Datenschutzerklärung

Information über die Verarbeitung personenbezogener Daten gemäß Art. 13 und 14 DSGVO. Stand: [MONAT JAHR].

1. Verantwortlicher

[FIRMA]
[STRASSE NR]
[PLZ ORT], Österreich
E-Mail: [E-MAIL] · Telefon: [TELEFON]

Einen Datenschutzbeauftragten haben wir [nicht / mit folgenden Kontaktdaten] bestellt: [ggf. KONTAKT].

2. Zwei Rollen – bitte beachten

Eigene Verarbeitung (wir als Verantwortliche): Für die Daten, die zur Begründung und Abwicklung des Vertrags mit dem Kundenbetrieb erforderlich sind (z. B. Konto- und Betriebsstammdaten, Abrechnung, Protokolle), sind wir datenschutzrechtlich Verantwortliche. Diese Erklärung beschreibt diese Verarbeitung.

Verarbeitung im Auftrag (wir als Auftragsverarbeiter): Inhalte, die ein Kundenbetrieb selbst in den SALVIQ Prüfplaner einpflegt (z. B. Daten seiner Mitarbeiter, Kontaktpersonen oder Prüffirmen), verarbeiten wir ausschließlich weisungsgebunden im Auftrag des jeweiligen Betriebs. Für diese Daten ist der Kundenbetrieb der Verantwortliche; Grundlage ist ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Betroffene Personen wenden sich für ihre Rechte an den jeweiligen Betrieb.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

KategorieZweck / Rechtsgrundlage
Konto- und Anmeldedaten (Name, E-Mail, Passwort als scrypt-Hash, optionales 2FA-Geheimnis, Wiederherstellungscodes, Anmeldezeitpunkte) Bereitstellung und Absicherung des Benutzerkontos. Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für Sicherheitsmerkmale lit. f (berechtigtes Interesse an sicherem Zugang).
Betriebsstammdaten (Firmenname, Anschrift, Telefon, E-Mail, Logo) Identifikation des Kundenbetriebs, Vertragsabwicklung. Art. 6 Abs. 1 lit. b DSGVO.
Inhaltsdaten (Prüfungen, Termine, Historie, Geräte, Mängel/Maßnahmen, Kontakte von Prüffirmen, ggf. Namen von Mitarbeitern bei Schulungsnachweisen) Erbringung der Dienstleistung. Verarbeitung im Auftrag des Kundenbetriebs (siehe Punkt 2), Art. 28 DSGVO.
Hochgeladene Dokumente (Prüfberichte, Bescheide, Fotos) Nachweisführung des Kundenbetriebs. Verarbeitung im Auftrag, Art. 28 DSGVO.
Protokolldaten (Ereignisprotokoll mit Aktion, Benutzer, IP-Adresse, Zeitpunkt; E-Mail-Versandprotokoll) Sicherheit, Nachvollziehbarkeit, Zustellüberwachung. Art. 6 Abs. 1 lit. f DSGVO.

4. Hosting

Die Anwendung und sämtliche Daten werden auf Servern von [HOSTING-ANBIETER] in einem Rechenzentrum innerhalb der EU betrieben. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Eine Übermittlung in Drittländer (außerhalb EU/EWR) findet nicht statt.

[BEISPIEL – noch zu entscheiden: vor Veröffentlichung den final gewählten EU-Anbieter mit Anschrift und Rechenzentrums-Standort eintragen UND den Art. 28-AVV mit ihm abschließen; der Eintrag muss mit der Subprozessoren-Liste im AVV (Anlage 3) übereinstimmen. Mögliche Anbieter: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich (EU-Rechenzentrum wählen) oder Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.]

5. E-Mail-Benachrichtigungen

Registrierte Benutzer erhalten betriebsbezogene E-Mails (Konto­bestätigung, Erinnerungen an anstehende Prüfungen, Hinweise zum Testzeitraum). Erinnerungsmails lassen sich jederzeit in den Kontoeinstellungen deaktivieren; jede Mail enthält zudem einen Abmeldelink. Der technische Versand erfolgt über [SMTP-ANBIETER / EIGENES POSTFACH] (Auftragsverarbeiter).

