Datenexport und Anbieterwechsel (EU Data Act)

1. Gegenstand und Geltungsbereich

QORLYNT ist ein mandantenbezogener SaaS-Dienst. Die folgenden Angaben beziehen sich auf die bei der gebuchten Nutzung vorhandenen, dem Kunden zuordenbaren exportierbaren Daten und digitalen Vermögenswerte. Nicht gebuchte oder nicht genutzte Funktionen erzeugen keine entsprechenden Betriebsdaten. Maßgeblich sind die anwendbaren Regeln des Kapitels VI der Verordnung (EU) 2023/2854 (Data Act), insbesondere zu Wechsel, Unterstützung, Informationspflichten und Datenrückgabe.

Der Datenexport eines Unternehmens nach dem Data Act ist vom Recht einer einzelnen Person auf Auskunft oder Datenübertragbarkeit nach der DSGVO zu unterscheiden. Werden personenbezogene Daten übertragen, bleiben Weisungen, Rechte betroffener Personen, die AVV und die technischen Schutzmaßnahmen anwendbar.

2. Datenbereiche und derzeit nachgewiesene Zugangswege

Abhängig von Einrichtung und Nutzung kommen insbesondere folgende kundenseitige Bereiche in Betracht: Unternehmensprofil, Standorte und Buchungseinstellungen; Kontakte und individuell gepflegte Felder; Dienstleistungen, Mitarbeiterprofile, Arbeitsplätze, Qualifikationen, Schichten, Verfügbarkeiten, Abwesenheiten sowie Zeit- und Urlaubssalden; Buchungen, Wartelisten, Angebote, Freigaben und Aufgaben; Nachrichten, Vorlagen, Kampagnen, Medien und Dateien; verbundene Kalenderereignisse und Zuordnungen; Regeln und Automationen samt Revisionen und Ausführungen; vom Kunden eingerichtete externe Integrationen und Einstellungen sowie dem Kunden zuordenbare Nutzungs- und Betriebsnachweise einschließlich Push-Zustellnachweisen. Bei aktivierter QORLYNT-Versandadresse können zusätzlich die zugeordnete Absenderadresse, bestätigte Antwortadresse, Versand- und Zustellnachweise sowie Sperren nach Rückläufern oder Beschwerden anfallen. Die genaue Abgrenzung schließt auch Daten ein, die durch die Nutzung des Dienstes entstanden sind, soweit sie nach dem Data Act exportierbar sind.

Bei Mitarbeiterdaten können auch Angaben zu Krankheit oder anderen sensiblen Abwesenheitsgründen vorkommen. Der QORLYNT-Kunde legt die zulässige Verarbeitung und Weisungen fest; für die Herausgabe und Übermittlung gelten daneben die DSGVO, die AVV und geeignete Schutzmaßnahmen. Das öffentliche Kontakt-CSV umfasst diese Teamdaten nicht.

Im Kundenbereich steht ein Kontakt-Export als CSV zur Verfügung. Er enthält aktive Kontakte mit Kennung, Name, E-Mail-Adresse, Telefonnummer, individuellen Feldern, Benachrichtigungseinstellung, WhatsApp-/Telegram-Einwilligungsangaben und Tags. Der Export wird in Seiten von bis zu 250 Kontakten mit Fortsetzungskennung bereitgestellt; die Web-App führt die Seiten zu einer Datei zusammen. Dieser Export enthält insbesondere nicht alle Buchungen, Nachrichten, Medien, Kalender-, Automations- oder Integrationsdaten.

Die aktuell belegte Dateistruktur des Kontakt-Exports lautet: UTF-8 mit vorangestellter Byte-Order-Markierung, Semikolon als Trennzeichen und Zeilenende CRLF. Die Kopfzeile lautet in dieser Reihenfolge: id;name;email;phone;fields;notifications_allowed;consent_whatsapp;consent_telegram;tags;field_types. Die Spalte field_types enthält deren deklarierte Feldtypen als JSON-Objekt. Die Spalte fields enthält ein JSON-Objekt für individuelle Felder; tags enthält eine kommaseparierte Liste innerhalb einer CSV-Zelle. Alle Datenzellen sind in doppelte Anführungszeichen gesetzt; enthaltene Anführungszeichen werden verdoppelt. Zum Schutz beim Öffnen in Tabellenprogrammen wird potenziell als Formel interpretierbaren Zellinhalten ein Apostroph vorangestellt. Die API liefert je Seite die Felder csv und next; die Web-App ergänzt Kopfzeile und UTF-8-Markierung und lädt die zusammengeführte Datei als qorlynt-kunden.csv herunter. Dies dokumentiert ausschließlich den tatsächlich nachgewiesenen Kontakt-Export, nicht die Formate anderer Datenbereiche.

Im Kundenbereich unter Einstellungen steht ein Gesamtexport für berechtigte Inhaber und Administratoren mit uneingeschränktem Unternehmenszugriff bereit. Er enthält die noch gespeicherten Unternehmensdaten aller Standorte einschließlich zugehöriger Originaldateien und AVV-Annahmenachweise. Das öffentliche Datenverzeichnis unter https://www.qorlynt.com/api/catalog/data-export beschreibt alle ausgegebenen Datensätze, Felder, Typen und Ausnahmen für die jeweilige Formatversion. Der Download enthält dieses Verzeichnis ebenfalls.

