NL
Inloggen

Juridisch

Privacyverklaring

Niet-bindende vertaling. Bindend is de Duitse versie: Datenschutzerklärung (Duits).

Stand: november 2026 | Versie: 1.0
Verwerkingsverantwoordelijke: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main

Toepassingsgebied: Deze privacyverklaring geldt gezamenlijk voor: (1) de website tapcoat.com, (2) het Tapcoat-SaaS-dashboard en (3) de Tapcoat-app (iOS en Android). Ze is gericht aan bezoekers van de website, geregistreerde klantorganisaties (tenants) en geïnteresseerden — niet aan eindklanten en gasten, wier gegevens Tapcoat in opdracht van de klantorganisaties verwerkt (zie paragraaf 11).

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke in de zin van de AVG is:

Tapcoat GmbH
Hanauer Landstraße 204, 60314 Frankfurt am Main
Wettelijke vertegenwoordigers: Tim Hoh, Lutz Bischoff (directie)
Registerrechtbank: Amtsgericht Frankfurt am Main, HRB 141281
E-mail privacy: datenschutz@tapcoat.com
Algemeen contact: hello@tapcoat.com

Tapcoat heeft geen functionaris voor gegevensbescherming aangewezen; een wettelijke plicht tot aanwijzing volgens art. 37 AVG en § 38 BDSG bestaat op dit moment niet. Voor vragen over gegevensbescherming kun je je rechtstreeks wenden tot datenschutz@tapcoat.com.

2. Welke gegevens we verwerken en waarom — overzicht

We verwerken persoonsgegevens alleen als er een rechtsgrond volgens art. 6 AVG is:

  • Art. 6 lid 1 sub a — toestemming: bijv. trackingcookies, Hotjar, nieuwsbrief (voor zover geen reclame aan bestaande klanten)
  • Art. 6 lid 1 sub b — uitvoering/voorbereiding van een overeenkomst: bijv. registratie, accountbeheer, facturatie
  • Art. 6 lid 1 sub c — wettelijke verplichting: bijv. bewaarplichten volgens HGB/AO
  • Art. 6 lid 1 sub f — gerechtvaardigd belang: bijv. serverlogs, fraudebestrijding, servicecommunicatie, HubSpot CRM

3. Bezoekers van de website (tapcoat.com)

3.1 Serverlogs en verbindingsgegevens van Cloudflare

Bij het openen van tapcoat.com worden automatisch de volgende gegevens vastgelegd en in serverlogs opgeslagen:

  • IP-adres (wordt uiterlijk na 7 dagen geanonimiseerd)
  • Datum en tijd van het opvragen
  • Opgevraagde URL
  • Overgedragen datavolume
  • Browsertype en besturingssysteem (user agent)
  • HTTP-statuscode

Rechtsgrond: art. 6 lid 1 sub f AVG (werking en beveiliging van de website).
Dienstverleners: Mittwald CM Service GmbH & Co. KG (hosting, Espelkamp) en Cloudflare, Inc. (CDN/DDoS-bescherming, PoP Frankfurt). Met beide is een verwerkersovereenkomst gesloten.
Bewaartermijn: 30 dagen, daarna automatische verwijdering.

3.2 Contact via HubSpot-formulier of e-mail

Als je contact met ons opneemt via het contactformulier op tapcoat.com (aangeboden door HubSpot Ireland Limited) of per e-mail aan hello@tapcoat.com, verwerken we:

  • Naam
  • E-mailadres
  • Bedrijf (voor zover opgegeven)
  • Inhoud van je aanvraag
  • Tijdstip van het contact

Het contactformulier wordt pas geladen als je op „Formulier laden” klikt (alleen voor dit paginabezoek) of automatisch als je in de cookiebanner „Externe inhoud” hebt toegestaan. Daarvoor worden geen gegevens aan HubSpot doorgegeven. Bij het laden worden in het bijzonder je IP-adres, browser- en apparaatgegevens en de opgevraagde pagina aan HubSpot doorgegeven. HubSpot kan daarbij cookies of vergelijkbare technologieën gebruiken. Rechtsgrond voor het laden van het formulier is je toestemming (art. 6 lid 1 sub a AVG, § 25 lid 1 TDDDG). Je kunt deze op elk moment met werking voor de toekomst intrekken via de „Cookie-instellingen” in de voettekst.

Voor de verwerking van je aanvraag geldt:

Rechtsgrond: art. 6 lid 1 sub b AVG (precontractuele maatregelen) of sub f AVG (gerechtvaardigd belang bij het behandelen van aanvragen).
Dienstverlener: HubSpot Ireland Limited, 1 Sir John Rogerson’s Quay, Dublin 2, Ierland (verwerkersovereenkomst volgens art. 28 AVG, doorgifte naar derde landen via SCC + EU-US Data Privacy Framework).
Bewaartermijn: Aanvraaggegevens worden bewaard zolang de behandeling duurt en daarna 3 jaar (verjaringstermijnen BGB). Gegevens waaruit een klantrelatie ontstaat, worden behandeld in paragraaf 6.

3.3 HubSpot Chat

Op tapcoat.com gebruiken we een livechat via HubSpot. Als je de chat opent of gebruikt, worden cookies en verbindingsgegevens (IP-adres, chatinhoud, tijdstempels) aan HubSpot doorgegeven.

Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming via de cookiebanner voor trackingfuncties); art. 6 lid 1 sub f AVG voor de pure communicatiefunctie.
Dienstverlener: HubSpot Ireland Limited (zoals hierboven). Chatgesprekken kunnen in het HubSpot-CRM worden opgeslagen.
Bezwaar: Je kunt de chat op elk moment sluiten zonder hem te gebruiken. Toestemming kan op elk moment worden ingetrokken via tapcoat.com/datenschutz.

3.4 Afspraken boeken via HubSpot Meetings

Op onze pagina „Demo” kun je een afspraak boeken voor een productdemonstratie. Daarvoor gebruiken we HubSpot Meetings, een dienst van HubSpot Ireland Limited, 1 Sir John Rogerson’s Quay, Dublin 2, Ierland. De afsprakenkalender wordt pas geladen als je op „Afsprakenkalender laden” klikt (alleen voor dit paginabezoek) of automatisch als je in de cookiebanner „Externe inhoud” hebt toegestaan. Daarvoor worden geen gegevens aan HubSpot doorgegeven. Bij het laden worden in het bijzonder je IP-adres, browser- en apparaatgegevens en de opgevraagde pagina aan HubSpot doorgegeven. HubSpot kan daarbij cookies of vergelijkbare technologieën gebruiken.

Als je een afspraak boekt, verwerken we de door jou ingevoerde gegevens (bijv. naam, e-mailadres, gekozen afspraak, eventueel verdere gegevens) in HubSpot om de afspraak te maken en uit te voeren.

Rechtsgrond: Voor het laden van de kalender en de toegang tot je eindapparaat je toestemming (art. 6 lid 1 sub a AVG, § 25 lid 1 TDDDG). De toestemming per klik geldt alleen voor het betreffende paginabezoek. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken via de „Cookie-instellingen” in de voettekst. De intrekking laat de rechtmatigheid van de tot dan toe uitgevoerde verwerking onverlet. Verwijdering van of inzage in reeds doorgegeven gegevens kun je aanvragen via datenschutz@tapcoat.com (paragraaf 14). Voor de verwerking van je boekingsgegevens art. 6 lid 1 sub b AVG (precontractuele maatregelen) of sub f AVG (gerechtvaardigd belang bij het afstemmen van afspraken).
Dienstverlener: HubSpot Ireland Limited (zoals hierboven). HubSpot verwerkt de gegevens in onze opdracht op basis van een verwerkersovereenkomst (art. 28 AVG). Doorgifte naar derde landen via SCC + EU-US Data Privacy Framework.
Bewaartermijn: We bewaren je boekingsgegevens voor het afstemmen van de afspraak en daarna 3 jaar (verjaringstermijnen BGB). Ontstaat er een overeenkomst, dan geldt paragraaf 6.

3.5 Statusweergave van Better Stack

Op onze pagina „System status” (Engelstalig) tonen we de actuele status van tapcoat met een statusweergave van Better Stack (Better Stack s.r.o., Praag, CZ). De weergave wordt pas geladen als je op „Load status” klikt (alleen voor dit paginabezoek) of automatisch als je in de cookiebanner „Externe inhoud” hebt toegestaan. Daarvoor worden geen gegevens aan Better Stack doorgegeven. Bij het laden worden in het bijzonder je IP-adres, browser- en apparaatgegevens en de opgevraagde pagina aan Better Stack doorgegeven.

Rechtsgrond: je toestemming (art. 6 lid 1 sub a AVG, § 25 lid 1 TDDDG). De toestemming per klik geldt alleen voor het betreffende paginabezoek. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken via de „Cookie-instellingen” in de voettekst.
Dienstverlener: Better Stack s.r.o., Praag, CZ (EU, geen doorgifte naar derde landen).

4. Cookies en vergelijkbare technologieën — TDDDG en AVG

Volgens § 25 TDDDG (Telekommunikation-Telemedien-Datenschutz-Gesetz) is het plaatsen van cookies of het uitlezen van informatie van eindapparaten alleen toegestaan met uitdrukkelijke toestemming, tenzij het gaat om technisch strikt noodzakelijke cookies. Technisch niet-noodzakelijke cookies (bijv. analyse, marketing, chat) plaatsen we uitsluitend na je actieve toestemming via onze cookiebanner.

