Datenschutzerklärung

Fassung 1.4-entwurf

Entwurf – vor dem Pilotbetrieb rechtlich prüfen lassen.

1 Verantwortlicher

Verantwortlich für die Verarbeitung der Daten der Konten von simmpel AVA (Art. 4 Z 7 DSGVO) ist Samuel Simm, Strauchergasse 18, 8020 Graz, E-Mail: simm.samuel@simmpel.at (im Folgenden „Betreiber“). Bis zur Gründung eines Unternehmens betreibt eine Privatperson simmpel AVA. Ein Datenschutzbeauftragter ist nicht bestellt; Anfragen bitte an die genannte E-Mail-Adresse.

2 Welche Daten wir verarbeiten

• Konto: Name, E-Mail-Adresse, Passwort (nur als Argon2id-Hash), Zweitfaktor (verschlüsselt), Kürzel und Signatur (Funktion, Firma, Telefon), Mitgliedschaften und Rollen in Organisationen, Zustimmungen zu Rechtstexten mit Version und Zeitpunkt. • Einstellungen der Oberfläche: Sprache (Deutsch oder Englisch), ob die Willkommensnachricht nach der Anmeldung erscheint, Zeitpunkt, zu dem der Rundgang beendet oder übersprungen wurde. • Anmeldung und Sicherheit: Sitzungen, Anmeldungen und Fehlversuche mit IP-Adresse und Browser. • Nutzung: zuletzt geöffnete Projekte (je Benutzer Projekt und Zeitpunkt, nur für ihn selbst sichtbar; für die Reihenfolge der Projektliste und den Hinweis „Weiter mit …“) und Audit-Protokoll der Organisation (wer hat wann importiert, geändert, versendet). • E-Mail: Systemmails (Einladungen, Links, Hinweise) und Versände der Mengenübersicht mit Empfängern und Zustellstatus. Öffnungen und Klicks werden nicht ausgewertet; der E-Mail-Anbieter zählt sie nur anonymisiert. Projektinhalte (LV, Rechnungen, Verteiler mit Ansprechpersonen) verarbeitet der Betreiber im Auftrag der Organisation; dafür gilt der Auftragsverarbeitungsvertrag. Cookies: nur technisch notwendige Cookies für die Anmeldung (Sitzung) und den Schutz vor gefälschten Anfragen (CSRF). Sie enden mit dem Schließen des Browsers. Wer bei der Anmeldung „Angemeldet bleiben“ wählt (freiwillig, nicht vorausgewählt), erhält dieselben Cookies dauerhaft: bis zur Abmeldung, bis die Anmeldung 15 Tage nicht genutzt wurde, höchstens 90 Tage (Betreiberkonten 12 Stunden). Unter Konto › Anmeldungen lassen sich alle Anmeldungen auf allen Geräten beenden. Es gibt keine Analyse- oder Werbe-Cookies und keine Einbindung von Diensten Dritter; Schriften werden selbst ausgeliefert. Speicher des Browsers (kein Cookie, keine Übermittlung an den Server): die vor der Anmeldung gewählte Sprache bis zu einer anderen Wahl und – bis zum Schließen des Browserfensters – dass die Willkommensnachricht schon erschienen ist.

3 Zwecke und Rechtsgrundlagen

• Bereitstellung der Anwendung und Verwaltung der Konten, einschließlich Sprache, Willkommensnachricht, Rundgang und zuletzt geöffneter Projekte: Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). • Sicherheit, Missbrauchsabwehr und Nachvollziehbarkeit (Protokolle, Begrenzung von Fehlversuchen): berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). • Systemmails zu Konto, Sicherheit und Lizenz: Erfüllung des Vertrags; es werden keine Werbe-E-Mails versendet. • Aufbewahrung von Rechnungen bei kostenpflichtigen Plänen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, § 132 BAO).

4 Empfänger und Auftragsverarbeiter

• OVH GmbH (OVHcloud), St. Johanner Straße 41–43, 66111 Saarbrücken, Deutschland; Muttergesellschaft OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich: Hosting des Servers (Public Cloud: Compute-Instanz) und Speicher der verschlüsselten Datensicherung (Object Storage) – Server im Rechenzentrum Frankfurt (Deutschland), Datensicherung in Gravelines (Frankreich). Vertrag: Auftragsverarbeitungsvertrag von OVHcloud (Anhang zu den Allgemeinen Vertragsbedingungen) in der bei der Bestellung im Oktober 2026 geltenden Fassung. • Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin, Deutschland; Muttergesellschaft Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich: Versand der E-Mails (Systemmails und Mengenübersichten) über SMTP, Meldungen zu Unzustellbarkeit und Spam; Öffnungen und Klicks zählt Brevo nur anonymisiert, simmpel AVA wertet keine Öffnungen aus – Europäische Union. Vertrag: Auftragsverarbeitungsvertrag (Anlage 3 der Allgemeinen Nutzungsbedingungen der Brevo-Dienste) in der bei der Kontoeröffnung im Oktober 2026 geltenden Fassung. Eine Übermittlung in Länder außerhalb der EU/des EWR findet nicht statt.

5 Speicherdauer

• Konto einschließlich der Einstellungen der Oberfläche: bis zur Löschung des Kontos bzw. der Organisation. • Zuletzt geöffnete Projekte: bis zur Löschung des Benutzers oder des Projekts bzw. bis zum Ende der Mitgliedschaft in der Organisation. • Anmelde- und Sicherheitsereignisse (mit IP-Adresse und Browser): 12 Monate. • Fachliche Protokolle (Import, Änderung, Versand, Lizenz) und Versandarchiv: solange die Organisation besteht. • Fehlgeschlagene Anmeldeversuche: 1 Tag; Sitzungen: höchstens 30 Tage, mit „Angemeldet bleiben“ höchstens 90 Tage. • Zugriffsprotokoll des Webservers (IP-Adresse gekürzt): 14 Tage; Protokolle der Anwendung: 30 Tage. • Meldungen des E-Mail-Anbieters zu Unzustellbarkeit und Spam: 90 Tage. • Datensicherungen: 30 Tage (täglich) bzw. 12 Monate (monatlich). Nach dem Ende einer Lizenz werden die Daten der Organisation frühestens nach 90 Tagen und nur nach Ankündigung gelöscht.

6 Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Beschwerden können Sie bei der Österreichischen Datenschutzbehörde einbringen (Barichgasse 40–42, 1030 Wien, www.dsb.gv.at).

7 Pflicht zur Bereitstellung, automatisierte Entscheidungen

Name, E-Mail-Adresse und Passwort sind für die Nutzung erforderlich; ohne sie ist kein Konto möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt.