Datenschutzerklärung
Stand: 2026-10-13
1. Verantwortlicher
Elias Schweighofer, Kalch 13, 8200 Albersdorf-Prebuch, Österreich, E-Mail: schweighofer@wecreateyou.at. Ein Datenschutzbeauftragter ist nicht bestellt (keine Pflicht nach Art. 37 DSGVO).
2. Zwei Rollen: eigene Daten und Ihre Buchhaltungsdaten
Diese Erklärung betrifft Daten, die wir für eigene Zwecke verarbeiten (Konto, Warteliste, Abrechnung, Betrieb). Die Buchhaltungsdaten, die Sie im Dienst erfassen (Kontakte, Rechnungen, Belege usw.), verarbeiten wir nur in Ihrem Auftrag. Verantwortlicher dafür sind Sie; es gilt der Auftragsverarbeitungsvertrag.
3. Welche Daten wir wofür verarbeiten
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Warteliste und Einladung | E-Mail, Firma, optional Branche, Zeitpunkt der Bestätigung | Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) |
| Konto und Anmeldung | E-Mail, Name, Firmenname, Passwort (nur als Hash), Daten zur Zwei-Faktor-Anmeldung, Sitzungen, Rolle, Zustimmung zu AGB/AVV mit Zeitpunkt | Vertragserfüllung (lit. b) |
| Anmeldung mit Google | von Google übermittelte E-Mail-Adresse, Name, Google-Kennung | Vertragserfüllung (lit. b), auf Ihren Wunsch |
| Tarif „KI“ und Abrechnung | Tarif, Zahlungsstatus, Stripe-Kunden- und Abonnement-Kennung, Rechnungsdaten; Zahlungsmitteldaten verarbeitet nur Stripe | Vertragserfüllung (lit. b), gesetzliche Aufbewahrung (lit. c, § 132 BAO) |
| System-E-Mails | E-Mail-Adresse, Inhalt der Nachricht (Bestätigung, Passwort-Reset, Einladung, Hinweise) | Vertragserfüllung (lit. b) |
| Sicherheit und Betrieb | IP-Adresse, Zeitpunkt, aufgerufene Adresse, Fehlermeldungen in Server-Logs; Zähler für fehlgeschlagene Anmeldungen | berechtigtes Interesse an einem sicheren Betrieb (lit. f) |
| Nutzungsübersicht | Anzahl Rechnungen pro Monat, Verbrauch des KI-Kontingents je Mandant | Vertragserfüllung (lit. b), Durchsetzung der Tarifgrenzen |
Wir verwenden keine Tracking- oder Werbe-Cookies und keine Analysewerkzeuge. Gesetzt wird nur ein technisch notwendiges Sitzungs-Cookie für die Anmeldung; die gewählte Darstellung (hell/dunkel) speichert Ihr Browser lokal. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.
4. KI-Verarbeitung über OpenRouter
Die KI-Funktionen (Belege lesen, Angebote aus Text oder Sprachmemo, Assistent, Vorlagen-Import) senden die dafür nötigen Inhalte an den Dienst OpenRouter, der die Anfrage an ein Sprachmodell weiterleitet. Das geschieht nur, wenn der Inhaber des Mandanten die Nutzung eines externen KI-Anbieters in den Einstellungen ausdrücklich erlaubt hat (Art. 6 Abs. 1 lit. a und b DSGVO); ohne diese Erlaubnis wird nichts übermittelt. Gesendet werden nur die Inhalte der jeweiligen Anfrage (z. B. ein hochgeladener Beleg oder die Beschreibung eines Angebots), nicht die ganze Datenbank. Der Anbieter OpenRouter sitzt in den USA (OpenRouter, Inc.) [Annahme – vor Livegang prüfen]; die Übermittlung stützt sich auf Standardvertragsklauseln und, soweit der Empfänger zertifiziert ist, den Angemessenheitsbeschluss zum EU-US Data Privacy Framework [Annahme – vor Livegang prüfen]. Wir lassen Anfragen technisch nur an Anbieter weiterleiten, die diese nicht speichern und nicht zum Training verwenden (OpenRouter-Einstellung „data_collection: deny“;Zusicherung der Anbieter nach deren Angaben, nicht von uns überprüfbar [Annahme – vor Livegang prüfen]). Datenschutzhinweise: openrouter.ai/privacy.
5. Empfänger und Auftragsverarbeiter
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting des Servers und der Sicherungen in Rechenzentren in Deutschland (Standort Nürnberg/Falkenstein) [Annahme – vor Livegang prüfen].
- E-Mail-Versand: Hostinger International Ltd. (Hostinger Mail), EU (Zypern/Litauen) [Annahme – vor Livegang prüfen], für System-E-Mails. Rechnungsmails, die Sie aus dem Dienst versenden, laufen über den von Ihnen hinterlegten eigenen Mailserver.
- Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland: Zahlungsabwicklung für den Tarif „KI“. Stripe ist für Zahlungsdaten teilweise selbst Verantwortlicher und kann Daten an Stripe, Inc. in den USA übermitteln; Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln. Datenschutzhinweise: stripe.com/at/privacy.
- OpenRouter (OpenRouter, Inc., USA) [Annahme – vor Livegang prüfen]: Vermittlung von KI-Anfragen an Sprachmodelle, nur nach Erlaubnis des Inhabers (siehe Abschnitt 4).
- Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: nur wenn Sie „Mit Google anmelden“ wählen. Dabei kann eine Übermittlung an Google LLC in den USA erfolgen (EU-US Data Privacy Framework). Datenschutzhinweise: policies.google.com/privacy.
- Behörden, Gerichte und Berater (Steuerberater) nur, soweit wir gesetzlich dazu verpflichtet sind oder es zur Wahrung unserer Rechte nötig ist.
6. Speicherdauer
- Kontodaten: bis zur Löschung Ihres Kontos; danach Löschung, Sicherungskopien werden innerhalb von 14 Tagen [Annahme – vor Livegang prüfen] überschrieben.
- Wartelisten-Einträge: bis zur Registrierung oder Ihrem Widerruf, längstens 12 Monate [Annahme – vor Livegang prüfen].
- Abrechnungsunterlagen: 7 Jahre (§ 132 BAO), darüber hinaus, solange ein Verfahren anhängig ist.
- Server-Logs: 14 Tage [Annahme – vor Livegang prüfen], länger nur zur Aufklärung eines konkreten Sicherheitsvorfalls.
- Nachweis der Zustimmung zu AGB/AVV: für die Dauer des Vertrags und bis zum Ablauf der Verjährungsfristen.
7. Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 15 bis 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen. Viele dieser Rechte können Sie direkt in der Anwendung ausüben (Kontoeinstellungen, Komplettexport, Konto löschen); sonst genügt eine E-Mail an schweighofer@wecreateyou.at.
Sie können sich bei der Österreichischen Datenschutzbehörde beschweren: Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.
8. Sicherheit
Verbindungen sind per HTTPS verschlüsselt. Jeder Mandant hat eine eigene Datenbank und eigene Dateiordner, die Anmeldung ist mit zweitem Faktor abgesichert, Passwörter werden nur als Hash gespeichert. Details im Anhang des Auftragsverarbeitungsvertrags.