4.1 Technisch noodzakelijke cookies

De volgende cookies plaatsen we zonder toestemming, omdat ze voor de werking van de website strikt noodzakelijk zijn:

  • Sessiecookie (inlogstatus in het dashboard, geldig voor de duur van de sessie)
  • CSRF-beschermingstoken (beveiliging tegen cross-site request forgery)
  • Cookie-toestemmingskeuze (slaat je toestemming of weigering op)

Rechtsgrond: § 25 lid 2 nr. 2 TDDDG, art. 6 lid 1 sub f AVG.

4.2 Analyse- en marketingcookies (alleen met toestemming)

De onderstaande cookies en trackingtechnologieën worden alleen geactiveerd als je in de cookiebanner toestemming hebt gegeven. Je kunt je toestemming op elk moment met werking voor de toekomst intrekken (paragraaf 15.1).

Externe inhoud zoals de afsprakenkalender (paragraaf 3.4) laden we eveneens alleen met je toestemming: per klik of via de categorie „Externe inhoud” in de cookiebanner.

5. Analyse- en marketingtools

5.1 Google Analytics 4 (GA4)

We gebruiken Google Analytics 4 (GA4) om het gebruiksgedrag op tapcoat.com te analyseren. GA4 gebruikt cookies en vergelijkbare technologieën om gepseudonimiseerde gebruikersgegevens te verzamelen.

Verwerkte gegevens: gepseudonimiseerde apparaat-ID, sessiegegevens, paginaweergaven, gebeurtenissen (bijv. klikken op knoppen, verzenden van formulieren), IP-adres (wordt aan de serverkant ingekort).

Gebruik je de zoekfunctie in ons Helpcentrum, dan sturen we na je toestemming ook de ingevoerde zoekterm naar GA4, samen met de taal van de pagina, het aantal resultaten en eventueel de positie van het aangeklikte resultaat. De zoekterm wordt ingekort tot maximaal 60 tekens. Termen die eruitzien als een e-mailadres, telefoon- of klantnummer, webadres of bankgegevens sturen we niet door. Voer in het zoekveld geen persoonlijke gegevens in. We analyseren de zoektermen om ontbrekende helpinhoud te herkennen.

Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), § 25 lid 1 TDDDG.
Gezamenlijke verantwoordelijkheid: Tapcoat en Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ierland) zijn gezamenlijke verwerkingsverantwoordelijken volgens art. 26 AVG. De wezenlijke inhoud van de joint-controllerovereenkomst is te vinden op https://business.safety.google/adscontrollerterms.
Doorgifte naar derde landen: Google LLC, VS. Waarborg: SCC volgens art. 46 AVG + EU-US Data Privacy Framework (adequaatheidsbesluit van 10.07.2023).
Bewaartermijn: ruwe gegevens 14 maanden (standaardinstelling GA4). Je kunt de registratie blijvend uitschakelen via de browser-add-on van Google: https://tools.google.com/dlpage/gaoptout
Bezwaar: Toestemming kan op elk moment worden ingetrokken in de cookiebanner.

5.2 Google Ads en conversietracking

We gebruiken Google Ads om advertenties te tonen op diensten van Google, en Google-conversietracking om het succes van onze advertentiecampagnes te meten.

Verwerkte gegevens: cookie-ID, klik-ID (gclid), conversiegebeurtenis (bijv. registratie), gepseudonimiseerde apparaatgegevens.

Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), § 25 lid 1 TDDDG.
Gezamenlijke verantwoordelijkheid: Tapcoat en Google Ireland Limited, gezamenlijk verantwoordelijk volgens art. 26 AVG. Privacyverklaring van Google: https://policies.google.com/privacy
Doorgifte naar derde landen: Google LLC, VS — zoals hierboven (SCC + EU-US DPF).
Bezwaar: Toestemming kan op elk moment worden ingetrokken in de cookiebanner. Alternatief: gepersonaliseerde advertenties uitschakelen op https://adssettings.google.com/.

5.3 Meta Pixel en Meta Conversion API

We gebruiken de Meta Pixel en de Meta Conversion API (CAPI) om de effectiviteit van onze advertenties op Facebook en Instagram te meten en doelgroepgericht in te zetten.

Verwerkte gegevens: gehasht e-mailadres (alleen bij conversie via CAPI), browsercookie (_fbp, _fbc), IP-adres, gedragsgegevens op tapcoat.com, gebeurtenisgegevens (bijv. paginaweergave, registratie).

Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), § 25 lid 1 TDDDG.
Gezamenlijke verantwoordelijkheid: Tapcoat en Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Ierland) zijn gezamenlijke verwerkingsverantwoordelijken volgens art. 26 AVG op grond van het Meta Controller Addendum (https://www.facebook.com/legal/controller_addendum).
Doorgifte naar derde landen: Meta Platforms, Inc., VS — SCC + EU-US Data Privacy Framework.
Bezwaar: Toestemming kan op elk moment worden ingetrokken in de cookiebanner. Afmelden voor gepersonaliseerde Facebook-advertenties is mogelijk via de Facebook-instellingen.

