Datenschutz­erklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für Website, Kontoverwaltung, Abrechnung, Betriebssicherheit und Support ist der im Impressum genannte Anbieter und Medieninhaber. Name und Geschäftsanschrift werden dort zentral geführt; die noch gekennzeichneten Angaben müssen ergänzt werden.

Datenschutzanfragen richten Sie bitte an office@speditionsvergleich.at oder über die Kontaktseite.

Verarbeitet ein Unternehmenskunde in seinem Arbeitsbereich personenbezogene Daten seiner Kunden, Kontakte oder Beschäftigten, entscheidet er über deren Verwendung. Insoweit verarbeiten wir die Daten in seinem Auftrag. Vor dieser Nutzung ist eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen; diese Datenschutzerklärung ersetzt die Vereinbarung nicht.

2. Websiteaufruf und sicherer Betrieb

Beim Aufruf werden insbesondere IP-Adresse, angeforderte Seite, Zeitpunkt, Browser-/Geräteinformationen, Antwortstatus und gegebenenfalls die verweisende Seite verarbeitet. Das ist für Auslieferung, Fehlerbehebung und Schutz vor Missbrauch erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb.

Die Auslieferung erfolgt über Vercel. Die Serverfunktionen sind im Projekt auf Frankfurt eingestellt. Die weltweite Auslieferungsinfrastruktur sowie Support- und Unterauftragnehmerzugriffe können weitere Standorte einschließlich Drittländern betreffen; die Serverregion bedeutet keine ausschließlich europäische Verarbeitung.

3. Registrierung, Anmeldung und Sicherheit

Wir verarbeiten Konto-E-Mail, Nutzer-ID, Passwort-Authentifizierungsdaten, E-Mail-Bestätigungen, Wiederherstellungs- und Änderungsinformationen sowie Sitzungsdaten. Bei aktivierter Zwei-Faktor-Authentifizierung werden zusätzlich die dafür erforderlichen Faktor- und Bestätigungsinformationen verarbeitet. Passwörter und Zugangstokens gehören nicht in Supportnachrichten.

Die Verarbeitung dient der Kontoeröffnung, Anmeldung und Nutzung des gebuchten Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Bei Beschäftigten eines Unternehmenskunden und für Sicherheitsprüfungen stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO: berechtigte Zugänge bereitstellen, unbefugte Nutzung verhindern und Konten schützen.

Zur Begrenzung paralleler Sitzungen wird eine App-Sitzungskennung verwendet. Häufige Anfragen werden anhand pseudonymisierter Kennungen aus IP-Adressen, E-Mail-Adressen oder Nutzer- bzw. Arbeitsbereichskennungen begrenzt. Technische Fehler können mit Nutzer-ID, Fehlermeldung, Seitenangabe und begrenzten Zusatzinformationen protokolliert werden.

4. Arbeitsbereiche, Transporte und Team-Einladungen

Arbeitsbereiche enthalten die eingegebenen Speditionen, Länder, PLZ-Bereiche, Preisstaffeln, Zuschläge, Zusatzleistungen, Transportvorlagen, Vergleichseingaben, Historieneinträge und Notizen. Beim Rechnungsabgleich können Rechnungsnummer, Datum, Betrag und Bearbeitungsstatus hinzukommen. Auch Bezeichnungen von Kunden oder Kontaktpersonen können personenbezogen sein.

Die Daten stammen von den Nutzern des Arbeitsbereichs und gegebenenfalls aus deren Importdateien. Importierte Daten werden nach dem Speichern Teil des Arbeitsbereichs. Exporte werden auf dem Gerät des Nutzers erzeugt; der Nutzer entscheidet über ihre weitere Ablage und Weitergabe.

Bei Teams verarbeiten wir Teamname, Mitgliedschaften, Rollen, eingeladene E-Mail-Adressen, Einladungsstatus und ein Aktivitätsprotokoll mit Akteur und Ereignis. Eine Einladung stammt vom Owner oder einem berechtigten Admin. Teammitglieder sehen E-Mail-Adressen und Rollen der aktiven Mitglieder. Weitere Daten und Verwaltungsfunktionen sind entsprechend den Rollen innerhalb des gemeinsamen Arbeitsbereichs zugänglich.

