Datenschutzerklärung

Einleitung und Überblick

Wir haben diese Datenschutzerklärung (Fassung 07.08.2023-122557392) verfasst, um Ihnen gemäß der Vorgaben der Datenschutz-Grundverordnung (EU) 2016/679 und anwendbaren nationalen Gesetzen zu erklären, welche personenbezogenen Daten (kurz Daten) wir als Verantwortliche – und die von uns beauftragten Auftragsverarbeiter (z. B. Provider) – verarbeiten, zukünftig verarbeiten werden und welche rechtmäßigen Möglichkeiten Sie haben. Die verwendeten Begriffe sind geschlechtsneutral zu verstehen.

Kurz gesagt: Wir informieren Sie umfassend über Daten, die wir über Sie verarbeiten.

Datenschutzerklärungen klingen für gewöhnlich sehr technisch und verwenden juristische Fachbegriffe. Diese Datenschutzerklärung soll Ihnen hingegen die wichtigsten Dinge so einfach und transparent wie möglich beschreiben. Soweit es der Transparenz förderlich ist, werden technische Begriffe leserfreundlich erklärt, Links zu weiterführenden Informationen geboten und Grafiken zum Einsatz gebracht.

Wenn trotzdem Fragen bleiben, möchten wir Sie bitten, sich an die unten bzw. im Impressum genannte verantwortliche Stelle zu wenden, den vorhandenen Links zu folgen und sich weitere Informationen auf Drittseiten anzusehen. Unsere Kontaktdaten finden Sie selbstverständlich auch im Impressum.

Anwendungsbereich

Diese Datenschutzerklärung gilt für alle von uns im Unternehmen verarbeiteten personenbezogenen Daten und für alle personenbezogenen Daten, die von uns beauftragte Firmen (Auftragsverarbeiter) verarbeiten. Der Anwendungsbereich dieser Datenschutzerklärung umfasst:

• alle Onlineauftritte (Websites, Onlineshops), die wir betreiben
• Social Media Auftritte und E-Mail-Kommunikation
• mobile Apps für Smartphones und andere Geräte

Kurz gesagt: Die Datenschutzerklärung gilt für alle Bereiche, in denen personenbezogene Daten im Unternehmen über die genannten Kanäle strukturiert verarbeitet werden.

Rechtsgrundlagen

In der folgenden Datenschutzerklärung geben wir Ihnen transparente Informationen zu den rechtlichen Grundsätzen und Vorschriften, also den Rechtsgrundlagen der Datenschutz-Grundverordnung, die uns ermöglichen, personenbezogene Daten zu verarbeiten.

Was das EU-Recht betrifft, beziehen wir uns auf die VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016. Diese Datenschutz-Grundverordnung der EU können Sie selbstverständlich online auf EUR-Lex, dem Zugang zum EU-Recht, unter https://eur-lex.europa.eu nachlesen.

Wir verarbeiten Ihre Daten nur, wenn mindestens eine der folgenden Bedingungen zutrifft:

1. Einwilligung (Artikel 6 Absatz 1 lit. a DSGVO): Sie haben uns Ihre Einwilligung gegeben, Daten zu einem bestimmten Zweck zu verarbeiten. Ein Beispiel wäre die Speicherung Ihrer eingegebenen Daten eines Kontaktformulars.
2. Vertrag (Artikel 6 Absatz 1 lit. b DSGVO): Um einen Vertrag oder vorvertragliche Verpflichtungen mit Ihnen zu erfüllen, verarbeiten wir Ihre Daten.
3. Rechtliche Verpflichtung (Artikel 6 Absatz 1 lit. c DSGVO): Wenn wir einer rechtlichen Verpflichtung unterliegen, verarbeiten wir Ihre Daten. Zum Beispiel sind wir gesetzlich verpflichtet Rechnungen für die Buchhaltung aufzuheben.
4. Berechtigte Interessen (Artikel 6 Absatz 1 lit. f DSGVO): Im Falle berechtigter Interessen, die Ihre Grundrechte nicht einschränken, behalten wir uns die Verarbeitung personenbezogener Daten vor.

Zusätzlich zu der EU-Verordnung gelten auch noch nationale Gesetze:

• In Österreich ist dies das Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz), kurz DSG.
• In Deutschland gilt das Bundesdatenschutzgesetz, kurz BDSG.

Kontaktdaten des Verantwortlichen

Speicherdauer

Dass wir personenbezogene Daten nur so lange speichern, wie es für die Bereitstellung unserer Dienstleistungen und Produkte unbedingt notwendig ist, gilt als generelles Kriterium bei uns. Das bedeutet, dass wir personenbezogene Daten löschen, sobald der Grund für die Datenverarbeitung nicht mehr vorhanden ist. In einigen Fällen sind wir gesetzlich dazu verpflichtet, bestimmte Daten auch nach Wegfall des ursprünglichen Zwecks zu speichern, zum Beispiel zu Zwecken der Buchführung.

Sollten Sie die Löschung Ihrer Daten wünschen oder die Einwilligung zur Datenverarbeitung widerrufen, werden die Daten so rasch wie möglich und soweit keine Pflicht zur Speicherung besteht, gelöscht.