5.4 LinkedIn Insight Tag

We gebruiken de LinkedIn Insight Tag om conversies uit LinkedIn-campagnes te meten en doelgroepen op te bouwen voor remarketing op LinkedIn.

Verwerkte gegevens: cookie-ID (li_fat_id), IP-adres, apparaatmetagegevens, bezochte URL’s, conversiegebeurtenissen.

Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), § 25 lid 1 TDDDG.
Gezamenlijke verantwoordelijkheid: Tapcoat en LinkedIn Ireland Unlimited Company (Wilton Place, Dublin 2, Ierland) zijn gezamenlijke verwerkingsverantwoordelijken volgens art. 26 AVG op grond van de joint-controllerovereenkomst van LinkedIn.
Doorgifte naar derde landen: LinkedIn Corporation, VS — SCC + EU-US Data Privacy Framework.
Bezwaar: Toestemming kan op elk moment worden ingetrokken in de cookiebanner. LinkedIn-leden kunnen de tracking uitschakelen via hun LinkedIn-accountinstellingen.

5.5 Hotjar (sessie-opnames en heatmaps)

Hotjar legt geanonimiseerde muisbewegingen, klikken, scrolldiepte en in uitzonderingsgevallen ook schermopnames vast. Alle wachtwoordvelden en velden met gevoelige gegevens worden technisch gemaskeerd en bereiken Hotjar niet.

We gebruiken Hotjar van Hotjar Ltd. (Level 2, St Julian’s Business Centre, 3 Elia Zammit Street, St Julian’s STJ 3155, Malta) om de gebruiksvriendelijkheid van tapcoat.com te verbeteren.

Verwerkte gegevens: geanonimiseerde muisbewegingen, klik- en scrollgedrag, apparaattype, browsertype, tijdstempels, bezochte URL’s. Geen geplande verwerking van namen, e-mailadressen of wachtwoordvelden.

Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), § 25 lid 1 TDDDG.
Doorgifte naar derde landen: gegevensopslag in de EU (Hotjar is een Maltees bedrijf). Eventuele subverwerkers in derde landen zijn geregeld in de DPA van Hotjar.
Bezwaar: Toestemming kan op elk moment worden ingetrokken in de cookiebanner. Afmelden ook via: https://www.hotjar.com/legal/compliance/opt-out

5.6 Eigen webanalyse zonder cookies (phpAnalytics)

Voor een basale bereiksmeting gebruiken we de webanalysesoftware phpAnalytics. formwandler interactive (Molchkragen Media GmbH) beheert deze als verwerker voor ons op servers in Duitsland. Het script wordt geladen van analytics.formwandler-interactive.com.

De webanalyse plaatst geen cookies. Bij het openen van een pagina leest het script technische gegevens van je browser uit en stuurt ze naar de analyseserver. Je IP-adres wordt daarbij alleen kortstondig verwerkt voor de overdracht en om het land te bepalen, en wordt niet opgeslagen. Als in je browser „Do Not Track” is ingeschakeld, vindt er geen registratie plaats.

Verwerkte gegevens: opgevraagde pagina, verwijzende pagina (referrer), browser, besturingssysteem, apparaattype, schermresolutie, taalinstelling en het uit de verbinding afgeleide land. Gebruik je de zoekfunctie in ons Helpcentrum, dan registreren we met je toestemming bovendien de zoekterm (ingekort tot maximaal 60 tekens; termen die eruitzien als een e-mailadres, telefoon- of klantnummer, webadres of bankgegevens registreren we niet), het aantal resultaten en eventueel de positie van het aangeklikte resultaat. Vul in het zoekveld geen persoonlijke gegevens in. We evalueren de gegevens alleen samengevat, niet gekoppeld aan individuele personen.

Rechtsgrond: voor de bereiksmeting art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij het meten en verbeteren van ons webaanbod) en § 25 lid 2 nr. 2 TDDDG; voor de zoektermen art. 6 lid 1 sub a AVG (toestemming) en § 25 lid 1 TDDDG.
Opslaglocatie: servers in Duitsland, geen doorgifte naar derde landen.
Bewaartermijn: Individuele gegevens verwijderen we na 14 maanden, zodat we cijfers met het voorgaande jaar kunnen vergelijken. Daarna bewaren we alleen samengevatte statistieken zonder persoonsgegevens.
Bezwaar en intrekking: Je kunt op elk moment bezwaar maken tegen de bereiksmeting door in je browser „Do Not Track” in te schakelen of ons vormvrij te laten weten via de contactgegevens in deze privacyverklaring. Je toestemming voor zoektermen trek je op elk moment in via de link ‘Cookie-instellingen’ in de footer.

