Datenschutzerklärung

2. Allgemeines

Der Schutz personenbezogener Daten ist uns ein wichtiges Anliegen.

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der anwendbaren gesetzlichen Bestimmungen, insbesondere:

• Datenschutz-Grundverordnung
• österreichisches Datenschutzgesetz
• Telekommunikationsgesetz 2021
• anwendbare unternehmens-, steuer- und gewerberechtliche Vorschriften

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Reine Unternehmensdaten einer juristischen Person sind grundsätzlich keine personenbezogenen Daten. Dokumente und Unternehmensinformationen können jedoch personenbezogene Angaben enthalten, beispielsweise Namen, geschäftliche Kontaktdaten, Anschriften, Funktionen oder Unterschriften natürlicher Personen.

3. B2B-Ausrichtung

Unsere Website und unsere Leistungen richten sich grundsätzlich ausschließlich an Unternehmen und unternehmerisch tätige Personen.

Auch geschäftliche Kontaktdaten von Ansprechpartnern, Geschäftsführern, Mitarbeitern, Lehrlingen oder sonstigen natürlichen Personen können personenbezogene Daten darstellen und werden daher nach den geltenden Datenschutzvorschriften behandelt.

4. Aufruf der Website und technische Protokolldaten

Beim Aufruf unserer Website können technisch erforderliche Daten verarbeitet werden, insbesondere:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite oder Datei
• übertragene Datenmenge
• Referrer-URL
• Browsertyp und Browserversion
• Betriebssystem
• Gerätetyp
• Status- und Fehlercodes
• technische Sicherheitsinformationen

Die Verarbeitung erfolgt zur:

• technischen Bereitstellung der Website
• Gewährleistung von Stabilität und Sicherheit
• Fehleranalyse
• Abwehr von Missbrauch und Angriffen
• Sicherstellung der Funktionsfähigkeit

Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO an einem sicheren und funktionsfähigen Webangebot.

Technische Server- und Sicherheitsprotokolle werden grundsätzlich für höchstens 30 Tage gespeichert, sofern keine längere Aufbewahrung zur Aufklärung eines Sicherheitsvorfalls oder aufgrund einer gesetzlichen Verpflichtung erforderlich ist.

5. FunnelSpot

Unsere öffentlichen Webseiten und Formulare werden über FunnelSpot betrieben.

Anbieter:

Funnelspot GmbH
Mediapark 4e
50670 Köln
Deutschland

FunnelSpot kann im Rahmen der technischen Bereitstellung insbesondere folgende Daten verarbeiten:

• IP-Adresse
• Browser- und Geräteinformationen
• technische Zugriffs- und Fehlerdaten
• über Formulare eingegebene Daten
• Zeitpunkt der Übermittlung
• aufgerufene Seite
• technische Request-Daten

Nicht notwendiges FunnelSpot- beziehungsweise LeadConnector-Seitenaufruf-Tracking wurde deaktiviert.

Insbesondere werden derzeit nicht eingesetzt:

• external-tracking.js
• LeadConnector-Seitenaufruf-Events
• Besucher- oder Session-Tracking zu Marketingzwecken
• Google Analytics
• Google Ads Tracking
• Meta Pixel
• Remarketing
• Statistik- oder Marketingcookies

FunnelSpot wird für die Bereitstellung der Website, Formulare, Newsletteranmeldungen und der damit verbundenen technischen Prozesse eingesetzt.

Rechtsgrundlagen sind je nach Verarbeitung Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

6. Domain und E-Mail über IONOS

Die Domainverwaltung und der geschäftliche E-Mail-Dienst werden über IONOS bereitgestellt.

Anbieter:

IONOS SE
Elgendorfer Straße 57
56410 Montabaur
Deutschland

Beim E-Mail-Verkehr können insbesondere verarbeitet werden:

• Name
• E-Mail-Adresse
• Absender- und Empfängerdaten
• Datum und Uhrzeit
• Betreff
• Nachrichteninhalt
• Anhänge
• technische Zustellinformationen

Die Verarbeitung erfolgt zur Bearbeitung von Anfragen, zur Kommunikation, zur Durchführung vorvertraglicher Maßnahmen, zur Vertragserfüllung und zur Erfüllung gesetzlicher Pflichten.