Für die Bereitstellung des Vertrags und die Verwaltung berechtigter Zugänge gelten die in Abschnitt 3 genannten Grundlagen. Personenbezogene Inhalte des Kundenarbeitsbereichs verarbeiten wir nach dessen Weisungen und der Vereinbarung zur Auftragsverarbeitung. Bitte geben Sie nur für den jeweiligen Zweck erforderliche Daten ein.

5. Bestellung, Abo und Zahlung

Beim Wechsel zum Stripe-Checkout übermitteln wir Konto-E-Mail, Nutzer-ID, gewählten Plan und gegebenenfalls eine bestehende Stripe-Kundenkennung. Außerdem wird die Bestätigung der Unternehmensbestellung und der AGB mit Versionsstand und Zeitpunkt in den Checkout-Metadaten dokumentiert. Stripe erhebt im Checkout Rechnungsanschrift, Zahlungs- und gegebenenfalls Steuerdaten.

Wir erhalten Kunden- und Abonnementkennungen, Plan, Zahlungs-/Abo-Status, Laufzeit und Kündigungsinformationen. Vollständige Kreditkartendaten werden auf unserer Website nicht gespeichert. Rechnungen und Zahlungsmittel werden über Stripe verwaltet.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertrag und Abrechnung, lit. c für gesetzliche Aufbewahrung und lit. f für Nachweis und Absicherung von Unternehmensbestellungen. Stripe verarbeitet Daten je nach Dienst auch eigenverantwortlich, insbesondere für Betrugsprävention und gesetzliche Pflichten.

6. Kontaktformular und E-Mail

Das Kontaktformular verarbeitet Name, E-Mail-Adresse, Thema und Nachricht. Diese Angaben werden über unsere Server an das Supportpostfach office@speditionsvergleich.at gesendet. Das Formular bietet keinen Datei-Upload. Freiwillig per E-Mail übermittelte Anhänge werden Teil der Korrespondenz. Zur Missbrauchsbegrenzung werden IP- und E-Mail-basierte pseudonymisierte Kennungen verwendet; im Anwendungsprotokoll wird der Versand mit Thema, nicht mit dem Nachrichtentext, erfasst.

Registrierungs-, Bestätigungs-, Wiederherstellungs-, Änderungs- und Einladungs-E-Mails werden von Supabase über IONOS-SMTP versendet. IONOS verarbeitet auch die Supportkorrespondenz und die zugehörigen Zustellinformationen.

Vertragsbezogene Anfragen bearbeiten wir nach Art. 6 Abs. 1 lit. b DSGVO, sonstige Anfragen und den Missbrauchsschutz nach lit. f (Kommunikation und Schutz des Dienstes). Gesetzlich erforderliche Anfragen, insbesondere zur Ausübung von Datenschutzrechten, bearbeiten wir nach lit. c. Eine Einwilligung in Werbung ist dafür nicht erforderlich.

7. Dienstleister und weitere Empfänger

• Vercel Inc.: Websiteauslieferung, Serverfunktionen und technische Protokolle. Datenverarbeitungsbedingungen von Vercel.
• Supabase Pte. Ltd., Singapur: Authentifizierung, Datenbank, Arbeitsbereiche und privater Sicherungsspeicher. Die tatsächlich gebuchte Projektregion ist vor dem Livebetrieb noch zu bestätigen. Datenverarbeitungsbedingungen von Supabase.
• Stripe: Checkout, Zahlungsabwicklung, Abos, Rechnungen und Kundenportal. Datenverarbeitungsbedingungen und Datenschutzhinweise von Stripe.
• IONOS SE, Deutschland: SMTP-Versand und Supportpostfach. Datenschutzhinweise von IONOS.
• Berechtigte Mitglieder desselben Teams im Rahmen ihrer Rollen sowie beauftragte Personen, soweit für Support und Betrieb erforderlich.
• Behörden, Steuerberatung und Rechtsvertretung, soweit eine rechtliche Verpflichtung besteht oder dies zur Wahrung bzw. Durchsetzung von Ansprüchen erforderlich ist.

Ein zusätzliches externes Ziel für verschlüsselte Backups oder Betriebswarnungen ist technisch vorgesehen. Ob es im Betrieb verwendet wird, mit welchem Anbieter und mit welcher Speicherfrist, ist noch zu bestätigen und vor Aktivierung hier zu ergänzen.