6. Registratie en gebruik van het Tapcoat-dashboard

6.1 Registratieproces (sign-up)

Bij de registratie van een Tapcoat-account verzamelen we de volgende gegevens:

  • Voornaam, achternaam
  • E-mailadres (wordt gebruikt als inlognaam)
  • Naam van het bedrijf / de locatie
  • Functie / rol in het bedrijf
  • Wachtwoord (wordt uitsluitend als bcrypt-hash opgeslagen — Tapcoat heeft geen toegang tot het wachtwoord in leesbare vorm)
  • IP-adres en tijdstempel van de registratie (beveiliging / fraudebestrijding)

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst — beschikbaarstelling van het Tapcoat-account).
Verplichte gegevens: e-mail, wachtwoord, bedrijfsnaam. Alle andere velden zijn vrijwillig.

6.2 Gebruiksgegevens in het dashboard

Tijdens het gebruik van het Tapcoat-dashboard worden technische gebruiksgegevens verzameld:

  • Inlogtijden en sessieduur
  • Uitgevoerde acties (bijv. aanmaken van passen, configuratie van klantorganisaties) — geanonimiseerd als auditlog
  • Foutmeldingen en prestatiegegevens (via Sentry, geanonimiseerd)
  • Serverlogs van de API-verzoeken (IP, tijdstempel, endpoint) — bewaring 30 dagen

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst), sub f AVG (gerechtvaardigd belang bij beveiliging en werking).

6.3 Betalingsverwerking en facturatie via Frisbii

De afrekening van Tapcoat-abonnementen verloopt via Frisbii Germany GmbH (Mainzer Landstraße 51, 60329 Frankfurt am Main) als verwerker. Tapcoat verwerkt zelf geen creditcardnummers of volledige bankgegevens.

Verwerkte gegevens: naam, bedrijfsnaam, factuuradres, betaalmethode (getokeniseerd), contractgegevens, factuurgeschiedenis, KYC-identificatiegegevens (indien vereist op grond van toezichtrechtelijke eisen).

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst), sub c AVG (fiscale bewaarplichten).
Bewaartermijn factuurgegevens: 10 jaar (§ 147 AO, § 257 HGB).

Activeer je de optionele betaalfuncties aan garderobes, dan voert de betaaldienstverlener een eenmalige identiteitscontrole (KYC) uit. Daarvoor geven we de vereiste bedrijfs-, vertegenwoordigers- en rekeninggegevens door aan de betaaldienstverlener. Rechtsgrond: art. 6 lid 1 sub b en c AVG.

6.4 Foutmonitoring via Sentry

Voor kwaliteitsborging en het verhelpen van fouten gebruiken we Sentry (Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, San Francisco, CA 94105, USA; EU-vertegenwoordiger: Sentry Software Netherlands B.V., Amsterdam).

Verwerkte gegevens: pseudonieme gebruikers-ID, stacktrace (coderegels van de fout), apparaattype, browserversie, app-versie, IP-adres (aan de serverkant ingekort — IP-masking ingeschakeld).

Rechtsgrond: art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij stabiele werking en het verhelpen van fouten).
Doorgifte naar derde landen: VS, Sentry DPA + modelcontractbepalingen (art. 46 AVG).
Bewaartermijn: 90 dagen (Sentry-standaard).

7. Tapcoat-app (iOS en Android)

7.1 Pushmeldingen

De Tapcoat-app verstuurt pushmeldingen (bijv. pas-updates, beveiligingsmeldingen) via de infrastructuur van Apple (APNs) en Google (FCM).

  • Apple APNs: APNs-device-token, pass-type-identifier, IP-adres — verwerkt door Apple Distribution International Limited, Cork, Ierland.
  • Google FCM: FCM-registratietoken, instance-ID, IP-adres — verwerkt door Google Ireland Limited, Dublin.

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst — beschikbaarstelling van de app-functies).
Doorgifte naar derde landen: Apple Inc. en Google LLC, VS — SCC + EU-US Data Privacy Framework.

7.2 Over-the-air-updates via Capawesome

App-updates worden geleverd via Capawesome Cloud (Genz IT Solutions GmbH, Brückengasse 1b, 78462 Konstanz). Daarbij worden apparaat-ID, app-versie en IP-adres doorgegeven.

Rechtsgrond: art. 6 lid 1 sub b AVG (beschikbaarstelling van de actuele app-versie).
Doorgifte naar derde landen: geen; opslag in Duitsland/EU.

7.3 Aanmaken van Wallet-passen (Apple Wallet en Google Wallet)

Tapcoat maakt in opdracht van de klantorganisaties digitale garderobebewijzen aan als Wallet-passen (Apple Wallet via PassKit, Google Wallet via Google Wallet API). Bij het aanmaken van de Wallet-passen is Tapcoat verwerker voor de klantorganisatie, niet zelfstandig verwerkingsverantwoordelijke. De privacyinformatie richting de gasten is de verantwoordelijkheid van de klantorganisatie.