Rechtsgrundlagen sind je nach Anlass:

• Art. 6 Abs. 1 lit. b DSGVO
• Art. 6 Abs. 1 lit. c DSGVO
• Art. 6 Abs. 1 lit. f DSGVO

7. Kontaktaufnahme und Kontaktformulare

Bei einer Kontaktaufnahme über Formular, E-Mail oder Telefon verarbeiten wir insbesondere:

• Vorname und Nachname
• Unternehmen
• Funktion
• E-Mail-Adresse
• Telefonnummer
• Inhalt der Anfrage
• freiwillig bereitgestellte Informationen
• Datum und Uhrzeit der Kontaktaufnahme

Die Verarbeitung erfolgt zur Bearbeitung der Anfrage und zur Durchführung vorvertraglicher Maßnahmen beziehungsweise zur Vertragserfüllung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Soweit keine Geschäftsbeziehung entsteht und keine gesetzlichen Aufbewahrungspflichten bestehen, werden allgemeine Kontaktanfragen grundsätzlich spätestens 12 Monate nach Abschluss der Bearbeitung gelöscht.

B2B-Interessentendaten können bis zu 24 Monate nach dem letzten relevanten geschäftlichen Kontakt gespeichert werden, sofern weiterhin ein nachvollziehbarer geschäftlicher Zusammenhang besteht und kein Widerspruch erfolgt.

8. CRM und Supabase

Wir verwenden Supabase als Backend-, Datenbank-, Authentifizierungs- und CRM-Infrastruktur.

Die verwendete Projektregion ist:

AWS eu-central-1 – Frankfurt, Deutschland

Je nach Funktion können insbesondere verarbeitet werden:

• Unternehmensdaten
• Namen und geschäftliche Kontaktdaten
• E-Mail-Adressen
• Telefonnummern
• Formularangaben
• CRM-Notizen
• Zugangs- und Berechtigungsdaten
• Anmeldestatus
• Kurs- und Teilnehmerdaten
• Analyseergebnisse
• technische Protokolldaten

Supabase Auth kann technisch notwendige Sessioninformationen speichern, um Login-, Zugangs- und Sicherheitsfunktionen bereitzustellen.

Rechtsgrundlagen sind je nach Verarbeitung:

• Art. 6 Abs. 1 lit. b DSGVO
• Art. 6 Abs. 1 lit. c DSGVO
• Art. 6 Abs. 1 lit. f DSGVO

Unsere berechtigten Interessen bestehen insbesondere in einer sicheren, strukturierten und effizienten Verwaltung von Kunden-, Interessenten-, Kurs- und Unternehmensdaten.

Zugriffe werden auf jene Mitarbeiter und technischen Dienste beschränkt, die sie zur Erfüllung ihrer Aufgaben benötigen.

9. Registrierung und Nutzung der Lehrlingsplattform

Bei der Registrierung für die FinFit-Lehrlingsplattform können insbesondere folgende Daten verarbeitet werden:

• Vorname
• Nachname
• E-Mail-Adresse
• Unternehmen
• Alter, sofern angegeben
• Lehrjahr
• Angabe, ob die Person Lehrling oder Lehrlingsbetreuer ist
• Zugangsstatus
• Kursstatus
• organisatorische Kommunikationsdaten

Die Verarbeitung erfolgt zur:

• Einrichtung und Verwaltung des Benutzerkontos
• Zuordnung zum jeweiligen Unternehmen
• Bereitstellung der Kursinhalte
• Organisation der Teilnahme
• Kommunikation mit Teilnehmern und Unternehmen
• Betreuung und technischem Support
• Dokumentation des Zugangs und Kursstatus

Rechtsgrundlage ist abhängig vom Anmeldeweg Art. 6 Abs. 1 lit. b DSGVO oder Art. 6 Abs. 1 lit. f DSGVO.

Unser berechtigtes Interesse liegt in der Durchführung und Verwaltung betrieblicher Bildungsangebote.

Daten aktiver Teilnehmer werden für die Dauer des Kurszugangs gespeichert. Nach Ende des Zugangs werden sie grundsätzlich für weitere 12 Monate für organisatorische Rückfragen aufbewahrt und anschließend gelöscht, sofern keine gesetzlichen, vertraglichen oder abrechnungsbezogenen Gründe für eine längere Speicherung bestehen.

Nicht aktivierte Registrierungen werden grundsätzlich nach spätestens 90 Tagen gelöscht.