Rechte laut Datenschutz-Grundverordnung

Gemäß Artikel 13, 14 DSGVO informieren wir Sie über die folgenden Rechte, die Ihnen zustehen, damit es zu einer fairen und transparenten Verarbeitung von Daten kommt:

• Sie haben laut Artikel 15 DSGVO ein Auskunftsrecht darüber, ob wir Daten von Ihnen verarbeiten.
• Sie haben laut Artikel 16 DSGVO ein Recht auf Berichtigung der Daten, was bedeutet, dass wir Daten richtig stellen müssen, falls Sie Fehler finden.
• Sie haben laut Artikel 17 DSGVO das Recht auf Löschung ("Recht auf Vergessenwerden"), was konkret bedeutet, dass Sie die Löschung Ihrer Daten verlangen dürfen.
• Sie haben laut Artikel 18 DSGVO das Recht auf Einschränkung der Verarbeitung, was bedeutet, dass wir die Daten nur mehr speichern dürfen aber nicht weiter verwenden.
• Sie haben laut Artikel 20 DSGVO das Recht auf Datenübertragbarkeit, was bedeutet, dass wir Ihnen auf Anfrage Ihre Daten in einem gängigen Format zur Verfügung stellen.
• Sie haben laut Artikel 21 DSGVO ein Widerspruchsrecht, welches nach Durchsetzung eine Änderung der Verarbeitung mit sich bringt.
• Sie haben laut Artikel 22 DSGVO unter Umständen das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung (zum Beispiel Profiling) beruhenden Entscheidung unterworfen zu werden.
• Sie haben laut Artikel 77 DSGVO das Recht auf Beschwerde. Das heißt, Sie können sich jederzeit bei der Datenschutzbehörde beschweren, wenn Sie der Meinung sind, dass die Datenverarbeitung von personenbezogenen Daten gegen die DSGVO verstößt.

Kurz gesagt: Sie haben Rechte – zögern Sie nicht, die oben gelistete verantwortliche Stelle bei uns zu kontaktieren!

Wenn Sie glauben, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt oder Ihre datenschutzrechtlichen Ansprüche in sonst einer Weise verletzt worden sind, können Sie sich bei der Aufsichtsbehörde beschweren. Diese ist für Österreich die Datenschutzbehörde, deren Website Sie unter https://www.dsb.gv.at/ finden.

Cookies

Unsere Website verwendet HTTP-Cookies, um nutzerspezifische Daten zu speichern. Im Folgenden erklären wir, was Cookies sind und warum Sie genutzt werden, damit Sie die folgende Datenschutzerklärung besser verstehen.

Immer wenn Sie durch das Internet surfen, verwenden Sie einen Browser. Bekannte Browser sind beispielsweise Chrome, Safari, Firefox, Internet Explorer und Microsoft Edge. Die meisten Websites speichern kleine Text-Dateien in Ihrem Browser. Diese Dateien nennt man Cookies.

Cookies speichern gewisse Nutzerdaten von Ihnen, wie beispielsweise Sprache oder persönliche Seiteneinstellungen. Wenn Sie unsere Seite wieder aufrufen, übermittelt Ihr Browser die "userbezogenen" Informationen an unsere Seite zurück. Dank der Cookies weiß unsere Website, wer Sie sind und bietet Ihnen die Einstellung, die Sie gewohnt sind.

Welche Arten von Cookies gibt es?

Man kann 4 Arten von Cookies unterscheiden:

Unerlässliche Cookies: Diese Cookies sind nötig, um grundlegende Funktionen der Website sicherzustellen.

Zweckmäßige Cookies: Diese Cookies sammeln Infos über das Userverhalten und ob der User etwaige Fehlermeldungen bekommt.

Zielorientierte Cookies: Diese Cookies sorgen für eine bessere Nutzerfreundlichkeit.

Werbe-Cookies: Diese Cookies werden auch Targeting-Cookies genannt. Sie dienen dazu dem User individuell angepasste Werbung zu liefern.

Widerspruchsrecht – wie kann ich Cookies löschen?

Wie und ob Sie Cookies verwenden wollen, entscheiden Sie selbst. Unabhängig von welchem Service oder welcher Website die Cookies stammen, haben Sie immer die Möglichkeit Cookies zu löschen, zu deaktivieren oder nur teilweise zuzulassen.

• Chrome: Cookies in Chrome löschen, aktivieren und verwalten
• Safari: Verwalten von Cookies und Websitedaten mit Safari
• Firefox: Cookies löschen
• Microsoft Edge: Löschen und Verwalten von Cookies

Rechtsgrundlage

Seit 2009 gibt es die sogenannten "Cookie-Richtlinien". Darin ist festgehalten, dass das Speichern von Cookies eine Einwilligung (Artikel 6 Abs. 1 lit. a DSGVO) von Ihnen verlangt. In Österreich erfolgte die Umsetzung dieser Richtlinie in § 96 Abs. 3 des Telekommunikationsgesetzes (TKG).

Für unbedingt notwendige Cookies, auch soweit keine Einwilligung vorliegt, bestehen berechtigte Interessen (Artikel 6 Abs. 1 lit. f DSGVO), die in den meisten Fällen wirtschaftlicher Natur sind.