Rechtsgrond: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst met de klantorganisatie).

8. Hosting en infrastructuur

De kern- en gebruiksgegevens van het Tapcoat-platform (database, object storage) worden verwerkt op servers in Duitsland. Afzonderlijke ondersteunende diensten, met name foutmonitoring, CDN en analyse- en marketingtools, kunnen persoonsgegevens verwerken in derde landen, met name de VS (zie paragraaf 12). Voor hosting en infrastructuur zetten we de volgende dienstverleners in:

  • DigitalOcean, LLC (verwerkersovereenkomst): backendhosting (compute, database, object storage) samen met Hetzner Online GmbH — locatie: FRA1, Frankfurt am Main / Falkenstein/Neurenberg, Duitsland
  • Mittwald CM Service GmbH & Co. KG (verwerkersovereenkomst): hosting van de marketingwebsite tapcoat.com — locatie: Espelkamp, Duitsland
  • Cloudflare, Inc. (verwerkersovereenkomst): DNS, CDN, DDoS-bescherming, WAF — locatie: PoP Frankfurt (EU-routing)

Alle aanbieders zijn contractueel als verwerker volgens art. 28 AVG gebonden. Bij Amerikaanse aanbieders gebeurt de waarborging via modelcontractbepalingen (SCC, module 2) en het EU-US Data Privacy Framework.

9. Communicatie en marketing

9.1 Transactionele e-mails

In het kader van de contractuele relatie sturen we je noodzakelijke service-e-mails (bijv. accountbevestiging, facturen, beveiligingsmeldingen, pas-updates). Deze e-mails zijn nodig voor de uitvoering van de overeenkomst en kunnen niet worden opgezegd.

Rechtsgrond: art. 6 lid 1 sub b AVG.

9.2 Marketing-e-mails en nieuwsbrief

Als je al klant bent, kunnen we je af en toe informatie sturen over nieuwe functies, verbeteringen of relevante aanbiedingen van Tapcoat. Dit gebeurt op basis van § 7 lid 3 UWG (directe reclame aan bestaande klanten). Je kunt op elk moment bezwaar maken tegen dit gebruik.

Aan geïnteresseerden zonder bestaande contractuele relatie sturen we marketing-e-mails alleen op basis van uitdrukkelijke toestemming.

Rechtsgrond: § 7 lid 3 UWG i.c.m. art. 6 lid 1 sub f AVG (bestaande klanten) of art. 6 lid 1 sub a AVG (toestemming voor geïnteresseerden).
Dienstverlener: ActiveCampaign LLC, 1 N Dearborn Street, 5th Floor, Chicago, IL 60602, USA (verwerkersovereenkomst + SCC + EU-US Data Privacy Framework).
Afmelden: Elke marketing-e-mail bevat een afmeldlink. Bezwaar is ook op elk moment mogelijk per e-mail aan datenschutz@tapcoat.com.

9.3 CRM-systeem (HubSpot)

Contactgegevens van geïnteresseerden en klantorganisaties worden in HubSpot CRM opgeslagen en beheerd om verkoopprocessen en klantcommunicatie mogelijk te maken.

Rechtsgrond: art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij gestructureerd klantbeheer) of sub b (voorbereiding en uitvoering van een overeenkomst).
Dienstverlener: HubSpot Ireland Limited, Dublin 2, Ierland (verwerkersovereenkomst + SCC + EU-US DPF).
Bewaartermijn: looptijd van de overeenkomst plus 3 jaar (verjaringstermijnen). Op verzoek is eerdere verwijdering mogelijk.

10. Werking, monitoring en beschikbaarheid

Om een ongestoorde werking te waarborgen, zetten we de volgende monitoringdiensten in:

  • Better Stack (Better Stack s.r.o., Praag, CZ): logbeheer, uptime-monitoring — verwerkt serverlogs, account-ID’s, IP-adressen, metagegevens van verzoeken — rechtsgrond: art. 6 lid 1 sub f AVG
  • Oh Dear (Immutable VOF, Berlaar, België): externe beschikbaarheidsmonitoring — verwerkt endpoint-URL’s, responstijden — rechtsgrond: art. 6 lid 1 sub f AVG

11. Afbakening: gastgegevens en Wallet-passen van de klantorganisaties

De gegevens van eindklanten en gasten die Wallet-passen van Tapcoat-klantorganisaties gebruiken, worden niet op basis van deze privacyverklaring verwerkt. Tapcoat treedt in dat opzicht uitsluitend op als verwerker in de zin van art. 28 AVG. Verwerkingsverantwoordelijke is telkens de locatie / organisator als klantorganisatie. De privacyinformatie richting de gasten moet door de klantorganisatie worden verstrekt (bijv. als mededeling aan de garderobe of in de ticketing).

