Datenschutzerklärung
Stand: 2026-10-04
1. Verantwortlicher
Elias Schweighofer, Kalch 13, 8200 Albersdorf-Prebuch, Österreich, E-Mail: schweighofer@wecreateyou.at. Ein Datenschutzbeauftragter ist nicht bestellt (keine Pflicht nach Art. 37 DSGVO).
2. Zwei Rollen: eigene Daten und Ihre Buchhaltungsdaten
Diese Erklärung betrifft Daten, die wir für eigene Zwecke verarbeiten (Konto, Warteliste, Abrechnung, Betrieb). Die Buchhaltungsdaten, die Sie im Dienst erfassen (Kontakte, Rechnungen, Belege usw.), verarbeiten wir nur in Ihrem Auftrag. Verantwortlicher dafür sind Sie; es gilt der Auftragsverarbeitungsvertrag.
3. Welche Daten wir wofür verarbeiten
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Warteliste und Einladung | E-Mail, Firma, optional Branche, Zeitpunkt der Bestätigung | Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) |
| Konto und Anmeldung | E-Mail, Name, Firmenname, Passwort (nur als Hash), Daten zur Zwei-Faktor-Anmeldung, Sitzungen, Rolle, Zustimmung zu AGB/AVV mit Zeitpunkt | Vertragserfüllung (lit. b) |
| Anmeldung mit Google | von Google übermittelte E-Mail-Adresse, Name, Google-Kennung | Vertragserfüllung (lit. b), auf Ihren Wunsch |
| Tarif „KI“ und Abrechnung | Tarif, Zahlungsstatus, Stripe-Kunden- und Abonnement-Kennung, Rechnungsdaten; Zahlungsmitteldaten verarbeitet nur Stripe | Vertragserfüllung (lit. b), gesetzliche Aufbewahrung (lit. c, § 132 BAO) |
| System-E-Mails | E-Mail-Adresse, Inhalt der Nachricht (Bestätigung, Passwort-Reset, Einladung, Hinweise) | Vertragserfüllung (lit. b) |
| Sicherheit und Betrieb | IP-Adresse, Zeitpunkt, aufgerufene Adresse, Fehlermeldungen in Server-Logs; Zähler für fehlgeschlagene Anmeldungen | berechtigtes Interesse an einem sicheren Betrieb (lit. f) |
| Nutzungsübersicht | Anzahl Rechnungen pro Monat, Verbrauch des KI-Kontingents je Mandant | Vertragserfüllung (lit. b), Durchsetzung der Tarifgrenzen |
Wir verwenden keine Tracking- oder Werbe-Cookies und keine Analysewerkzeuge. Gesetzt wird nur ein technisch notwendiges Sitzungs-Cookie für die Anmeldung; die gewählte Darstellung (hell/dunkel) speichert Ihr Browser lokal. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.
4. KI-Verarbeitung auf eigener Hardware
Belege, die Sie im Tarif „KI“ hochladen, werden von Sprachmodellen gelesen, die auf unserer eigenen Hardware in Österreich laufen, nicht in einem fremden Rechenzentrum. Die Verbindung zwischen Server und dieser Hardware ist durchgehend verschlüsselt (WireGuard über Tailscale). Der Netzwerkdienst Tailscale Inc. (Kanada/USA) vermittelt nur den Verbindungsaufbau und sieht keine Inhalte. Ihre Daten werden nicht zum Training von Modellen verwendet und nach der Auswertung auf der KI-Hardware nicht gespeichert [Annahme – vor Livegang prüfen].
5. Empfänger und Auftragsverarbeiter
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting des Servers und der Sicherungen in Rechenzentren in Deutschland (Standort Nürnberg/Falkenstein) [Annahme – vor Livegang prüfen].
- E-Mail-Versand: [SMTP-Anbieter mit Name, Anschrift und Land eintragen] [Annahme – vor Livegang prüfen], für System-E-Mails. Rechnungsmails, die Sie aus dem Dienst versenden, laufen über den von Ihnen hinterlegten eigenen Mailserver.
- Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland: Zahlungsabwicklung für den Tarif „KI“. Stripe ist für Zahlungsdaten teilweise selbst Verantwortlicher und kann Daten an Stripe, Inc. in den USA übermitteln; Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln. Datenschutzhinweise: stripe.com/at/privacy.
- Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: nur wenn Sie „Mit Google anmelden“ wählen. Dabei kann eine Übermittlung an Google LLC in den USA erfolgen (EU-US Data Privacy Framework). Datenschutzhinweise: policies.google.com/privacy.
- Behörden, Gerichte und Berater (Steuerberater) nur, soweit wir gesetzlich dazu verpflichtet sind oder es zur Wahrung unserer Rechte nötig ist.
6. Speicherdauer
- Kontodaten: bis zur Löschung Ihres Kontos; danach Löschung, Sicherungskopien werden innerhalb von 14 Tagen [Annahme – vor Livegang prüfen] überschrieben.
- Wartelisten-Einträge: bis zur Registrierung oder Ihrem Widerruf, längstens 12 Monate [Annahme – vor Livegang prüfen].
- Abrechnungsunterlagen: 7 Jahre (§ 132 BAO), darüber hinaus, solange ein Verfahren anhängig ist.
- Server-Logs: 14 Tage [Annahme – vor Livegang prüfen], länger nur zur Aufklärung eines konkreten Sicherheitsvorfalls.
- Nachweis der Zustimmung zu AGB/AVV: für die Dauer des Vertrags und bis zum Ablauf der Verjährungsfristen.
7. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15 bis 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen. Viele dieser Rechte können Sie direkt in der Anwendung ausüben (Kontoeinstellungen, Komplettexport, Konto löschen); sonst genügt eine E-Mail an schweighofer@wecreateyou.at.
Sie können sich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.
8. Sicherheit
Verbindungen sind per HTTPS verschlüsselt. Jeder Mandant hat eine eigene Datenbank und eigene Dateiordner, die Anmeldung ist mit zweitem Faktor abgesichert, Passwörter werden nur als Hash gespeichert. Details im Anhang des Auftragsverarbeitungsvertrags.