Google Analytics 4

Wir nutzen auf unserer Website "Google Analytics 4" (GA4), einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ("Google").

Was ist Google Analytics 4?

Google Analytics 4 ist ein Analysetool, das uns ermöglicht, die Nutzung unserer Website zu verstehen und zu verbessern. GA4 verwendet ein ereignisbasiertes Datenmodell, um Interaktionen auf unserer Website zu erfassen.

Welche Daten werden verarbeitet?

Durch Google Analytics 4 werden folgende Daten erhoben:

• Technische Informationen (IP-Adresse — anonymisiert, Browser-Typ, Betriebssystem, Bildschirmauflösung)
• Informationen über Ihr Nutzungsverhalten auf unserer Website (besuchte Seiten, Verweildauer, durchgeführte Aktionen)
• Demografische Daten (Sprache, ungefährer Standort basierend auf IP-Adresse)

Zweck der Verarbeitung

• Analyse des Nutzerverhaltens zur Verbesserung unserer Website
• Erstellung von Statistiken über die Website-Nutzung
• Optimierung unserer Inhalte und Angebote

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit über unseren Cookie-Banner widerrufen.

Weitere Informationen zum Datenschutz bei Google finden Sie unter: https://policies.google.com/privacy

Google Ads Conversion-Tracking

Wir schalten Anzeigen in der Google-Suche und messen, ob ein Klick auf eine Anzeige zu einer Terminbuchung oder Kontaktanfrage führt. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland ("Google").

Nur wenn Sie im Cookie-Banner zustimmen, setzt Google beim Aufruf unserer Website über eine Anzeige ein Cookie. Über Google erfahren wir dadurch nur die Gesamtzahl der Buchungen und Anfragen je Anzeige, nicht wer sie ausgelöst hat. Wir nutzen die Daten nicht für personalisierte Werbung oder Remarketing und teilen Google das über den Consent Mode mit.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen. Google kann Daten in die USA übermitteln; Google ist nach dem EU-US Data Privacy Framework zertifiziert.

Terminbuchung über Calendly

Für die Buchung eines Erstgesprächs binden wir den Terminplaner der Calendly, LLC, 115 E Main St., Ste A1B, Buford, GA 30518, USA („Calendly“) auf unserer Startseite ein.

Wenn Sie einen Termin buchen, verarbeitet Calendly die Angaben aus dem Buchungsformular (Name, E-Mail-Adresse, Unternehmen, Mitarbeiterzahl und, falls angegeben, Ihre Nachricht) sowie technische Daten wie Ihre IP-Adresse, um den Termin anzulegen und Ihnen die Bestätigung zu schicken.

Kamen Sie über eine unserer Anzeigen auf die Website, geben wir Kampagne und Suchbegriff dieser Anzeige aus der Adresse an Calendly weiter. So sehen wir bei einem gebuchten Termin, über welche Anzeige er zustande kam. Dafür wird kein Cookie gesetzt.

Rechtsgrundlage für die Buchung ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage gemäß Art. 6 Abs. 1 lit. b DSGVO, für die Einbindung und die Herkunftsangabe unser berechtigtes Interesse an einer einfachen Terminvereinbarung und an der Erfolgsmessung unserer Werbung gemäß Art. 6 Abs. 1 lit. f DSGVO. Calendly kann Daten in die USA übermitteln; Calendly ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: https://calendly.com/privacy

Meta Conversions API (serverseitige Übermittlung)

Für unseren Routenplaner nutzen wir die "Conversions API" der Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland ("Meta"). Ein Meta Pixel setzen wir auf unserer Website nicht ein.

Wir übermitteln ein bestimmtes Ereignis, nämlich das Absenden unseres Routenplaner-Kontaktformulars, direkt von unserem Server an Meta. Diese Übermittlung findet unabhängig davon statt, ob Sie dem Setzen von Cookies zugestimmt haben, da sie ohne Cookies und ohne Skripte in Ihrem Browser funktioniert.

• Ihre E-Mail-Adresse und, sofern angegeben, Ihre Telefonnummer — jeweils ausschließlich in gehashter (unumkehrbar verschlüsselter) Form für den Abgleich
• Ihre IP-Adresse, Ihr Browser-Kennzeichen (User-Agent) sowie die aufgerufene Seite

Rechtsgrundlage ist unser berechtigtes Interesse an der Messung und Optimierung unserer Werbemaßnahmen gemäß Art. 6 Abs. 1 lit. f DSGVO. Sie können dieser Verarbeitung jederzeit formlos unter office@grafenau.at widersprechen (Art. 21 DSGVO).

Werbung per Post an Unternehmen

Wir schreiben Geschäftsführerinnen und Geschäftsführer von Betrieben einmalig per Brief an, um sie über unser Angebot zu informieren.

Welche Daten und woher. Wir verarbeiten Firma, Name und Funktion der Ansprechperson sowie die Geschäftsanschrift. Wir entnehmen sie öffentlichen Quellen: den Firmenbuch-Veröffentlichungen auf evi.gv.at oder dem Impressum der Website des Unternehmens.

Zweck und Rechtsgrundlage. Wir informieren Sie einmalig per Post über unser Angebot. Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47).

Wer die Daten erhält. Druck, Kuvertierung und Versand übernimmt die Österreichische Post AG (Dienst „EinfachBrief“) in unserem Auftrag. Die Adresslisten liegen in unserer Projektablage bei GitLab (GitLab Inc., USA), und beim Recherchieren und Schreiben nutzen wir den KI-Dienst Claude (Anthropic PBC, USA); dabei werden Daten in die USA übermittelt.

Speicherdauer. Bis zu Ihrem Widerspruch, längstens bis 31.12.2027. Nach einem Widerspruch behalten wir nur Firma und Namen in einer Sperrliste, solange wir Werbebriefe versenden, damit wir Sie nicht erneut anschreiben (berechtigtes Interesse, Ihren Widerspruch dauerhaft zu beachten, Art. 6 Abs. 1 lit. f DSGVO).

Widerspruchsrecht. Sie können der Verwendung Ihrer Daten für Werbung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), formlos an office@grafenau.at oder per Post. Danach schreiben wir Sie nicht mehr an.

Ihre Rechte. Sie haben die im Abschnitt „Rechte laut Datenschutz-Grundverordnung“ genannten Rechte, darunter das Recht auf Beschwerde bei der Datenschutzbehörde (dsb.gv.at).

Hinweise auf veraltete Software an Unternehmen

Stellen wir bei einer Auswertung öffentlich zugänglicher Webdaten fest, dass die Website eines Unternehmens eine Software-Version ohne offiziellen Herstellersupport ausliefert, weisen wir die Geschäftsleitung oder die technisch verantwortliche Person einmalig darauf hin: per Brief (siehe oben), per Kontaktanfrage mit kurzer Notiz auf LinkedIn oder bei Unternehmen in der Schweiz per einzeln verfasster E-Mail.

Welche Daten und woher. Wir verarbeiten Firma, Name und Funktion der Ansprechperson, die Adresse der Website und die dort gefundene Software-Version, dazu je nach Weg die Geschäftsanschrift (Brief), die veröffentlichte geschäftliche E-Mail-Adresse oder das LinkedIn-Profil. Quellen sind die Website und das Impressum des Unternehmens, das Firmenbuch (in der Schweiz zefix.ch), das öffentliche LinkedIn-Profil und das HTTP Archive (httparchive.org).

Zweck und Rechtsgrundlage. Wir weisen Sie auf das Supportende hin und bieten Ihnen dafür unser Update an (Direktwerbung). Rechtsgrundlage ist unser berechtigtes Interesse, Unternehmen, deren Website eine Software ohne Herstellersupport ausliefert, gezielt unsere Update-Leistung anzubieten (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47).

Wer die Daten erhält. Briefe druckt, kuvertiert und versendet die Österreichische Post AG (Dienst „EinfachBrief“) in unserem Auftrag. E-Mails versenden wir über unser Postfach bei Google (Google Workspace) als Auftragsverarbeiter gemäß Art. 28 DSGVO; dabei können Daten auf Grundlage des EU-US Data Privacy Framework in die USA übermittelt werden. Notizen auf LinkedIn verarbeitet die LinkedIn Ireland Unlimited Company in eigener Verantwortung. Die Adresslisten liegen in unserer Projektablage bei GitLab (GitLab Inc., USA), und beim Recherchieren und Schreiben nutzen wir den KI-Dienst Claude (Anthropic PBC, USA); dabei werden Daten in die USA übermittelt.

Speicherdauer. Bis zu Ihrem Widerspruch, längstens bis 31.12.2027. Nach einem Widerspruch behalten wir nur Firma und Namen in einer Sperrliste, solange wir solche Hinweise versenden, damit wir Sie nicht erneut kontaktieren (berechtigtes Interesse, Ihren Widerspruch dauerhaft zu beachten, Art. 6 Abs. 1 lit. f DSGVO).

Widerspruchsrecht. Sie können jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), mit einer kurzen Antwort auf unsere Nachricht oder an office@grafenau.at. Danach kontaktieren wir Sie nicht mehr.

Ihre Rechte. Sie haben die im Abschnitt „Rechte laut Datenschutz-Grundverordnung“ genannten Rechte, darunter das Recht auf Beschwerde bei der Datenschutzbehörde (dsb.gv.at).

Content Delivery Network & Video-Streaming (Bunny CDN / Bunny Stream)

Wir nutzen auf unserer Website Dienste von Bunny CDN und Bunny Stream der BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien ("Bunny"), zur Auslieferung von Medieninhalten und Videos.

Was ist Bunny CDN / Bunny Stream?

Bunny CDN ist ein Content Delivery Network, das die schnelle und zuverlässige Auslieferung von Website-Inhalten ermöglicht. Bunny Stream ist ein Video-Streaming-Dienst, über den Videos auf unserer Website eingebettet und abgespielt werden (über den Player unter player.mediadelivery.net).

Welche Daten werden verarbeitet?

Beim Abruf von Inhalten über Bunny CDN sowie beim Abspielen von Videos über Bunny Stream werden folgende technische Daten verarbeitet:

• IP-Adresse
• Browser-Informationen (User Agent)
• Zugriffszeitpunkt

Zweck der Verarbeitung

• Performante und zuverlässige Auslieferung von Website-Inhalten
• Bereitstellung und Abspielen von eingebetteten Videos

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Optimierung der Website-Performance und der zuverlässigen Bereitstellung von Medieninhalten.