Tapcoat stelt klantorganisaties hiervoor een sjabloon voor een mededeling ter beschikking.

12. Doorgifte naar derde landen

Sommige van de door ons ingezette dienstverleners geven persoonsgegevens door naar derde landen, met name naar de VS. De waarborging gebeurt in elk geval via EU-modelcontractbepalingen (SCC, uitvoeringsbesluit EU 2021/914, module 2) en — voor zover van toepassing — het adequaatheidsbesluit van de Europese Commissie over het EU-US Data Privacy Framework van 10 juli 2023.

  • Google (Analytics, Ads) — VS — SCC + EU-US DPF
  • Meta Platforms — VS — SCC + EU-US DPF
  • LinkedIn Corporation — VS — SCC + EU-US DPF
  • DigitalOcean, LLC — VS (gegevens blijven in FRA1) — SCC + EU-US DPF
  • Cloudflare, Inc. — VS; levering via datacenters in de EU (Frankfurt) — SCC + EU-US DPF
  • Sentry (Functional Software, Inc.) — VS — SCC (art. 46 AVG)
  • ActiveCampaign LLC — VS — SCC + EU-US DPF
  • HubSpot Ireland Limited — Ierland/VS — SCC + EU-US DPF
  • GitHub, Inc. — VS — SCC + EU-US DPF
  • GitLab Inc. (coderepository) — VS — SCC + EU-US DPF
  • Microsoft Ireland Operations Limited (Microsoft 365) — Ierland/VS — SCC + EU-US DPF
  • Apple Inc. en Google LLC (pushmeldingen, Wallet) — VS — SCC + EU-US DPF
  • Dropbox International — Ierland/VS — SCC + EU-US DPF

De actuele certificeringsstatus van de Amerikaanse aanbieders in het EU-US Data Privacy Framework kun je controleren op https://www.dataprivacyframework.gov/s/participant-search.

13. Bewaartermijn

We bewaren persoonsgegevens alleen zolang dat voor de betreffende verwerkingsdoeleinden nodig is of er wettelijke bewaarplichten bestaan:

  • Serverlogs (website): 30 dagen
  • Contactaanvragen: duur van de behandeling + 3 jaar (verjaring BGB)
  • Accountgegevens van actieve klantorganisaties: looptijd van de overeenkomst; na opzegging blijvend als Free-account
  • Accountgegevens bij verzoek tot verwijdering: onmiddellijke anonimisering + 30 dagen exporttermijn
  • Factuur- en betalingsgegevens: 10 jaar (§ 147 AO, § 257 HGB)
  • Toestemming voor marketing-e-mails: tot intrekking (toestemming) of bezwaar (§ 7 lid 3 UWG)
  • Foutrapporten van Sentry: 90 dagen
  • HubSpot-CRM-gegevens: looptijd van de overeenkomst + 3 jaar
  • Ruwe gegevens van Google Analytics: 14 maanden
  • Hotjar-opnames: 365 dagen (Hotjar-standaard)

14. Je rechten als betrokkene

Je hebt tegenover Tapcoat als verwerkingsverantwoordelijke de volgende rechten volgens de AVG:

  • Recht op inzage (art. 15 AVG): Je hebt het recht te weten welke gegevens we over je hebben opgeslagen.
  • Recht op rectificatie (art. 16 AVG): Je hebt het recht onjuiste gegevens te laten corrigeren.
  • Recht op gegevenswissing (art. 17 AVG): Je hebt het recht verwijdering van je gegevens te verlangen, voor zover er geen bewaarplicht aan in de weg staat.
  • Recht op beperking van de verwerking (art. 18 AVG): Onder bepaalde voorwaarden kun je verlangen dat de verwerking wordt beperkt.
  • Recht op overdraagbaarheid van gegevens (art. 20 AVG): Je hebt het recht je gegevens in een machineleesbaar formaat te ontvangen of aan een andere aanbieder te laten overdragen.
  • Recht van bezwaar (art. 21 AVG): Je hebt het recht op elk moment bezwaar te maken tegen verwerking op basis van gerechtvaardigde belangen. Bij directe reclame (§ 7 lid 3 UWG) is het bezwaar altijd effectief.
  • Recht op intrekking (art. 7 lid 3 AVG): Een gegeven toestemming kun je op elk moment met werking voor de toekomst intrekken.
  • Recht om een klacht in te dienen (art. 77 AVG): Je hebt het recht een klacht in te dienen bij de bevoegde toezichthoudende autoriteit voor gegevensbescherming. Voor Tapcoat GmbH, gevestigd in Frankfurt am Main, is dat de Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de

Om je rechten uit te oefenen, kun je je wenden tot datenschutz@tapcoat.com of per post tot: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main. We behandelen verzoeken binnen een maand (art. 12 lid 3 AVG). Bij complexe verzoeken kan deze termijn met nog twee maanden worden verlengd.