Eine Anmeldung zur Lehrlingsplattform beinhaltet keine automatische Anmeldung zu einem Werbe- oder Marketingnewsletter.

10. Newsletter

Wir versenden einen B2B-Newsletter über FunnelSpot.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren. Nach der Anmeldung wird eine Bestätigungsnachricht an die angegebene E-Mail-Adresse gesendet. Erst nach der Bestätigung wird die Adresse in den Newsletterverteiler aufgenommen.

Dabei können insbesondere verarbeitet werden:

• Name
• Unternehmen
• E-Mail-Adresse
• Zeitpunkt der Anmeldung
• Zeitpunkt der Bestätigung
• technische Nachweisdaten der Einwilligung

Rechtsgrundlage ist die Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. In jedem Newsletter wird eine Abmeldemöglichkeit bereitgestellt.

Öffnungs- und Klicktracking sind derzeit deaktiviert.

Newsletterdaten werden bis zur Abmeldung oder zum Widerruf gespeichert. Der Nachweis einer erteilten Einwilligung kann darüber hinaus im erforderlichen Umfang zur Erfüllung gesetzlicher Nachweis- und Verjährungspflichten aufbewahrt werden.

11. KI-gestützte Bilanzanalyse

Über unsere Bilanzanalyse können berechtigte Mitarbeiter oder Nutzer Bilanzauszüge im PDF- oder Excel-Format bereitstellen.

Der technische Ablauf umfasst derzeit folgende Dienste:

• FunnelSpot als Benutzeroberfläche
• Supabase Edge Function extract-bilanz-data
• Supabase Edge Function generate-bilanzanalyse-texts
• Supabase Edge Function save-bilanzanalyse
• OpenAI API zur strukturierten Auswertung und Textgenerierung

Verarbeitung der hochgeladenen Datei

Die ausgewählte Datei wird an eine serverseitige Supabase Edge Function übertragen.

Die Datei wird:

• technisch geprüft
• ausschließlich vorübergehend im Arbeitsspeicher verarbeitet
• zur Textextraktion verwendet
• nach der Verarbeitung verworfen

Die Originaldatei wird im Bilanzanalyse-Workflow nicht dauerhaft in Supabase Storage gespeichert.

Übermittlung an OpenAI

An OpenAI wird nicht die vollständige PDF-Datei übertragen.

Übermittelt werden:

• der aus der Datei extrahierte Rohtext
• ein Systemprompt
• strukturierte Unternehmens- und Finanzdaten
• gegebenenfalls manuell korrigierte Kennzahlen
• ein Auftrag zur Erstellung eines Analyseentwurfs

Der extrahierte Text kann insbesondere enthalten:

• Unternehmensname
• Firmenbuchnummer
• Bilanzjahr
• Umsatz
• Gewinn
• Bilanzsumme
• Eigenkapital
• Rückstellungen
• Verbindlichkeiten
• Namen von Geschäftsführern oder Vertretungsorganen
• Anschriften
• Funktionsbezeichnungen
• Namen oder Angaben unter Unterschriften

Derzeit findet vor der Übermittlung keine automatische Schwärzung sämtlicher personenbezogener Angaben statt.

OpenAI

Verwendeter Dienst:

OpenAI API

Aktuell eingesetztes Modell:

gpt-4o

Verwendeter API-Endpunkt:

Chat Completions API

API-Inhalte werden nach den Standardbedingungen von OpenAI nicht für das Training der allgemeinen Modelle verwendet, sofern keine freiwillige Datenfreigabe aktiviert wurde.

Ohne besondere Zero-Data-Retention-Vereinbarung können Inhalte und technische Metadaten grundsätzlich bis zu 30 Tage für Sicherheits- und Missbrauchsprüfungen vorgehalten werden.

Menschliche Kontrolle

KI-generierte Ergebnisse werden nicht unmittelbar als verbindliche Analyse an einen Kunden ausgegeben.

Die Ergebnisse werden:

• in ein Kontrollformular übernommen
• von einem Mitarbeiter geprüft
• bei Bedarf korrigiert
• bei Bedarf ergänzt
• erst danach freigegeben oder weiterverwendet

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung statt.

Die KI dient als Assistenzsystem zur strukturierten Datenaufbereitung und Erstellung eines Analyseentwurfs.