Weitere Informationen zum Datenschutz bei Bunny finden Sie unter: https://bunny.net/privacy/

KI-Bewertung auf getmehealthy.at

Für unser Angebot getmehealthy.at, eine Übersicht der Mittagsmenüs in der Villacher Innenstadt, setzen wir Künstliche Intelligenz ein: Das KI-Modell Claude Opus 5.5 des Anbieters Anthropic schätzt anhand der veröffentlichten Speisekarten Kalorien, Nährwerte und eine Punktebewertung der Gerichte.

An Anthropic übermitteln wir dafür ausschließlich öffentlich zugängliche Speisekarten der Lokale. Personenbezogene Daten der Besucherinnen und Besucher von getmehealthy.at werden nicht übermittelt; ein Seitenaufruf löst keine KI-Anfrage aus.

Speisekarten enthalten in aller Regel keine personenbezogenen Daten. Ist ausnahmsweise doch eine solche Angabe enthalten, etwa der Name einer Wirtin oder eines Wirts, erfolgt die Verarbeitung auf Grundlage unseres berechtigten Interesses an einer verlässlichen Übersicht der Mittagsangebote (Art. 6 Abs. 1 lit. f DSGVO).

Die Ergebnisse sind Schätzungen und keine Angaben der Lokale. Weitere Informationen zum Datenschutz bei Anthropic finden Sie unter anthropic.com/legal/privacy.

Software-as-a-Service (SaaS) Produkte: GK Routenplaner & TomsClock

Grafenau digital solutions GmbH betreibt als SaaS-Anbieter die Produkte GK Routenplaner (Routen- und Wartungsmanagement) und TomsClock (Zeiterfassung). Dieser Abschnitt beschreibt alle Datenverarbeitungen die im Rahmen dieser SaaS-Dienste stattfinden — ergänzend zu den allgemeinen Regelungen oben.

Rollen: Verantwortlicher und Auftragsverarbeiter (Art. 28 DSGVO)

Bei der Nutzung unserer SaaS-Produkte bestehen zwei unterschiedliche Rollen hinsichtlich des Datenschutzes:

1. Grafenau digital solutions GmbH als Verantwortlicher: Für die Daten unserer direkten Vertragspartner (also der Unternehmen, die ein Abonnement abschließen — im Folgenden "Kunde"). Dazu gehören z.B. Firmenname, Admin-Email, Passwort (bcrypt gehashed), Rechnungsadresse, Zahlungsdaten, Nutzungsverhalten, Support-Anfragen.
2. Grafenau digital solutions GmbH als Auftragsverarbeiter gemäß Art. 28 DSGVO: Für die Daten, die der Kunde im Rahmen seiner eigenen Geschäftstätigkeit in unseren SaaS-Dienst einpflegt oder hochlädt (z.B. Daten der Endkunden des Kunden, Adressen, Telefonnummern, Wartungsverträge, Fotos, Prüfberichte, digitale Unterschriften). Hier ist der Kunde der Verantwortliche, und wir verarbeiten diese Daten ausschließlich weisungsgebunden im Auftrag des Kunden.

Mit Abschluss des SaaS-Abonnements gilt dieser Abschnitt der Datenschutzerklärung als Auftragsverarbeitungsvereinbarung (AVV) gemäß Art. 28 Abs. 3 DSGVO zwischen dem Kunden als Verantwortlichem und uns als Auftragsverarbeiter. Eine zusätzliche Unterzeichnung eines separaten AVV-Vertrags ist auf Anfrage (office@grafenau.at) möglich.

Welche Daten werden im SaaS verarbeitet?

Von uns selbst (Verantwortlicher):

• Kontodaten: Firmenname, Kontaktperson, Admin-Email, Telefonnummer, Rechnungsadresse, UID-Nummer
• Authentifizierung: Passwort (bcrypt-Hash, niemals im Klartext gespeichert), 2FA-Codes (bcrypt-Hash, TTL 10 Minuten), Session-Tokens (JWT in HttpOnly Cookies, 7 Tage Gültigkeit)
• Zahlungsdaten: Stripe Customer ID, Stripe Subscription ID, Abo-Status, Rechnungshistorie (via Stripe verwaltet — siehe unten)
• Nutzungsdaten: Zeitpunkt des Logins, verwendete Features, API-Call-Zähler (Storage GB, Geocoding-Calls, Route-Optimierung)
• Support-Kommunikation: E-Mails, Ticket-Verlauf

Im Auftrag des Kunden (Auftragsverarbeitung):

• Endkundendaten: Name, Firmenname, Adresse, Telefonnummer, E-Mail, Kundennummer, Anlagen-Informationen, Wartungshistorie, GPS-Koordinaten
• Mitarbeiterdaten: Name, E-Mail, Rollen, Arbeitszeiten (bei TomsClock), Signaturen
• Dokumente: Fotos, Berichte (inkl. digitaler Unterschriften), Lieferscheine, Prüfberichte, Wartungsverträge
• Geschäftsprozesse: Routen, Stopps, Termine, Service-Berichte

