IP-Geolokalisierung, siehe unten)
Herkunft (Referrer sowie UTM-Kampagnenparameter, sofern Sie über einen entsprechend markierten Link kamen)
ob Sie den „Kostenlos starten"-Button angeklickt und sich anschließend registriert haben (zur Erfolgsmessung eigener Kampagnen)

Ihre IP-Adresse wird dabei nicht gespeichert, sondern beim Empfang sofort gekürzt (bei IPv4 das letzte Oktett, bei IPv6 die letzten 80 Bit auf null gesetzt), und Ihr Browser-Kennzeichen (User-Agent) wird nur als nicht umkehrbarer Hashwert abgelegt — ein Rückschluss auf Sie als Person ist damit nicht möglich. Die Ermittlung des Landes erfolgt ausschließlich lokal auf unserem eigenen Server innerhalb Deutschlands anhand einer wöchentlich aktualisierten Datenbank (MaxMind GeoLite2); Ihre IP-Adresse wird dafür zu keinem Zeitpunkt an einen externen Dienst übermittelt. Die Daten werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, da hierfür das Statistik-Cookie landing_session gesetzt wird (siehe Abschnitt 3).

Für digitale Visitenkarten (PandaCards) & PandaForm gilt ein anderer Maßstab: Diese Statistik kommt ohne Cookie auf Ihrem Gerät aus — sie wertet Daten aus, die bei jedem Seitenaufruf ohnehin technisch übertragen werden (IP-Adresse, User-Agent), ohne eine wiedererkennbare Kennung auf Ihrem Gerät zu speichern. Da hierfür keine Einwilligungspflicht nach § 25 TTDSG greift (diese betrifft nur den Zugriff auf im Endgerät gespeicherte Informationen), stützen wir uns hier — sofern der Karteninhaber die Statistik-Funktion für seine Karte aktiviert hat — auf dessen berechtigtes Interesse an Nutzungsstatistiken seiner eigenen Karte, Art. 6 Abs. 1 lit. f DSGVO. Erfasst werden Aufrufe, Kontakt-Speicherungen, QR-Scans und Link-Klicks nach demselben technischen Muster wie oben (IP sofort gekürzt, User-Agent gehasht, 90 Tage Aufbewahrung).

Wir verwenden keine Cookies oder Skripte von Google, Meta, LinkedIn oder anderen Werbenetzwerken.

5. Empfänger und Auftragsverarbeiter

Im Rahmen der Verarbeitung geben wir Daten an folgende Kategorien von Empfängern weiter:

Stripe Payments Europe, Limited — Zahlungsabwicklung (siehe Abschnitt 3), Datenschutzerklärung: stripe.com/privacy
Brevo — Versand von System- und Transaktions-E-Mails (z. B. Registrierungsbestätigung, Rechnungen, Benachrichtigungen), Datenschutzerklärung: brevo.com/legal/privacypolicy
Strato GmbH — Hosting, Serverstandort Deutschland, Datenschutzerklärung: strato.de/datenschutz

Die Ermittlung des Landes für die Statistik-Funktion (Abschnitt 4) erfolgt seit Version 2.0 dieser Datenschutzerklärung lokal auf unserem eigenen Server; hierfür ist kein externer Dienstleister mehr eingebunden.

Mit den vorgenannten Dienstleistern bestehen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Eine Übermittlung an sonstige Dritte erfolgt nicht, außer wir sind gesetzlich dazu verpflichtet oder Sie haben ausdrücklich eingewilligt.

Eine Ausnahme bildet die Webhook-Funktion (siehe Abschnitt 8): Aktiviert ein Kontoinhaber diese Funktion, übermitteln wir Daten zusätzlich an eine von ihm selbst hinterlegte Internetadresse. Dieser Empfänger wird allein vom Kontoinhaber bestimmt; eine Auswahl des Ziels durch uns findet nicht statt.