15. Toestemmingen beheren en intrekken

15.1 Cookietoestemmingen

Je kunt je toestemmingen voor cookies en trackingtools op elk moment met werking voor de toekomst intrekken. Klik daarvoor op de link „Cookie-instellingen” in de voettekst van tapcoat.com.

Sinds 1 april 2025 geldt de Einwilligungsverwaltungsverordnung (EinwV). Je kunt je voorkeuren ook centraal beheren via een erkende Personal Information Management Service (PIMS) volgens § 26 TDDDG, voor zover je zo’n dienst gebruikt.

15.2 Marketing-e-mails

Elke marketing-e-mail bevat een afmeldlink. Je kunt je ook op elk moment afmelden per e-mail aan datenschutz@tapcoat.com.

15.3 Account verwijderen

Via de accountinstellingen in het Tapcoat-dashboard kun je de volledige verwijdering van je account aanvragen. Na de aanvraag heb je 30 dagen voor de export van gegevens. Daarna worden persoonsgegevens verwijderd, voor zover er geen wettelijke bewaarplichten aan in de weg staan.

16. Gegevensbeveiliging

Tapcoat zet technische en organisatorische maatregelen in om je gegevens te beschermen tegen verlies, wijziging en onbevoegde toegang. Daartoe behoren onder meer:

  • Versleuteling van alle verbindingen met TLS 1.2 of hoger (HTTPS afgedwongen, HSTS ingeschakeld)
  • Wachtwoordhashing met een veilige methode (bcrypt/argon2)
  • Versleuteling van opgeslagen gegevens in de database
  • Toegang tot productiegegevens beperkt tot het noodzakelijke minimum (least privilege)
  • Regelmatige back-ups met versleutelde opslag
  • Incidentresponsplan voor datalekken (art. 33 AVG)

De volledige beschrijving van de technische en organisatorische maatregelen (TOM) is gedocumenteerd als bijlage 1 bij de verwerkersovereenkomst en kan op verzoek door klantorganisaties worden ingezien.

17. Wijzigingen van deze privacyverklaring

We behouden ons het recht voor deze privacyverklaring indien nodig bij te werken, met name bij wijzigingen van ons platform, nieuwe ingezette diensten of aanpassingen van de wetgeving. Wezenlijke wijzigingen communiceren we actief per e-mail aan geregistreerde klantorganisaties, ten minste 30 dagen van tevoren.

De datum van de laatste update staat aan het begin van dit document.

Bijlage: ingezette verwerkers (kort overzicht)

De volledige lijst van alle verwerkers, joint controllers en zelfstandig verantwoordelijken is gedocumenteerd in bijlage 2 bij de Tapcoat-verwerkersovereenkomst. De belangrijkste verwerkers in één overzicht:

  • DigitalOcean, LLC — backendhosting (FRA1 + Hetzner DE) — VS (gegevens in DE) + Hetzner DE
  • Hetzner Online GmbH — backendhosting (Falkenstein/Neurenberg) — Duitsland
  • Molchkragen Media GmbH (formwandler) — ontwikkeling, beheer, support — Duitsland
  • Mittwald CM Service GmbH & Co. KG — websitehosting — Duitsland
  • Cloudflare, Inc. — CDN, DDoS-bescherming — VS; levering via datacenters in de EU (Frankfurt)
  • Frisbii Germany GmbH — billing, abonnementen, KYC — Duitsland
  • Sentry (Functional Software, Inc.) — foutmonitoring — VS
  • Better Stack s.r.o. — logbeheer, uptime — EU
  • Capawesome / Genz IT Solutions GmbH — OTA-app-updates — Duitsland
  • HubSpot Ireland Limited — CRM, contactformulier, chat, afspraken boeken — Ierland/VS
  • ActiveCampaign LLC — e-mailmarketing — VS
  • Microsoft Ireland Operations Ltd. — e-mail, Teams, OneDrive — Ierland/VS
  • Dropbox International — documentopslag — Ierland/VS
  • GitHub, Inc. — coderepository — VS
  • GitLab Inc. — coderepository — VS
  • Immutable VOF (Oh Dear) — externe beschikbaarheidsmonitoring — België
  • Symplion GmbH — IT-beheer — Duitsland
  • Apple Distribution International Limited — pushmeldingen iOS, Apple Wallet — Ierland/VS
  • Google Ireland Limited — pushmeldingen Android, Google Wallet — Ierland/VS
  • Hotjar Ltd. — sessie-opnames, heatmaps — Malta

Joint controllers (art. 26 AVG): Google Ireland Ltd. (Analytics, Ads), Meta Platforms Ireland Ltd. (Pixel, Ads), LinkedIn Ireland Unlimited Company (Insight Tag).

Stand: november 2026
Tapcoat GmbH | Hanauer Landstraße 204 | 60314 Frankfurt am Main | datenschutz@tapcoat.com