6. Zahlungsabwicklung (nur bei kostenpflichtigem Abo)

Für kostenpflichtige Abonnements wird die Zahlungsabwicklung über die Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin, Irland) durchgeführt. Dabei werden die zur Abwicklung erforderlichen Daten (z. B. Name, E-Mail, Rechnungsdaten, Zahlungsmittel) an Stripe übermittelt. Zahlungsdaten (Kartennummern o. Ä.) werden ausschließlich bei Stripe verarbeitet, nicht bei uns gespeichert. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Es gelten ergänzend die Datenschutzbestimmungen von Stripe. [Diesen Abschnitt entfernen, wenn keine Bezahlung aktiviert ist.]

7. Cookies

Es wird ausschließlich ein technisch notwendiges Sitzungs-Cookie („pp.sid") zur Anmeldung gesetzt (HttpOnly, Secure, SameSite=Lax). Es dient nicht der Analyse oder dem Tracking und bedarf daher keiner Einwilligung. Das Cookie wird spätestens nach 12 Stunden bzw. mit der Abmeldung ungültig. Es werden keine Cookie-Banner benötigt, da keine einwilligungspflichtigen Cookies eingesetzt werden.

8. Keine Drittdienste im Browser, eigenes Captcha

Im Frontend werden keine externen Dienste eingebunden – keine Content-Delivery-Networks, keine externen Schriftarten, keine Analyse- oder Tracking-Werkzeuge. Der Spam-Schutz bei der Registrierung erfolgt über ein eigenes, im Browser berechnetes Verfahren (Proof-of-Work) ohne Drittanbieter (insbesondere kein Google reCAPTCHA).

9. Protokollierung und Aufbewahrung

Zur Gewährleistung der Sicherheit werden ein Ereignisprotokoll (u. a. Anmeldungen inkl. Fehlversuche, Uploads, Löschungen, Exporte – jeweils mit Benutzer und IP-Adresse) sowie ein E-Mail-Versandprotokoll geführt. Das Ereignisprotokoll wird automatisch nach 90 Tagen, das E-Mail-Versandprotokoll nach 30 Tagen gelöscht. Aufzeichnungen über versendete Erinnerungen (Versandnachweis je Benutzer) werden ebenfalls nach 90 Tagen gelöscht.

10. Speicherdauer und Löschung

Daten werden für die Dauer der Geschäftsbeziehung gespeichert. Nach Vertragsende werden sämtliche Daten des Betriebs einschließlich aller Dokumente und Benutzerkonten vollständig gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sicherungskopien werden auf zwei Ebenen geführt: lokale rollierende Sicherungen (höchstens 30 Stände, rund 30 Tage) sowie ein verschlüsseltes Offsite-Backup mit gestaffelter Aufbewahrung (Tages-, Wochen- und Monats-Stände, längstens rund 6 Monate). Danach werden die Sicherungen endgültig überschrieben.

11. Empfänger / Auftragsverarbeiter

Eine Weitergabe an Dritte erfolgt nur, soweit es zur Leistungserbringung erforderlich ist, an folgende Auftragsverarbeiter (jeweils mit Vertrag nach Art. 28 DSGVO):

Eine Übermittlung in Drittländer außerhalb der EU/des EWR findet nicht statt.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Ein vollständiger Datenexport ist jederzeit direkt in der Anwendung möglich. Zur Ausübung genügt eine Nachricht an [E-MAIL]. Sie haben außerdem das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (dsb.gv.at). Diese Rechte beziehen sich auf die von uns als Verantwortliche verarbeiteten Daten (siehe Punkt 2). Für Inhalte, die ein Betrieb selbst in den SALVIQ Prüfplaner eingestellt hat, ist der jeweilige Betrieb Ihr Ansprechpartner.

13. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS/HTTPS). Passwörter werden nur als scrypt-Hash gespeichert, eine Zwei-Faktor-Authentifizierung steht zur Verfügung. Die Daten der einzelnen Betriebe sind strikt voneinander getrennt (Mandantentrennung). Hochgeladene Dateien unterliegen einer Typ-Allowlist (PDF, Bilder, Word, Excel) und einer Größenbegrenzung (25 MB), werden unter Zufallsnamen gespeichert und nur an authentifizierte, berechtigte Benutzer des jeweiligen Betriebs ausgeliefert. Weitere technische und organisatorische Maßnahmen sind in der Anlage zum Auftragsverarbeitungsvertrag beschrieben.

14. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.

15. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.

← Zurück zur Anmeldung