Datenschutzerklärung

Entwurf — noch nicht zur Veröffentlichung als abschließende Datenschutzerklärung geeignet. Die offenen Punkte zur Auftragsverarbeitung, zu internationalen Datenübermittlungen und zur Rechtsgrundlage der Analyse sind im letzten Abschnitt aufgeführt.

Diese Datenschutzerklärung beschreibt die Verarbeitung personenbezogener Daten auf reflow.ink. Die Website stellt das Projekt vor und bietet eine unverbindliche Warteliste an. Eine nutzbare reflow-Anwendung, die Verarbeitung Ihrer Notion-Dokumente oder Zahlungen sind derzeit nicht Gegenstand dieses Angebots.

Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Jakob Mühlberger
Im Obstgarten 12
4209 Engerwitzdorf, Österreich
E-Mail: jakob@diemuehlbergers.at
Telefon: +43 676 814282541

Unter diesen Kontaktdaten können Sie sich auch mit Datenschutzanfragen an uns wenden. „Wir“, „uns“ und „unser“ bezeichnen in dieser Datenschutzerklärung Jakob Mühlberger als Betreiber von reflow.ink.

Bereitstellung und Sicherheit der Website

Die Website wird bei Vercel Inc., USA, gehostet. Beim Aufruf werden insbesondere Ihre IP-Adresse, die angeforderte Adresse, Zeitpunkt und technische Angaben zur Anfrage verarbeitet. Je nach Anfrage gehören dazu Browserinformationen, die verweisende Seite, Antwortstatus und Fehlerdaten. Das ist erforderlich, um die Website auszuliefern, Störungen zu untersuchen und Missbrauch abzuwehren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb der Website. Ohne die für die Übertragung erforderlichen Verbindungsdaten kann die Website nicht bereitgestellt werden.

Für die Wartelisten-Anmeldung wird die übermittelte IP-Adresse außerdem zur Begrenzung übermäßiger Anfragen verwendet. Der Zähler bewertet jeweils ein Zeitfenster von zehn Minuten. Die Zuordnung liegt im Arbeitsspeicher der jeweiligen Serverinstanz und kann bis zu deren Beendigung erhalten bleiben; es gibt keine garantierte Löschung nach zehn Minuten.

Im derzeit verwendeten Vercel-Hobby-Tarif beträgt das dokumentierte Zeitfenster für Runtime-Logs eine Stunde. Es sind keine externen Log-Exporte eingerichtet. Daraus folgt keine Löschzusage für sämtliche bei Vercel verarbeiteten Betriebs- und Sicherheitsdaten. Informationen über Vercels eigene Verarbeitung finden Sie in der Vercel-Datenschutzerklärung.

Spracheinstellungen und Schriftarten

Rufen Sie eine Seite ohne Sprachangabe in der Adresse auf, wertet die Website die Spracheinstellung aus, die Ihr Browser bei jeder Anfrage mitsendet (den Accept-Language-Header), und zeigt die deutsche oder englische Fassung an. Diese Angabe wird dabei nicht gesondert gespeichert. Sie können sie in Ihrem Browser ändern oder die Sprache jederzeit auf der Website wechseln.

Zur Wiedererkennung Ihrer gewählten Sprache kann das Sitzungscookie NEXT_LOCALE mit dem Wert de oder en gespeichert werden. Es enthält keine eindeutige Besucherkennung und hat keine feste Ablaufzeit; seine tatsächliche Lebensdauer hängt auch von der Sitzungswiederherstellung Ihres Browsers ab. Sie können es über die Browser-Einstellungen löschen oder blockieren. Die Sprachauswahl wird dann gegebenenfalls nicht beibehalten.

Spracherkennung und Speicherung dienen Ihrer Spracheinstellung; die Speicherung erfolgt auf Grundlage der Ausnahme für erforderliche Speicherung gemäß § 165 Abs. 3 TKG 2021. Soweit dabei personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die Bereitstellung der gewählten Sprachfassung.

Die aktuelle Website verwendet ein festes helles Erscheinungsbild und legt dafür keine neuen Theme-Cookies oder Theme-Einträge im lokalen Browserspeicher an.

Schriftarten werden mit der Website ausgeliefert. Zum Laden der Schriftarten wird keine Verbindung zu Google Fonts hergestellt.

Vercel Web Analytics und Speed Insights

Vercel Web Analytics dient der statistischen Auswertung der Website-Nutzung. Erfasst werden unter anderem Seitenadresse, Referrer, Zeitpunkt, grober Standort sowie Browser- und Gerätedaten. Laut Vercel werden keine Analytics-Cookies verwendet; eine aus der Anfrage gebildete Besucherkennung wird nach 24 Stunden verworfen. Das bedeutet nicht, dass sämtliche Statistiken nach 24 Stunden gelöscht werden. Siehe Vercels Angaben zu Web Analytics.