8. Verarbeitung außerhalb des EWR

Insbesondere bei Vercel, Supabase und Stripe können Verarbeitung oder Zugriffe außerhalb des Europäischen Wirtschaftsraums stattfinden, etwa in den USA oder Singapur. Die Anbieterbedingungen sehen unter anderem EU-Standardvertragsklauseln vor. Welche Garantien die konkrete Verarbeitung abdecken, ist anhand der vereinbarten Verträge, Unterauftragnehmer und Regionen zu prüfen; ein Link auf Anbieterbedingungen allein ersetzt diesen Nachweis nicht.

Informationen zu den jeweils eingesetzten Garantien und eine Kopie der einschlägigen Unterlagen können über unseren Datenschutzkontakt angefragt werden. Vor Beginn des produktiven Betriebs sind die geltenden Vereinbarungen und Übermittlungsgrundlagen zu dokumentieren.

9. Cookies und Speicherung auf Ihrem Gerät

Der aktuelle Projektstand bindet keine Analyse-, Werbe- oder Trackingdienste ein. Schriften, Skripte und Bilder werden lokal ausgeliefert. Für die ausdrücklich angeforderten Konto-, Sicherheits- und Bedienfunktionen verwenden wir Cookies und Browser-Speicher nach § 165 Abs. 3 TKG 2021; soweit dabei personenbezogene Daten verarbeitet werden, gelten die oben genannten Rechtsgrundlagen.

• Anmeldung: Das verschlüsselte HttpOnly-Cookie __Host-sv-session enthält die serverseitig verwendeten Zugangstokens. Das separate Cookie sv-csrf schützt Anfragen vor Missbrauch. Ohne „Angemeldet bleiben“ sind es Sitzungscookies; die Anmeldung ist serverseitig höchstens einen Tag gültig. Mit dieser Option werden die Cookies für bis zu 30 Tage gesetzt und bei Sitzungserneuerung erneuert. Beim Abmelden werden beide gelöscht.
• Local Storage: Sitzungskennung, Abo-/Planstatus, gewählte Checkout-Fortsetzung, ausstehende Einladung oder E-Mail-Änderung, lokale Demo-Historie und Bedienpräferenzen. Diese Einträge besitzen teilweise kein automatisches Ablaufdatum und bleiben bis zum Entfernen durch die App oder durch Löschen der Websitedaten im Browser erhalten. Zugangstokens werden dort nicht gespeichert.
• Session Storage: Anmelde- und Wiederherstellungsstatus, zuletzt verwendete Vorlagen und Formularentwürfe im jeweiligen Tab. Entwürfe sind 30 Minuten wiederherstellbar; das ist keine zugesicherte physische Löschung nach 30 Minuten. Session Storage wird beim Beenden der jeweiligen Browsersitzung entfernt, kann aber durch eine Sitzungswiederherstellung des Browsers erhalten bleiben.
• IndexedDB: Bei ausdrücklich gewählter Dateiverknüpfung können Dateiverweise für spätere Importe oder Exporte gespeichert werden. Sie bleiben bis zum Löschen der Websitedaten im Browser erhalten bzw. werden durch eine neu gewählte Verknüpfung ersetzt. Der Dateizugriff unterliegt zusätzlich den Browserberechtigungen.

Sie können gespeicherte Websitedaten in den Browser-Einstellungen löschen. Dadurch können Anmeldung, Entwürfe, lokale Demo-Daten und Einstellungen verloren gehen. Daten im Konto werden dadurch nicht gelöscht. Vor dem Einsatz zusätzlicher einwilligungspflichtiger Dienste wird eine entsprechende Auswahlmöglichkeit bereitgestellt.

10. Dieselpreis und externe Speditionen

Der Dieselpreis des BMWET wird über unsere Server abgerufen. Dabei werden keine Kundentarife, Konto-E-Mails oder Nutzer-IP-Adressen an das Ministerium weitergeleitet; die Verbindung erfolgt von unserem Server.

Links zu weiteren Speditionen laden keine eingebetteten Dienste dieser Anbieter. Erst beim Öffnen eines Links verbindet sich der Browser mit der jeweiligen Website. Dort gelten deren eigene Datenschutzhinweise.