Speicherung

Die finale Analyse kann in der Supabase-Datenbanktabelle bilanzanalysen gespeichert werden.

Bilanzanalysen, aus denen keine Geschäftsbeziehung entsteht, werden grundsätzlich spätestens 90 Tage nach ihrer Erstellung gelöscht.

Entsteht eine Geschäftsbeziehung, werden die erforderlichen Analyse- und Kontaktdaten für deren Dauer und anschließend nur im Umfang gesetzlicher Aufbewahrungs-, Dokumentations-, Nachweis- und Verjährungsfristen gespeichert.

Rechtsgrundlage

Rechtsgrundlage ist abhängig vom Anlass:

• Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vorvertraglicher Maßnahmen oder zur Vertragserfüllung
• Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einer effizienten, strukturierten und nachvollziehbaren Unternehmensanalyse

12. KI-Sprachassistent Fonio

Wir setzen einen KI-gestützten Sprachassistenten des folgenden Anbieters ein:

fonio GmbH
Neustiftgasse 73–75/3/7
1070 Wien
Österreich

USt-IdNr.: ATU81626634

Geschäftsführer:

• Daniel Keinrath
• Matthias Gruber

Die Server von Fonio befinden sich nach Angaben des Anbieters in Nürnberg, Deutschland.

Transparenz

Anrufer werden zu Beginn des Gesprächs darüber informiert, dass sie mit einem KI-gestützten Sprachassistenten kommunizieren.

Der Sprachassistent kann bei Bedarf:

• Informationen aufnehmen
• Anliegen vorqualifizieren
• Rückrufe vorbereiten
• Termine oder nächste Schritte erfassen
• Gespräche an einen Mitarbeiter weiterleiten

Verarbeitete Daten

Je nach Gespräch können insbesondere verarbeitet werden:

• Telefonnummer
• Name
• Unternehmen
• Funktion
• Datum und Uhrzeit des Anrufs
• Gesprächsinhalt
• Sprachaufnahme
• Transkript
• Anliegen
• Rückrufwunsch
• freiwillig mitgeteilte Angaben
• technische Verbindungsdaten

Aufzeichnung und Transkription

Gespräche können aufgezeichnet und transkribiert werden.

Der Anrufer wird darüber zu Beginn des Gesprächs informiert.

Gesprächsaufzeichnungen werden grundsätzlich höchstens 30 Tage gespeichert.

Transkripte werden grundsätzlich höchstens 90 Tage gespeichert.

Telefonnummern und Anrufmetadaten werden grundsätzlich höchstens 12 Monate gespeichert, sofern keine Geschäftsbeziehung entsteht und keine gesetzlichen oder vertraglichen Gründe eine längere Speicherung erfordern.

Qualifizierte B2B-Interessentendaten können bis zu 24 Monate nach dem letzten relevanten geschäftlichen Kontakt im CRM gespeichert werden.

Bei Zustandekommen einer Geschäftsbeziehung gelten die dafür maßgeblichen gesetzlichen Aufbewahrungs-, Dokumentations- und Verjährungsfristen.

Produktverbesserung

Gesprächsdaten können zur Verbesserung des KI-Sprachassistenten verwendet werden, soweit dafür eine geeignete Rechtsgrundlage besteht und die betroffene Person entsprechend informiert wurde.

Soweit eine Einwilligung erforderlich ist, erfolgt die Nutzung nur auf Basis einer freiwilligen Einwilligung.

Für Verbesserungszwecke sollen nach Möglichkeit anonymisierte oder pseudonymisierte Daten verwendet werden.

Unterauftragsverarbeiter

Fonio kann zur technischen Leistungserbringung sorgfältig ausgewählte Unterauftragsverarbeiter einsetzen.

Dies können insbesondere Anbieter für:

• Rechenzentrum und Hosting
• Telefonie
• Spracherkennung
• Sprachsynthese
• technische Infrastruktur
• Fehleranalyse
• Sicherheitsfunktionen

sein.

Die vertraglichen und datenschutzrechtlichen Angaben zu den jeweils eingesetzten Unterauftragsverarbeitern richten sich nach den aktuellen Vereinbarungen und Informationen des Anbieters.