Wo werden die Daten gespeichert? (Hosting & Drittland-Transfer)

Wir nutzen folgende Sub-Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO):

• Hetzner Online GmbH (Deutschland): MongoDB-Datenbank und Hetzner Object Storage (S3-kompatibel). Serverstandort Deutschland/EU, kein Drittland-Transfer. Der Abschluss eines AVV mit Hetzner ist erfolgt.
• Stripe Payments Europe Ltd. (Irland/EU): Abwicklung der Abonnement-Zahlungen. Stripe kann Daten in die USA übertragen; die Übertragung erfolgt auf Basis der EU-Standardvertragsklauseln. Wir übermitteln an Stripe: Firmenname, Admin-E-Mail, Abo-Informationen. Zahlungskartendaten werden direkt bei Stripe eingegeben und gelangen nie in unsere Systeme. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Details: stripe.com/de/privacy
• Mailjet SAS (Frankreich/EU): Versand transaktionaler E-Mails (Registrierungsbestätigung, 2FA-Codes, Trial-Ablauf-Warnungen, Rechnungsbenachrichtigungen). Serverstandort EU. Übermittelt werden: Empfänger-E-Mail, Inhalt der E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Details: mailjet.com/de/security-privacy
• Google Ireland Ltd. (Irland/EU), Google Maps Platform: Geocoding (Umwandlung von Adressen in Koordinaten) und Routenberechnung. Google kann Daten in die USA übertragen; Basis: EU-Standardvertragsklauseln. Übermittelt werden: Adressen der Endkunden des Kunden (ausschließlich zum Zweck der Routenberechnung, keine Speicherung bei Google über die Berechnung hinaus). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Details: policies.google.com/privacy

Speicherdauer und Löschung bei Kündigung

Wir speichern Ihre Daten nur so lange wie für die Erbringung des Dienstes erforderlich. Folgende Fristen gelten bei Kündigung des SaaS-Abonnements:

• Aktiver Zeitraum: Solange Ihr Abonnement läuft, bleiben alle Daten verfügbar.
• Nach Kündigung — 30 Tage Grace Period: Mit Ablauf der bezahlten Periode wird der Zugang zum Dienst gesperrt, Ihre Daten bleiben aber noch 30 Tage erhalten. In dieser Zeit können Sie eine Reaktivierung anfragen oder einen Export Ihrer Daten verlangen (Art. 20 DSGVO — Recht auf Datenübertragbarkeit).
• Nach der Grace Period — harte Löschung: Nach Ablauf der 30 Tage werden alle Kunden-, Endkunden- und Dokumenten-Daten unwiderruflich gelöscht. Dies umfasst: MongoDB-Dokumente (Companies, Users, Customers, Routes, ServiceReports, Termine, etc.), S3-Objekte (Fotos, PDFs, Dokumente), Usage-Counter. Die Löschung erfolgt automatisiert durch unseren Cleanup-Service.
• Gesetzliche Aufbewahrungspflichten: Rechnungen und buchhalterisch relevante Unterlagen bewahren wir gemäß österreichischem Steuerrecht 7 Jahre auf (§ 132 BAO), separat von den operativen SaaS-Daten.
• Stripe-Zahlungsdaten: Werden von Stripe gemäß deren Aufbewahrungspflichten gespeichert — hier sind wir nicht Herr der Daten.

Technische und organisatorische Maßnahmen (TOMs gemäß Art. 32 DSGVO)

Zum Schutz Ihrer Daten setzen wir folgende Maßnahmen ein:

• Verschlüsselung bei Übertragung: Ausschließlich HTTPS/TLS 1.2+ für alle Verbindungen zum Dienst. HTTP wird zwingend auf HTTPS umgeleitet.
• Verschlüsselung bei Speicherung: Passwörter mit bcrypt (12 Rounds). 2FA-Codes mit bcrypt (10 Rounds). SMTP-Passwörter in der Datenbank mit AES-256-GCM verschlüsselt. MongoDB-Server verschlüsselte Festplatten.
• Zugriffskontrolle: Multi-Tenant-Isolation durch zwingende Company-ID-Filterung in jeder Datenbank-Abfrage. Rollenbasiertes Berechtigungssystem (Admin, Verwaltung, Techniker, Labor) mit granularen Permissions.
• Zwei-Faktor-Authentifizierung: 2FA per E-Mail-Code für System-Administratoren. Die Codes werden nicht im Klartext gespeichert (bcrypt-Hash), sind 10 Minuten gültig und nur einmalig verwendbar.
• Session-Security: JWT in HttpOnly Cookies (nicht via JavaScript auslesbar), SameSite=Lax, Secure-Flag in Produktion, maximal 7 Tage Gültigkeit.
• Rate Limiting: Schutz vor Brute-Force-Angriffen durch Rate-Limiting auf Login- und 2FA-Endpoints (5 Versuche pro Minute).
• Keine Backups: Wir erstellen ausdrücklich keine eigenen Datensicherungen (Backups) der vom Kunden eingegebenen oder erzeugten Daten. Der Kunde ist selbst dafür verantwortlich, regelmäßig Datensicherungen über die integrierte Export-Funktion vorzunehmen und diese an einem sicheren, von unseren Systemen unabhängigen Ort aufzubewahren. Details siehe unsere AGB, Ziffer 11.3.
• Logging: Server-Zugriffs-Logs (anonymisierte IP, Zeitstempel, Endpoint) zur Erkennung von Angriffen, 30 Tage Aufbewahrung.
• Pseudonymisierung: Interne Test- und Entwicklungsumgebungen verwenden ausschließlich Pseudonymdaten, niemals echte Kundendaten.
• Regelmäßige Updates: Automatische Installation sicherheitsrelevanter Updates für Betriebssystem, Node.js, NestJS, MongoDB und allen Abhängigkeiten.