6. Ihre Rechte

Sie haben jederzeit das Recht:

unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten (Art. 15 DSGVO)
die Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
die Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO)
die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
der Verarbeitung zu widersprechen (Art. 21 DSGVO)
Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Art. 20 DSGVO)
sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — zuständig ist die Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder unseres Unternehmenssitzes

So stellen Sie eine Anfrage

Sind Sie bei PandaCards registriert, können Sie eine Auskunfts-, Export-, Berichtigungs-, Einschränkungs- oder Widerspruchsanfrage direkt unter Einstellungen → „Meine Daten" stellen. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen (in begründeten Fällen verlängerbar auf bis zu 90 Tage, worüber wir Sie informieren). Ihr Konto können Sie jederzeit selbst und sofort unter Einstellungen → „Konto löschen" entfernen — ein laufendes Abonnement wird dabei automatisch zum gleichen Zeitpunkt gekündigt. Gesetzliche Aufbewahrungspflichten (insbesondere für Rechnungen, siehe Abschnitt 7) bleiben von der Kontolöschung unberührt und werden unabhängig davon nach Ablauf der jeweiligen Frist gelöscht. Alternativ erreichen Sie uns unter den im Impressum genannten Kontaktdaten.

7. Speicherfristen im Überblick

Datenart	Speicherdauer
Server-Log-Dateien (Apache)	14 Tage
Landingpage-Statistik (Sitzungen, Seitenaufrufe)	90 Tage
PandaCard- & PandaForm-Statistik (Aufrufe, Klicks, Scans)	90 Tage
Login- und Sicherheitsprotokolle	365 Tage
Konto-Aktivitätsprotokoll	365 Tage
Download-Link eines Datenexports (Datenübertragbarkeit)	48 Stunden
Rechnungen und Zahlungsbelege	10 Jahre (§ 257 HGB, § 147 AO)
API-Zugriffs-Token	60 Tage (danach automatischer Ablauf und Löschung)
Webhook-Zustellinhalte	Löschung unmittelbar nach Zustellung bzw. endgültigem Fehlschlag
Webhook-Zustellprotokoll (nur Metadaten)	30 Tage

8. API-Zugang und Webhooks (Team-Plan)

Kontoinhaber im Team-Plan können auf ihre eigenen Daten programmatisch zugreifen (REST-API) und sich über Ereignisse automatisch benachrichtigen lassen (Webhooks). Beide Funktionen sind ohne diesen Plan technisch gesperrt und können ausschließlich von Team-Managern eingerichtet werden.

Zugriff und Berechtigungen. Der Zugriff erfolgt über persönliche Zugriffs-Token, die nur einmalig im Klartext angezeigt und bei uns ausschließlich als kryptografischer Hash (SHA-256) gespeichert werden. Jeder Token besitzt ausschließlich die bei seiner Erstellung ausgewählten Berechtigungen (z. B. nur Lesezugriff auf Formular-Einsendungen) und verfällt automatisch nach 60 Tagen. Jeder Zugriff ist strikt auf die Daten des jeweiligen Kontos beschränkt.

Datenminimierung. Kundendaten aus Terminbuchungen werden über die API standardmäßig maskiert ausgegeben (z. B. „Max M.", „m***@firma.de"); die Ausgabe im Klartext erfordert eine gesondert erteilte Zusatzberechtigung. Interne Kennungen, Sicherheits-Token und verschlüsselt gespeicherte Felder werden über feste Positivlisten grundsätzlich nie ausgegeben. Statistik-Abfragen enthalten ausschließlich aggregierte Zahlen ohne Personenbezug.

Webhooks — Übermittlung an ein selbst bestimmtes Ziel. Aktiviert ein Kontoinhaber Webhooks, übermitteln wir bei bestimmten Ereignissen (neue Formular-Einsendung sowie neue, stornierte oder verschobene Terminbuchung) die zugehörigen Daten automatisch an eine selbst hinterlegte Internetadresse — typischerweise das eigene CRM- oder Kalendersystem. Übertragen werden dabei die vollständigen Ereignisdaten, bei Terminbuchungen einschließlich Name, E-Mail-Adresse und Telefonnummer der buchenden Person. Der Empfänger wird ausschließlich vom Kontoinhaber bestimmt; ab dem Zeitpunkt der Zustellung liegen die Daten in dessen Verantwortungsbereich. Kontoinhaber sind verpflichtet, die betroffenen Personen hierüber in ihrer eigenen Datenschutzerklärung zu informieren.

Sicherheit der Übertragung. Zustellungen erfolgen ausschließlich über verschlüsselte Verbindungen (HTTPS); unverschlüsselte Ziele werden abgelehnt. Jede Zustellung ist mit einem geheimen Schlüssel signiert (HMAC-SHA256) und mit einem Zeitstempel versehen, sodass der Empfänger Echtheit und Unverfälschtheit prüfen kann. Zieladressen werden technisch daraufhin geprüft, dass sie öffentlich erreichbar sind; Adressen aus internen oder privaten Netzen werden blockiert — diese Prüfung wird unmittelbar vor jeder einzelnen Zustellung wiederholt.