Rechtsgrundlagen

Je nach Gesprächssituation sind die Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und Vertragserfüllung
• Art. 6 Abs. 1 lit. f DSGVO für effiziente Erreichbarkeit, Gesprächsorganisation und Bearbeitung geschäftlicher Anfragen
• Art. 6 Abs. 1 lit. a DSGVO, soweit eine freiwillige Einwilligung erforderlich ist

13. Eingebettete Vimeo-Videos

Auf unserer Website können Videos des folgenden Anbieters eingebunden sein:

Vimeo.com, Inc.
330 West 34th Street, 10th Floor
New York, New York 10001
USA

Beim unmittelbaren Laden eines Vimeo-Players können insbesondere folgende Daten an Vimeo übertragen werden:

• IP-Adresse
• Geräte- und Browserinformationen
• aufgerufene Seite
• Datum und Uhrzeit
• Referrer
• technische Nutzungsdaten
• gegebenenfalls Cookies oder vergleichbare Identifikatoren

Um Ihre Daten zu schützen, werden Vimeo-Videos erst nach Ihrer ausdrücklichen Zustimmung geladen. Vorher wird keine Verbindung zu Vimeo aufgebaut.

Rechtsgrundlage für das Laden des externen Players ist Art. 6 Abs. 1 lit. a DSGVO.

Eine erteilte Einwilligung kann durch Neuladen der Seite oder über eine vorhandene Datenschutzeinstellung widerrufen werden.

14. Technisch notwendige Cookies und Speichertechnologien

Unsere Website verwendet derzeit ausschließlich technisch notwendige Cookies und vergleichbare Speichertechnologien.

Diese können insbesondere erforderlich sein für:

• Login-Status
• Supabase Auth
• Sessionverwaltung
• Sicherheitsfunktionen
• Formularprozesse
• Bot- und Missbrauchsschutz
• technische Bereitstellung der Website

Technisch notwendige Cookies werden auf Grundlage von § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. f DSGVO beziehungsweise Art. 6 Abs. 1 lit. b DSGVO verwendet.

Ein allgemeiner Cookie-Einwilligungsbanner wird derzeit nicht eingesetzt, weil Statistik-, Marketing- und Trackingdienste deaktiviert sind und externe Vimeo-Inhalte erst nach einer bewussten Aktivierung geladen werden.

Sollten zukünftig wieder Statistik-, Marketing-, Remarketing- oder vergleichbare Dienste aktiviert werden, werden diese erst nach einer wirksamen Einwilligung geladen und diese Datenschutzerklärung wird entsprechend aktualisiert.

15. Derzeit nicht eingesetzte Dienste

Derzeit nicht aktiv beziehungsweise nicht angebunden sind:

• Google Analytics
• Google Ads Tracking
• Google Conversion Tracking
• Google Remarketing
• Meta Pixel
• Facebook- oder Instagram-Tracking
• LeadConnector-Seitenaufruf-Tracking
• FunnelSpot External Tracking
• Calendly
• Google Maps
• Newsletter-Öffnungstracking
• Newsletter-Klicktracking
• Vercel als Betreiber einer öffentlich erreichbaren FinFit-Anwendung

Diese Dienste werden daher derzeit nicht zur Analyse des Websiteverhaltens eingesetzt.

16. Softwareentwicklung und GitHub

GitHub, Codex und Claude Code werden ausschließlich für Quellcode, technische Entwicklungsdateien und Entwicklungsunterstützung verwendet.

Dabei gilt:

• GitHub enthält keine Kundendaten.
• GitHub enthält keine Kundenunterlagen.
• GitHub enthält keine Bilanzauszüge.
• GitHub enthält keine personenbezogenen Uploads.
• Codex erhält keine echten Kundendaten.
• Claude Code erhält keine echten Kundendaten.

Eine Website muss nicht deshalb öffentlich als „mit KI erstellt“ gekennzeichnet werden, weil KI-Werkzeuge intern zur Entwicklung oder Textunterstützung verwendet wurden.

Datenschutzrechtlich relevant sind nur jene KI-Dienste, die tatsächlich personenbezogene Daten von Nutzern, Interessenten, Kunden oder Mitarbeitern verarbeiten. Diese werden in den entsprechenden Abschnitten dieser Datenschutzerklärung beschrieben.