Rechte bei Auftragsverarbeitung

Als unser SaaS-Kunde stehen Ihnen gemäß Art. 28 DSGVO folgende zusätzliche Rechte zu:

• Weisungsrecht: Sie können uns schriftlich Weisungen zur Verarbeitung Ihrer Endkundendaten erteilen (z.B. "Lösche alle Daten des Endkunden X").
• Kontrolle: Sie können jederzeit Nachweise über die Einhaltung unserer TOMs anfordern.
• Datenexport: Auf Anfrage exportieren wir alle Ihre Daten in einem gängigen Format (z.B. JSON, CSV) gemäß Art. 20 DSGVO.
• Unterstützung: Wir unterstützen Sie bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung) Ihrer Endkunden.
• Meldepflicht bei Datenschutzverletzung: Wir informieren Sie unverzüglich (spätestens innerhalb von 24 Stunden nach Kenntnis) über etwaige Datenschutzvorfälle, die Ihre Daten betreffen.

Anfragen zu diesen Rechten richten Sie bitte an office@grafenau.at.

Bewerbungen

Wenn Sie sich bei uns bewerben, verarbeiten wir die Daten, die Sie uns dafür übermitteln (etwa Name, Kontaktdaten, Lebenslauf, Zeugnisse und Arbeitsproben), sowie unsere Notizen aus den Bewerbungsgesprächen und das Ergebnis einer allfälligen Praxisaufgabe. Bewerbungen erreichen uns per E-Mail an office@grafenau.at. Bewerben Sie sich über eine Hochschule oder sprechen wir Sie über deren Karriereservice an, etwa über Study & Work oder die CV Talentbank der CU Hochschule Kärnten, erhalten wir Ihre Unterlagen von dort.

Zweck der Verarbeitung ist ausschließlich die Durchführung des Bewerbungsverfahrens: Wir prüfen Ihre Bewerbung, nehmen mit Ihnen Kontakt auf und entscheiden über die Besetzung der Stelle.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, weil sie für vorvertragliche Maßnahmen auf Ihre Anfrage erforderlich ist. Kommt es zu einer Anstellung, nehmen wir die dafür nötigen Unterlagen in den Personalakt auf.

Erhalten Sie eine Absage oder ziehen Sie Ihre Bewerbung zurück, bewahren wir Ihre Unterlagen bis zu sieben Monate nach der Absage bzw. nach Ihrem Rückzug auf und löschen sie danach. Grund ist das Gleichbehandlungsgesetz: Ansprüche wegen einer Diskriminierung bei der Bewerbung können binnen sechs Monaten ab der Absage gerichtlich geltend gemacht werden (§ 15 Abs. 1 und § 29 Abs. 1 GlBG). Der zusätzliche Monat berücksichtigt, dass uns eine fristgerecht eingebrachte Klage erst nach Ablauf dieser Frist zugestellt werden kann. Ist bei Ablauf der sieben Monate ein Verfahren anhängig, etwa vor der Gleichbehandlungskommission oder einem Gericht, bewahren wir Ihre Unterlagen bis zu dessen Abschluss auf. Rechtsgrundlage für diese Aufbewahrung ist unser berechtigtes Interesse an der Abwehr von Rechtsansprüchen gemäß Art. 6 Abs. 1 lit. f DSGVO.

Länger bewahren wir Ihre Unterlagen nur auf, wenn Sie ausdrücklich einwilligen, etwa damit wir Sie bei einer späteren offenen Stelle ansprechen dürfen (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung können Sie jederzeit widerrufen.

Wir geben Ihre Bewerbungsdaten nicht an Dritte weiter. Unser E-Mail-Postfach betreibt Google (Google Workspace) als unser Auftragsverarbeiter gemäß Art. 28 DSGVO; Google darf die Daten nur in unserem Auftrag verarbeiten. Dabei können Daten in die USA übermittelt werden; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist.

Die Bewerbung ist freiwillig. Ohne Ihre Unterlagen können wir Ihre Bewerbung jedoch nicht berücksichtigen.

Für Ihre Bewerbungsdaten gelten alle Rechte, die im Abschnitt „Rechte laut Datenschutz-Grundverordnung“ beschrieben sind, insbesondere Auskunft, Berichtigung, Löschung und Widerspruch sowie die Beschwerde bei der Datenschutzbehörde. Ihre Anfrage richten Sie bitte an office@grafenau.at.