Speicherung der Zustellungen. Für die Zustellung wird der Inhalt vorübergehend verschlüsselt gespeichert und unmittelbar nach erfolgreicher oder endgültig fehlgeschlagener Zustellung gelöscht. Im Protokoll verbleiben ausschließlich Metadaten (Ereignisart, Status, Zeitpunkt), die nach 30 Tagen automatisch gelöscht werden.

9. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Dokumentversion 4.0 · veröffentlicht am 20.07.2026

1. Privacy at a Glance

General information

The following information provides a simple overview of what happens to your personal data when you use this website and the PandaCards platform (app.pandacards.de, cards.pandacards.de). Personal data is any data that can be used to identify you personally.

Data collection on this website

Who is responsible for data collection on this website?
Data processing on this website is carried out by the website operator. You can find their contact details in the legal notice of this website.

How do we collect your data?
On one hand, through data you provide to us — e.g. when registering an account, creating a PandaCard, or making a contact enquiry. On the other hand, our IT systems automatically collect certain data when you visit the website (see Section 3). For the landing page we also evaluate — only with your consent given via the cookie banner — anonymised usage statistics; for digital business cards (PandaCards) and PandaForm, a cookie-free, anonymised statistic is carried out without consent on the basis of the respective cardholder's legitimate interest (see Section 4).

2. General Information and Mandatory Disclosures

Privacy

The operators of this website take the protection of your personal data very seriously. We treat your personal data confidentially and in accordance with the statutory data protection regulations and this privacy policy.

Note on the responsible party

The party responsible for data processing on this website is:

EnglGroup GbR Englbrecht & Glasse
Hermülheimerstraße 283
50354 Hürth
Germany

Email: info@pandacards.de

PandaCards is a product of EnglGroup GbR Englbrecht & Glasse.

Data Protection Officer

No Data Protection Officer has been appointed, as there is no statutory obligation to do so (Sec. 38 BDSG). For any data protection questions, please contact the responsible party named above directly.

Storage period

Unless a more specific storage period is stated in this privacy policy, your personal data will remain with us until the purpose for data processing no longer applies. If you assert a justified request for deletion or revoke consent to data processing, your data will be deleted unless we have other legally permissible reasons for storing your personal data. See Section 7 for an overview of the most important concrete retention periods.

3. Data Collection on this Website

Cookies

Our website uses cookies. Cookies are small text files that do not damage your device. On your first visit, our cookie banner asks whether, in addition to the technically necessary cookies, you also consent to the statistics category. Without your consent, no statistics cookies are set and no usage data is collected for the landing page (see Section 4).

Specifically, we use the following cookies:

Cookie	Purpose	Duration	Category
`theme_preference`	stores your light/dark mode preference	1 year	strictly necessary
`preferred_locale`	stores your language selection	1 year	strictly necessary
`cookie_consent`	stores your choice in the cookie banner	1 year	strictly necessary
Session cookie (login) incl. CSRF protection	keeps you logged in, protects forms from misuse	2 hours of inactivity	strictly necessary
`landing_session`	links your page views into an anonymous session for statistics	90 days	only with consent (statistics)

The legal basis for strictly necessary cookies is Art. 6(1)(f) GDPR (legitimate interest in the technical operation of the website) in conjunction with Section 25(2) No. 2 TTDSG. The legal basis for the statistics cookie is your consent, Art. 6(1)(a) GDPR in conjunction with Section 25(1) TTDSG. You can withdraw your consent at any time with effect for the future by deleting the cookie in your browser — the banner will then reappear on your next visit.

All cookies are set with the "Secure" attribute (transmitted exclusively via HTTPS) and protected against cross-site misuse via "SameSite=Lax". The login session cookie is additionally marked "HttpOnly" and therefore cannot be read by JavaScript. The other cookies are deliberately not HttpOnly, as our website itself needs read access to them (e.g. to display your language selection).

Server log files

The website provider automatically collects and stores information in server log files that your browser transmits automatically. These are:

Browser type and version
Operating system used
Referrer URL
Hostname of the accessing computer
Time of the server request
IP address

This data is not merged with other data sources. Collection is based on Art. 6(1)(f) GDPR. Server log files are automatically deleted after 14 days.

Contact

If you contact us by email or contact form, your details including the contact information you provide will be stored for the purpose of processing the enquiry and in case of follow-up questions. We do not share this data without your consent.