17. Empfänger und Auftragsverarbeiter

Personenbezogene Daten können, soweit für den jeweiligen Zweck erforderlich, an folgende Kategorien von Empfängern übermittelt werden:

• Website- und Funnelanbieter
• Hosting- und Infrastrukturunternehmen
• Domain- und E-Mail-Anbieter
• Datenbank- und Backendanbieter
• KI-Dienstleister
• Telefonie- und Sprachassistenzanbieter
• Newsletterdienstleister
• IT-, Support- und Sicherheitsdienstleister
• Steuerberater
• Rechtsberater
• Versicherungsunternehmen im Rahmen konkreter Vermittlungsvorgänge
• Behörden, Gerichte und sonstige öffentliche Stellen bei gesetzlicher Verpflichtung

Wir wählen Dienstleister sorgfältig aus und schließen, soweit erforderlich, Auftragsverarbeitungsverträge ab.

18. Datenübermittlung in Drittländer

Einzelne Dienstleister, insbesondere OpenAI und Vimeo, können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten.

Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage:

• eines Angemessenheitsbeschlusses
• des EU-US Data Privacy Framework, soweit anwendbar
• geeigneter EU-Standardvertragsklauseln
• ergänzender technischer und organisatorischer Maßnahmen
• einer ausdrücklichen Einwilligung, soweit diese erforderlich und geeignet ist

19. Allgemeine Speicherfristen

Soweit in dieser Datenschutzerklärung keine speziellere Frist genannt ist, gelten grundsätzlich folgende Fristen:

• Server- und Sicherheitslogs: bis zu 30 Tage
• Kontaktanfragen ohne Auftrag: 12 Monate
• B2B-Interessentendaten: 24 Monate nach dem letzten relevanten Kontakt
• nicht aktivierte Plattformregistrierungen: 90 Tage
• Lehrlingsdaten: Kursdauer plus 12 Monate
• temporäre Uploads: höchstens 7 Tage, sofern sie nicht sofort verworfen werden
• Bilanzanalysen ohne Auftrag: 90 Tage
• Fonio-Gesprächsaufzeichnungen: 30 Tage
• Fonio-Transkripte: 90 Tage
• Telefonnummern und Anrufmetadaten: 12 Monate
• Newsletterdaten: bis zum Widerruf oder zur Abmeldung
• Vertrags-, Rechnungs- und steuerrelevante Unterlagen: nach den jeweils geltenden gesetzlichen Aufbewahrungsfristen

Eine längere Speicherung kann erfolgen, wenn:

• eine gesetzliche Verpflichtung besteht
• die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind
• eine laufende Geschäftsbeziehung besteht
• die betroffene Person wirksam eingewilligt hat

Nach Wegfall des Verarbeitungszwecks und Ablauf anwendbarer Fristen werden die Daten gelöscht oder anonymisiert.

20. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten insbesondere vor:

• Verlust
• unberechtigtem Zugriff
• Veränderung
• Offenlegung
• Missbrauch
• unbeabsichtigter Zerstörung

zu schützen.

Zu den Maßnahmen können insbesondere gehören:

• verschlüsselte Datenübertragung
• rollenbasierte Zugriffsrechte
• Authentifizierung
• beschränkte Administratorzugriffe
• Protokollierung sicherheitsrelevanter Vorgänge
• regelmäßige Aktualisierung technischer Systeme
• Datensicherung
• Lösch- und Berechtigungskonzepte

21. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch
• Widerruf einer Einwilligung
• Beschwerde bei einer Datenschutzaufsichtsbehörde

Ein Widerruf wirkt für die Zukunft und berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Anfragen können gerichtet werden an:

projekt@finfit.gmbh

22. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

In Österreich ist dies insbesondere:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich

23. Keine ausschließlich automatisierte Entscheidung

Soweit nicht im Einzelfall ausdrücklich anders mitgeteilt, erfolgen keine ausschließlich automatisierten Entscheidungen im Sinne des Art. 22 DSGVO, die gegenüber einer Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

KI-Systeme werden als Assistenz- und Unterstützungswerkzeuge eingesetzt. Relevante Ergebnisse werden durch einen Mitarbeiter geprüft.

24. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich:

• gesetzliche Anforderungen
• eingesetzte Dienste
• technische Systeme
• Datenverarbeitungen
• Speicherfristen
• Unternehmensprozesse

ändern.

Die jeweils aktuelle Fassung ist dauerhaft unter:
https://check.finfit.gmbh/datenschutz
abrufbar.

Stand: Juli 2026