Website-Check (Sicherheitsupdate-Check)

Auf grafenau.at/website-check können Sie prüfen lassen, ob eine Website noch Sicherheitsupdates bekommt. Unser Server ruft dafür die eingegebene Adresse ab, ohne Cookies und ohne Anmeldung, und liest nur, was die Seite jedem Besucher ausliefert: das HTML der Startseite, bis zu 15 ihrer JavaScript-Dateien und die Antwort-Header. Das Ergebnis der Kurzprüfung speichern wir nicht in einer Datenbank. Es bleibt höchstens 10 Minuten im Arbeitsspeicher, damit eine erneute Prüfung derselben Adresse die Seite nicht noch einmal abruft.

Damit niemand den Dienst für Massenabrufe fremder Websites benutzt, zählen wir je IP-Adresse, wie viele verschiedene Adressen in der letzten Stunde geprüft wurden. Dafür halten wir die IP-Adresse nur als Hashwert im Arbeitsspeicher, gebildet mit einem Schlüssel, der bei jedem Neustart des Servers neu entsteht; in einer Datenbank speichern wir sie nicht. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Dienstes und fremder Websites (Art. 6 Abs. 1 lit. f DSGVO).

Kommen Sie über einen Link mit Kanalangabe (etwa aus einem Brief oder einer Anzeige), zählen wir nur, wie oft über diesen Kanal geprüft wurde, ohne Cookie und ohne Bezug zu Ihrer Person.

Auf der Prüfseite laufen keine Analyse- oder Werbedienste. Die geprüfte Adresse geht nie an Meta (Pixel oder Conversions API) oder an die Analyse- und Werbedienste von Google.

Fordern Sie den ausführlichen Bericht an, verarbeiten wir Ihre E-Mail-Adresse, falls angegeben Ihren Namen und Ihre Telefonnummer, die geprüfte Adresse und das Prüfergebnis. Zuerst schicken wir eine Mail, die nur einen Bestätigungslink enthält. Erst wenn Sie auf der verlinkten Seite „Bericht anfordern“ klicken, senden wir den Bericht als PDF. Rechtsgrundlage ist Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO).

Mit den beiden freiwilligen Häkchen willigen Sie ein, dass wir Sie zu Ihrem Ergebnis und zu Update-Angeboten per E-Mail kontaktieren beziehungsweise anrufen (Art. 6 Abs. 1 lit. a DSGVO). Den Bericht bekommen Sie auch ohne Häkchen; angerufen werden Sie nur mit Häkchen und erst nach Ihrer Bestätigung. Als Nachweis speichern wir den Wortlaut der Einwilligung samt Version, die Adresse des Formulars, Zeitpunkt, IP-Adresse und Browserkennung (User-Agent) Ihrer Anfrage, den Versand der Bestätigungsmail sowie Zeitpunkt, IP-Adresse und Browserkennung Ihres Klicks auf „Bericht anfordern“.

Die Mails versenden wir über Mailjet SAS (Frankreich, Server in der EU) als Auftragsverarbeiter. Nach Ihrem Klick legen wir in unserem eigenen Kundenverwaltungssystem (CRM, betrieben auf Servern der Hetzner Online GmbH, Deutschland) einen Eintrag mit Ihren Angaben, Ihrer Einwilligung und dem Prüfergebnis an und erhalten dazu eine Benachrichtigung mit diesen Angaben per Mail an office@grafenau.at. Unser E-Mail-Postfach betreibt Google (Google Workspace) als unser Auftragsverarbeiter gemäß Art. 28 DSGVO; Google darf die Daten nur in unserem Auftrag verarbeiten. Dabei können Daten in die USA übermittelt werden; Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Google LLC zertifiziert ist. Gespeichert wird nur, was zu dieser Anfrage gehört.

Ihre Einwilligung können Sie jederzeit widerrufen, über den Link in jeder Mail oder per Mail an office@grafenau.at. Wir vermerken den Widerruf mit Zeitpunkt und Weg und kontaktieren Sie danach nicht mehr. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt. Für die Speicherdauer gilt der Abschnitt „Speicherdauer“.

Erklärung verwendeter Begriffe

Auftragsverarbeiter

"Auftragsverarbeiter" – eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Einwilligung

"Einwilligung" der betroffenen Person – jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.

Personenbezogene Daten

"Personenbezogene Daten" – alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Personenbezogene Daten sind also all jene Daten, die Sie als Person identifizieren können. Das sind in der Regel Daten wie etwa: Name, Adresse, E-Mail-Adresse, Post-Anschrift, Telefonnummer, Geburtsdatum, Kennnummern wie Sozialversicherungsnummer, Steueridentifikationsnummer, Personalausweisnummer oder Matrikelnummer, Bankdaten wie Kontonummer, Kreditinformationen, Kontostände uvm.

Profiling

"Profiling" – jede Art der automatisierten Verarbeitung personenbezogener Daten, die darin besteht, dass diese personenbezogenen Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten.

Verantwortlicher

"Verantwortlicher" – die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

In unserem Fall sind wir für die Verarbeitung Ihrer personenbezogenen Daten verantwortlich und folglich der "Verantwortliche".

Verarbeitung

"Verarbeitung" – jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Quelle: Erstellt mit dem Datenschutz Generator von AdSimple