3. Schnittstellen, Übertragbarkeit und Abgrenzungen

Die offene Export-Schnittstelle ist über GET /v1/customer/data-export (Berechtigung), POST /v1/customer/data-export mit leerem JSON-Objekt (Download anfordern) und GET auf den zurückgegebenen Downloadpfad verfügbar. Erforderlich sind eine gültige Sitzung und bei Status/Anforderung x-tenant-id; das Downloadticket ist einmalig, an den Benutzer gebunden und zwei Minuten gültig. Der Download ist gestreamt und verwendet einen konsistenten Datenbankstand. Unterbrechungen erfordern einen neuen Download; große oder wiederholt fehlschlagende Exporte koordinieren wir über support@qorlynt.com. Bereits endgültig gelöschte oder ausschließlich beim Fremdanbieter gehaltene Daten werden nicht rekonstruiert. Technische Zeitgrenzen beschränken keine gesetzlichen Wechselrechte.

Verbundene Google-, Microsoft-, Meta-, Telegram-, Mail- und andere Anbieter verwalten ihre eigenen Konten und Daten nach ihren Bedingungen. Eine Trennung oder ein QORLYNT-Export entfernt deren Daten nicht automatisch. Fremde Mandantendaten, unsere geschützte Software und rechtmäßig ausgeschlossene Geschäftsgeheimnisse werden nicht offengelegt; anwendbare Rechte auf exportierbare Kundendaten bleiben bestehen. Geheimnisse und Zugangsschlüssel müssen im Zielsystem grundsätzlich neu eingerichtet werden.

Der Gesamtexport verwendet UTF-8, zeilenweise JSON-Objekte (NDJSON) und die Formatversion qorlynt-export-1. Er beginnt mit einem Manifest, enthält Datensätze sowie Dateien mit Base64-Inhalt, Größe und SHA-256-Prüfsumme und endet mit einer Abschlusszeile mit Zählwerten und Gesamtprüfsumme. Ohne gültigen Abschluss ist der Download unvollständig. Zeitangaben sind UTC; präzise Dezimalwerte werden als Text übertragen. Kennungen und Beziehungen bleiben erhalten, dynamische Kundenfelder bleiben JSON. Das frei verfügbare Prüf- und Entpackwerkzeug https://www.qorlynt.com/downloads/unpack-data-export.py erstellt ohne QORLYNT-Installation einzelne JSONL-Datensätze und Originaldateien. Ein Zielsystem muss deren fachliche Zuordnung übernehmen; ein automatischer Start von Abläufen oder eine vollständige Funktionsgleichheit wird damit nicht zugesagt.

4. Ablauf, Fristen, Entgelte und Löschung

Der berechtigte Kunde kann den Wechsel zu einem anderen Anbieter derselben Dienstart, in eine eigene IT-Umgebung oder die Löschung nach Maßgabe der anwendbaren Data-Act-Vorschriften verlangen. Die Ankündigungs-, Übergangs-, Abruf- und Löschfristen sowie die Pflichten zur Unterstützung stehen in Ziffer 14 der AGB. Teilen Sie uns das betroffene Unternehmen, die gewünschten Datenbereiche, das Ziel und eine erreichbare Kontaktperson über support@qorlynt.com mit; notwendige Verifizierung schützt gegen unbefugte Herausgabe.

Für einen gesetzlich erfassten Wechsel gelten die Entgeltregeln in Ziffer 14 der AGB. Dort werden auch reguläre Dienstentgelte und Wechselentgelte unterschieden. Nach dem Wechsel und Ablauf einschlägiger Abruffristen werden zu löschende Daten entsprechend der AVV und gesetzlichen Vorgaben entfernt; rechtlich erforderliche Restbestände und Sicherungen sind gesondert zu behandeln.

5. Standort der QORLYNT-AWS-Infrastruktur

Die regionalen Anwendungsressourcen für QORLYNT befinden sich nach den Angaben des Betreibers in der AWS-Region Europa (Stockholm), eu-north-1, Schweden. Als eingesetzte Dienste nennt der Betreiber insbesondere EC2/EBS, S3, Cognito, DynamoDB und Secrets Manager; welche Datenkategorien in welchem Dienst liegen, richtet sich nach der tatsächlichen Konfiguration. Die Standortangabe ist keine Zusage, dass sämtliche Verwaltungs- und Anbieterprozesse in Schweden stattfinden. AWS beschreibt beispielsweise für IAM eine gemeinsame Verwaltungsebene für kommerzielle Regionen in den USA und regionale Berechtigungsebenen (https://docs.aws.amazon.com/IAM/latest/UserGuide/disaster-recovery-resiliency.html). Diese Angaben betreffen die QORLYNT-AWS-Infrastruktur; sie machen keine Aussage über eigenständig betriebene Konten und Infrastruktur verbundener Anbieter wie Google, Microsoft, Meta oder Telegram.

Ein Standort in Schweden allein schließt Zugriffe aus anderen Ländern und internationale behördliche Herausgabeverlangen nicht aus. Die konkreten technischen, organisatorischen und vertraglichen Maßnahmen gegen unrechtmäßige internationale staatliche Zugriffe auf in der EU gehaltene nicht personenbezogene Daten sind für die tatsächlich eingesetzte Betriebsumgebung und die geltenden Anbietervereinbarungen noch zu verifizieren und werden hier nach dieser Prüfung ergänzt. Bis dahin ist dieser Abschnitt keine vollständige Beschreibung nach Art. 28 Data Act.