11. Speicherdauer und Löschung

• Kontodaten: für die Dauer des Kontos; eine Kündigung des Abos löscht das Login-Konto nicht automatisch. Eine Kontolöschung kann über den Datenschutzkontakt angefragt werden. Gesetzlich erforderliche Nachweise bleiben gesondert aufbewahrt.
• Arbeitsbereich: während des aktiven Abos. Nach Ende des bezahlten Zeitraums besteht 30 Tage Lesezugriff auf Historie und Statistik. Bei einem beendeten Abo werden danach im regelmäßigen Bereinigungslauf Tarifdaten, Vorlagen, Historie, Aktivitäten und zugehörige Teamdaten bereinigt. Konto- und Abrechnungskennungen werden dadurch nicht automatisch gelöscht.
• Papierkorb: Das Entfernen eines Transports im Cockpit ist zunächst eine wiederherstellbare Markierung. Berechtigte Nutzer können Transporte im Papierkorb endgültig löschen. Bis dahin bleiben die Daten im Arbeitsbereich erhalten; spätestens erfasst sie dessen Bereinigung. Bereits erstellte Sicherungen werden nach den unten beschriebenen Fristen entfernt.
• Anwendungs- und Aktivitätsprotokolle: Bereinigung nach 90 Tagen; technische Stripe-Ereignisnachweise und Backup-Laufprotokolle nach 180 Tagen.
• Sitzungs- und Kurzzeitdaten: serverseitige App-Sitzungseinträge nach 30 Tagen ohne Aktualisierung, Checkout-Versuche und Rate-Limit-Einträge nach zwei Tagen ohne Aktualisierung, Einladungen 30 Tage nach Ablauf ihrer Gültigkeit. Die Bereinigung erfolgt im regelmäßigen Wartungslauf.
• Rechnungs- und steuerlich relevante Unterlagen: grundsätzlich sieben Jahre nach Ablauf des betreffenden Kalenderjahres; bei gesetzlich erforderlicher längerer Aufbewahrung entsprechend länger.
• Supportkorrespondenz und Anbieterlogs: bis zum Abschluss der Bearbeitung und, soweit erforderlich, darüber hinaus für gesetzliche Nachweise oder konkrete Ansprüche. Die konkreten betrieblichen Löschfristen für das Postfach und Hosting-/Authentifizierungslogs sind noch festzulegen bzw. zu bestätigen.
• Sicherungen: verschlüsselte App-Backups im privaten Supabase-Speicher werden nach 90 Tagen im regelmäßigen Bereinigungslauf entfernt. Bereits gelöschte Daten können bis zum Ablauf dieser Rotation enthalten sein. Das gilt nicht automatisch für ein externes Backup-Ziel oder zusätzliche Sicherungen des Datenbankanbieters; deren Fristen sind gesondert zu bestätigen. Bei einer notwendigen Wiederherstellung sind zwischenzeitliche Löschungen erneut zu berücksichtigen.

Wartungsläufe müssen im Betrieb eingerichtet und überwacht werden. Gesetzliche Aufbewahrungspflichten und die Sicherung konkreter Rechtsansprüche können einer sofortigen vollständigen Löschung entgegenstehen.

12. Erforderliche Angaben und automatisierte Entscheidungen

Für ein Konto sind E-Mail-Adresse und Passwort sowie für die Abrechnung die im Checkout verlangten Rechnungs- und Zahlungsangaben erforderlich. Ohne diese Angaben können Konto bzw. kostenpflichtiger Dienst nicht bereitgestellt werden. Für die Bearbeitung einer Kontaktanfrage benötigen wir die als erforderlich gekennzeichneten Formularfelder. Die bloße Nutzung der Website setzt kein Konto voraus.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO findet nicht statt. Preisvergleiche und Statistiken unterstützen Entscheidungen anhand der vom Kunden gepflegten Daten.

13. Ihre Rechte

Nach den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Einwilligungen können mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt.

Bei Verarbeitung aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen (Art. 21 DSGVO). Dann prüfen wir, ob zwingende schutzwürdige Gründe oder Rechtsansprüche die weitere Verarbeitung erfordern.

Anfragen richten Sie bitte an office@speditionsvergleich.at. Wir antworten grundsätzlich innerhalb eines Monats; eine gesetzlich zulässige Verlängerung teilen wir mit. Zur Vermeidung unbefugter Auskünfte kann eine angemessene Identitätsprüfung erforderlich sein. Bei Daten, die ein Unternehmenskunde in eigener Verantwortung verarbeitet, unterstützen wir dessen Bearbeitung Ihrer Anfrage.

14. Beschwerderecht

Sie können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. In Österreich: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.