Newsletter and marketing emails

If you consent to the newsletter option during registration or in your settings, we use your email address to send marketing emails. Marketing emails are only sent with your prior consent; the legal basis is Art. 6(1)(a) GDPR. You can withdraw this consent at any time with effect for the future — via the unsubscribe link in every email or directly under Settings → "Notifications". Mandatory system notices (e.g. regarding contractual or legal changes) are not affected by this and are sent independently of this consent; the legal basis is Art. 6(1)(b) GDPR.

Registration and customer account

When you register an account with PandaCards, we collect and store the data you provide (name, email address, password, optionally phone number and company) to fulfil the usage agreement. Passwords are stored exclusively as a hash; sensitive profile data (name, email address, phone number, company) is stored encrypted in our database. The legal basis is Art. 6(1)(b) GDPR (performance of a contract). If you register via Google, LinkedIn, or Facebook, we receive the basic data required for this (name, email address, and profile picture where applicable) from that provider — that provider's own privacy notices additionally apply to its processing.

Payment processing

For paid subscriptions we use the payment service provider Stripe. For customers in Germany, the contracting party is Stripe Payments Europe, Limited (Ireland, EU) — not the US parent company. The data required for payment processing (including name and payment information) is transmitted to Stripe. Stripe Payments Europe may pass on data to affiliated companies and sub-processors outside the EU as part of providing the service, in particular to Stripe, LLC in the USA; appropriate safeguards under Art. 44 et seq. GDPR are in place for this (including EU standard contractual clauses and/or the EU-US Data Privacy Framework). The legal basis is Art. 6(1)(b) GDPR. Your payment data (e.g. credit card number) is processed directly by Stripe — PandaCards itself never stores complete payment data, only a reference ID to the respective Stripe transaction. Further information: stripe.com/privacy.

PandaCards and third-party forms

If you visit a digital business card created by a PandaCards customer or fill out a contact form (PandaForm) embedded on it, the respective cardholder — not EnglGroup GbR Englbrecht & Glasse — is generally responsible for this specific data processing; in that case, we process this data as a processor under Art. 28 GDPR on their behalf. The cardholder can specify their own privacy policy link in their form settings; if none is specified, this privacy policy applies by default.

4. Analytics and Statistics

For the landing page (pandacards.de) we operate our own, self-hosted analytics without sharing data with Google Analytics or comparable third-party tools. The following data is collected per session — only with your consent given via the cookie banner:

pages visited, their order, and your time spent on each page
coarse device type (desktop/mobile/tablet) and country (via IP geolocation, see below)
origin (referrer as well as UTM campaign parameters, if you arrived via a correspondingly tagged link)
whether you clicked the "Get started for free" button and subsequently registered (to measure the success of our own campaigns)

Your IP address is not stored; it is truncated immediately upon receipt (the last octet for IPv4, or the last 80 bits set to zero for IPv6), and your browser identifier (user agent) is stored only as a non-reversible hash — it is not possible to draw conclusions about you as a person from this data. The country is determined entirely locally on our own server within Germany using a weekly-updated database (MaxMind GeoLite2); your IP address is never transmitted to an external service for this purpose. This data is automatically deleted after 90 days. The legal basis is your consent, Art. 6(1)(a) GDPR, since the statistics cookie landing_session is set for this purpose (see Section 3).

A different standard applies to digital business cards (PandaCards) and PandaForm: this statistics feature works without a cookie on your device — it evaluates data that is technically transmitted with every page request anyway (IP address, user agent), without storing any recognisable identifier on your device. Since no consent obligation under Section 25 TTDSG applies here (which only covers access to information already stored on the terminal device), we rely instead — where the cardholder has enabled the statistics feature for their card — on the cardholder's legitimate interest in usage statistics for their own card, Art. 6(1)(f) GDPR. We record views, contact saves, QR scans, and link clicks following the same technical pattern as above (IP truncated immediately, user agent hashed, 90-day retention).

We do not use cookies or scripts from Google, Meta, LinkedIn, or other advertising networks.

5. Recipients and Processors

As part of processing, we share data with the following categories of recipients:

Stripe Payments Europe, Limited — payment processing (see Section 3), privacy policy: stripe.com/privacy
Brevo — sending system and transactional emails (e.g. registration confirmation, invoices, notifications), privacy policy: brevo.com/legal/privacypolicy
Strato GmbH — hosting, server location Germany, privacy policy: strato.de/datenschutz

As of version 2.0 of this privacy policy, country determination for the statistics feature (Section 4) is performed locally on our own server; no external provider is involved for this purpose anymore.