Vercel Speed Insights misst Ladegeschwindigkeit und Reaktionsverhalten. Dabei werden unter anderem Seitenadresse, Leistungswerte, Browser, Gerät, Netzwerktyp und Land übermittelt. Vercel beschreibt die Messdaten als nicht einzelnen Personen zugeordnet. Siehe Vercels Angaben zu Speed Insights.

Beide Dienste sind aktiviert und werden beim Seitenaufruf ohne vorgeschaltete Einwilligungsabfrage geladen. Die Website übermittelt keine Wartelisten-E-Mail-Adressen als benutzerdefinierte Analyseereignisse.

Im Hobby-Tarif ist für Web Analytics ein Auswertungszeitraum von einem Monat vorgesehen; Vercel weist ausdrücklich darauf hin, dass Daten länger gespeichert werden können. Für die kostenlose Version von Speed Insights werden derzeit Ansichten bis sieben Tage angeboten. Diese Anzeigezeiträume sind keine verbindlichen Löschfristen.

Offener Punkt vor Veröffentlichung: Die Rechtsgrundlage für die konkrete Analysekonfiguration und eine mögliche Einwilligungspflicht nach § 165 Abs. 3 TKG 2021 sind noch zu klären. Der Verzicht auf Cookies und die vom Anbieter beschriebene Anonymisierung belegen für sich allein keine Einwilligungsfreiheit. Dieser Entwurf behauptet daher weder eine erteilte Einwilligung noch eine abschließend geprüfte Zulässigkeit auf Grundlage berechtigter Interessen.

Warteliste und Produktneuigkeiten

Wenn Sie sich zur Warteliste anmelden, werden folgende Angaben gespeichert:

• Ihre E-Mail-Adresse;
• die gewählte Sprache und die Anmeldequelle „Website“;
• Zeitpunkt der Anmeldung und der abgegebenen Einwilligung;
• ein technischer Status zum Bestätigungsversand.

Die Angaben dienen der Verwaltung der Warteliste, der Vermeidung doppelter Einträge und dem vorgesehenen Versand Ihrer Einladung sowie gelegentlicher reflow-Produktneuigkeiten. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; für Werbe-E-Mails ist zusätzlich § 174 Abs. 3 TKG 2021 maßgeblich. Die Anmeldung ist freiwillig. Ohne E-Mail-Adresse und Einwilligung können wir Sie nicht in die Warteliste aufnehmen; Sie können die Website trotzdem nutzen.

Die Einträge werden über den Website-Server in Google Sheets gespeichert. Die Tabelle liegt derzeit in einem privaten Google-Konto. Anbieter für Nutzer im EWR ist Google Ireland Limited, Irland; auch Google LLC, USA, und weitere Google-Dienstleister können an der Verarbeitung beteiligt sein. Die Warteliste wird ausschließlich vom oben genannten Verantwortlichen verwaltet; die technische Verarbeitung durch die genannten Anbieter bleibt davon unberührt. Weitere Informationen enthalten Googles Datenschutzerklärung und die offenen Vertragspunkte am Ende dieses Entwurfs.

Der E-Mail-Versand hat noch nicht begonnen. Insbesondere gibt es derzeit keine automatische Bestätigungs-E-Mail mit Bestätigungslink. Der gespeicherte Versandstatus ist kein Nachweis einer Bestätigung durch den Inhaber der E-Mail-Adresse.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an jakob@diemuehlbergers.at. Dafür ist keine Begründung erforderlich. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Nach dem Widerruf werden keine weiteren Einladungen oder Produktneuigkeiten versendet.

Die aktive Wartelistenspeicherung endet bei Widerruf oder Beendigung der Warteliste, spätestens jedoch zwölf Monate nach Ihrer Anmeldung. Die Löschung wird manuell durchgeführt. Eine Übernahme in einen späteren, anderen Verteiler erfolgt nicht automatisch.

Kontakt per E-Mail oder Telefon

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Kontaktdaten und die von Ihnen mitgeteilten Inhalte, um Ihre Anfrage zu beantworten. E-Mails können auch Anhänge sowie Versand- und Empfangsdaten enthalten. Das Postfach wird direkt bei Microsoft über Microsoft 365 / Exchange Online betrieben.

Rechtsgrundlage für allgemeine Anfragen ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung Ihrer Anfrage. Geht es um konkrete, von Ihnen angefragte vorvertragliche Maßnahmen, ist Art. 6 Abs. 1 lit. b DSGVO einschlägig.