Where required, data processing agreements under Art. 28 GDPR are in place with the above providers. Data is not transferred to any other third parties unless we are legally obliged to do so or you have expressly consented.

One exception is the webhook feature (see Section 8): if an account holder enables it, we additionally transmit data to an internet address they have configured themselves. This recipient is determined solely by the account holder; we do not select the destination.

6. Your Rights

You have the right at any time to:

obtain free information about the origin, recipients, and purpose of your stored personal data (Art. 15 GDPR)
request the correction of inaccurate data (Art. 16 GDPR)
request the deletion of your data (Art. 17 GDPR)
request restriction of processing (Art. 18 GDPR)
object to processing (Art. 21 GDPR)
receive your data in a structured, commonly used, machine-readable format (Art. 20 GDPR)
lodge a complaint with a data protection supervisory authority (Art. 77 GDPR) — the competent authority is that of your habitual residence, your place of work, or our registered office

How to submit a request

If you are registered with PandaCards, you can submit an access, export, correction, restriction, or objection request directly under Settings → "My Data". We process your request within 30 days (extendable to up to 90 days in justified cases, of which we will inform you). You can remove your account yourself, immediately, at any time under Settings → "Delete Account" — any active subscription is automatically cancelled at the same time. Statutory retention obligations (in particular for invoices, see Section 7) remain unaffected by account deletion and are deleted independently once the respective period has expired. Alternatively, you can reach us using the contact details listed in the legal notice.

7. Retention Periods at a Glance

Data category	Retention period
Server log files (Apache)	14 days
Landing page statistics (sessions, page views)	90 days
PandaCard & PandaForm statistics (views, clicks, scans)	90 days
Login and security logs	365 days
Account activity log	365 days
Data export download link (data portability)	48 hours
Invoices and payment records	10 years (Sec. 257 HGB, Sec. 147 AO)
API access tokens	60 days (automatic expiry and deletion thereafter)
Webhook delivery content	deleted immediately after delivery or final failure
Webhook delivery log (metadata only)	30 days

8. API Access and Webhooks (Team Plan)

Account holders on the Team plan can access their own data programmatically (REST API) and receive automatic notifications about events (webhooks). Both features are technically disabled without this plan and can only be set up by team managers.

Access and permissions. Access is granted via personal access tokens, which are shown in plain text only once and are stored on our side exclusively as a cryptographic hash (SHA-256). Each token carries only the permissions selected when it was created (e.g. read-only access to form submissions) and expires automatically after 60 days. Every request is strictly limited to the data of the respective account.

Data minimisation. Customer data from appointment bookings is returned masked by default (e.g. "Max M.", "m***@firma.de"); returning it in plain text requires a separately granted additional permission. Internal identifiers, security tokens, and fields stored in encrypted form are never returned, enforced by fixed allow-lists. Statistics requests contain only aggregated figures without any personal reference.

Webhooks — transmission to a destination you choose. If an account holder enables webhooks, we automatically transmit the relevant data upon certain events (new form submission, and new, cancelled, or rescheduled appointment bookings) to an internet address they have configured themselves — typically their own CRM or calendar system. The full event data is transmitted, including, in the case of appointment bookings, the name, email address, and telephone number of the person booking. The recipient is determined solely by the account holder; from the moment of delivery the data lies within their sphere of responsibility. Account holders are obliged to inform the data subjects concerned about this transfer in their own privacy policy.

Security of transmission. Deliveries are made exclusively over encrypted connections (HTTPS); unencrypted destinations are rejected. Every delivery is signed with a secret key (HMAC-SHA256) and carries a timestamp, allowing the recipient to verify authenticity and integrity. Destination addresses are technically checked to ensure they are publicly reachable; addresses within internal or private networks are blocked — this check is repeated immediately before each individual delivery.

Storage of deliveries. For delivery purposes the content is stored temporarily in encrypted form and deleted immediately after successful or finally failed delivery. Only metadata (event type, status, timestamp) remains in the log and is deleted automatically after 30 days.

9. SSL / TLS Encryption

For security reasons and to protect the transmission of confidential content, this site uses SSL or TLS encryption. You can recognise an encrypted connection by the fact that the address line of the browser changes from "http://" to "https://" and by the lock symbol in your browser line.

Document version 4.0 · published 2026-07-20