Gewöhnliche Kontaktanfragen werden spätestens sechs Monate nach Abschluss der Bearbeitung gelöscht. Informationen zu Microsofts Verarbeitung finden Sie in den Microsoft-Datenschutzbestimmungen. Die für das konkrete Postfach geltenden Vertragsbedingungen sind vor Veröffentlichung noch zu bestätigen.

Empfänger und internationale Datenübermittlungen

Die oben genannten Anbieter erhalten Daten, soweit dies für Hosting, Analyse, Tabellenverwaltung oder E-Mail-Kommunikation erforderlich ist. Soweit gesetzliche Pflichten oder konkrete Rechtsansprüche dies erfordern, können außerdem zuständige Behörden, Gerichte oder beruflich zur Verschwiegenheit verpflichtete Rechtsberater Empfänger sein.

Bei Vercel, Google und Microsoft kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, stattfinden. Eine ausschließliche Speicherung in Österreich oder der EU wird nicht zugesagt.

Für solche Übermittlungen muss eine anwendbare Grundlage nach Art. 44 ff. DSGVO vorliegen, etwa ein einschlägiger Angemessenheitsbeschluss oder wirksam vereinbarte Standardvertragsklauseln mit den erforderlichen zusätzlichen Schutzmaßnahmen. Welche Grundlage die hier genutzten Konten konkret abdeckt, ist noch nicht abschließend bestätigt. Allgemeine Anbieterinformationen ersetzen diesen Nachweis nicht. Die bestehenden Anbieterinformationen finden Sie bei Vercel, Google und Microsoft. Über die oben genannte Kontaktadresse können Sie nähere Informationen und gegebenenfalls eine Kopie der anwendbaren Garantien anfordern.

Aufbewahrung und Löschung

Die jeweiligen Fristen sind bei den einzelnen Verarbeitungen genannt. Soweit einzelne Nachweise zur Erfüllung einer gesetzlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung konkreter Rechtsansprüche erforderlich sind, werden nur die dafür notwendigen Daten getrennt vom aktiven Verteiler länger aufbewahrt. Rechtsgrundlage ist je nach Fall Art. 6 Abs. 1 lit. c oder lit. f DSGVO. Maßgeblich sind die konkret einschlägige gesetzliche Pflicht bzw. die Verjährungsfrist und Dauer eines gegebenenfalls laufenden Verfahrens; danach werden die Nachweise gelöscht. Sie werden nicht für weitere Werbung verwendet.

Sicherungskopien und technische Löschzyklen der Anbieter können von der Löschung im aktiven Bestand abweichen. Eine sofortige Entfernung aus sämtlichen Sicherungssystemen wird nicht zugesagt; die konkreten vertraglichen Löschbedingungen gehören zu den noch zu klärenden Punkten.

Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Erteilte Einwilligungen können Sie jederzeit für die Zukunft widerrufen.

Widerspruch: Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Die Verarbeitung wird dann eingestellt, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder sie für Rechtsansprüche erforderlich ist. Gegen eine Verarbeitung für Direktwerbung können Sie jederzeit ohne Begründung widersprechen; sie wird dann für diesen Zweck beendet.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an jakob@diemuehlbergers.at. Sie erhalten grundsätzlich innerhalb eines Monats eine Antwort. Ist eine gesetzlich zulässige Verlängerung erforderlich, informieren wir Sie innerhalb dieses Monats über die Gründe.

Es finden keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO statt.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.

Offene Punkte dieses Entwurfs

Vor Veröffentlichung als abschließende Erklärung sind folgende Punkte zu erledigen und die betroffenen Abschnitte zu aktualisieren:

• Die Vertragsgrundlage für Vercel Hobby klären oder auf ein geeignetes Angebot wechseln. Das veröffentlichte Vercel-DPA nennt Pro und Enterprise als erfasste Tarife.
• Für Google Sheets im privaten Konto eine geeignete datenschutzrechtliche Vertragsgrundlage sicherstellen oder die Warteliste auf einen entsprechend geregelten Dienst umstellen. Ein Google-Workspace-Vertrag wird hier nicht als vorhanden behauptet.
• Die für Microsoft 365 / Exchange Online geltenden Auftragsverarbeitungsbedingungen sowie die tatsächlich anwendbaren Übermittlungsgarantien und Löschbedingungen der eingesetzten Dienste bestätigen.
• Die Rechtsgrundlage und gegebenenfalls erforderliche Einwilligungssteuerung für Web Analytics und Speed Insights klären und technisch umsetzen. Die Datenschutzerklärung allein ersetzt diese Prüfung und Umsetzung nicht.
• Vor dem ersten Wartelisten-Versand Versandweg, Nachweis der Einwilligung und eine einfache Abmeldemöglichkeit festlegen. Die beschlossenen manuellen Löschfristen organisatorisch umsetzen.