Datenschutzerklärung

1. Verantwortlicher

The-Y e.U., Inhaber Thomas Nuri Yilmaz, BSc, Senefeldergasse 25, 1100 Wien, Österreich. E-Mail: verbrieft@the-y.at. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich.

2. Grundsätze

Wir setzen keine Tracking-Cookies und laden keine Analyse- oder Werbeskripte Dritter. Auf den öffentlichen Seiten wird kein Cookie gesetzt. Technisch nötig sind nur: ein Sitzungs-Cookie nach der Anmeldung im Kundenbereich (Abschnitt 6) und, wenn Sie über einen Partnerlink kommen, der Partnercode im Sitzungsspeicher Ihres Browsers (Abschnitt 8a). Kommen Sie über eine Google-Anzeige, verarbeiten wir die Klick-Kennung aus der Adresse nur so, wie in Abschnitt 3 beschrieben. Eingebettete Videos von YouTube laden erst, wenn Sie sie selbst starten (Abschnitt 5b). Wir erheben so wenig Daten wie möglich und geben sie nur an die Dienstleister weiter, die für den Betrieb nötig sind. Diese Erklärung nennt jeden davon.

3. Aufruf der Website

Beim Aufruf verarbeitet unser Server technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browsertyp) in Protokolldateien, die nach spätestens 14 Tagen gelöscht werden. Rechtsgrundlage: berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung ohne Cookies: Wir zählen, welche Seiten wie oft aufgerufen werden, mit welcher Verweisquelle und Bildschirmbreite, außerdem, welche Links und Schaltflächen auf den öffentlichen Seiten genutzt werden wie weit eine Seite gelesen wird (in Viertelschritten) und an welcher Stelle einer Seite geklickt wird (Position in Prozent der Seitenbreite und Seitenhöhe). Eingaben in Formulare werden dabei nicht erfasst. Dafür bildet der Server aus IP-Adresse und Browserkennung einen täglich wechselnden, gesalzenen Hashwert, der nicht auf Sie zurückgeführt werden kann und nicht im Browser gespeichert wird. Die IP-Adresse selbst wird dafür nicht gespeichert. Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Anzeigen bei Google (Klick-Kennung): Wenn Sie über eine Google-Anzeige zu uns kommen, hängt Google an die Adresse eine Klick-Kennung („gclid“). Wir setzen dafür kein Cookie und laden keine Google-Skripte; die Kennung bleibt nur im Arbeitsspeicher der geladenen Seite. Nur wenn Sie in derselben Sitzung einen Anmeldelink anfordern, speichern wir die Kennung bei Ihrem Konto. Später melden wir Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), dass aus diesem Klick ein Konto oder eine Buchung geworden ist, mit Zeitpunkt und gegebenenfalls Betrag, aber ohne Namen, E-Mail-Adresse oder Betriebsdaten. So können wir messen, ob sich unsere Anzeigen lohnen. Rechtsgrundlage: berechtigtes Interesse an wirksamer Werbung (Art. 6 Abs. 1 lit. f DSGVO). Google verarbeitet die Kennung in seinem Werbesystem als eigener Verantwortlicher; eine Übermittlung in die USA ist durch das EU-US Data Privacy Framework abgesichert, dem Google angehört. Sie können dieser Verarbeitung jederzeit widersprechen (E-Mail an verbrieft@the-y.at); dann löschen wir die Kennung. Sie wird spätestens 90 Tage nach dem Klick nicht mehr übermittelt.

4. Gratis-Check

Ihre Antworten im Gratis-Check werden anonym gespeichert, um die Fragen zu verbessern. Wenn Sie die Checkliste per E-Mail anfordern, speichern wir Ihre E-Mail-Adresse und senden Ihnen einmalig die Checkliste (Art. 6 Abs. 1 lit. b DSGVO). Weitere E-Mails erhalten Sie nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

5. Vorbestellung, Partneranfragen, Vorlagen

Angaben aus Formularen (Firma, Name, E-Mail, Personenzahl, Land, gewählter Plan) verarbeiten wir zur Vorbereitung und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Sie werden gelöscht, wenn kein Vertrag zustande kommt und Sie keine Informationen wünschen, spätestens nach 12 Monaten.

5a. Webinar

Wer sich zu einem Webinar anmeldet, gibt Name und E-Mail-Adresse an, optional Betrieb und eine Frage. Wir speichern diese Angaben, um Bestätigung, Zugangslink, Erinnerung und Aufzeichnung zu verschicken (Art. 6 Abs. 1 lit. b DSGVO). Weitere Hinweise nach dem Webinar verschicken wir nur mit gesonderter Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können. Das Webinar läuft über Google Meet (Google Ireland Limited); beim Beitritt gelten die Datenschutzhinweise von Google, ein Google-Konto ist nicht nötig. Aufgezeichnet werden Bild, Ton und Bildschirm des Referenten; Kamera und Mikrofon der Teilnehmenden sind nicht Teil der Aufzeichnung, Chatfragen werden nicht veröffentlicht. Anmeldedaten löschen wir zwölf Monate nach dem Webinar, sofern keine Einwilligung für weitere Hinweise vorliegt.

5b. Eingebettete YouTube-Videos

Auf einzelnen Seiten binden wir Videos von YouTube ein. Wir nutzen dafür die Domain youtube-nocookie.com im erweiterten Datenschutzmodus und eine Zwei-Klick-Lösung: Beim Aufruf der Seite sehen Sie nur ein Vorschaubild von unserem Server, eine Verbindung zu YouTube oder Google wird nicht hergestellt. Erst wenn Sie auf „Abspielen“ klicken, lädt Ihr Browser den Player von YouTube. Ab diesem Zeitpunkt erhält YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) Ihre IP-Adresse und kann Cookies setzen oder Daten im lokalen Speicher Ihres Browsers ablegen; darauf haben wir keinen Einfluss. Rechtsgrundlage ist Ihre Einwilligung, die Sie mit dem Klick erteilen (Art. 6 Abs. 1 lit. a DSGVO). Sie gilt nur für das jeweilige Video und den aktuellen Seitenaufruf; wir speichern sie nicht, beim nächsten Besuch erscheint wieder nur das Vorschaubild. Google verarbeitet diese Daten als eigener Verantwortlicher; eine Übermittlung in die USA ist durch das EU-US Data Privacy Framework abgesichert, dem Google angehört. Weitere Informationen: policies.google.com/privacy.

6. Kundenkonto und Nachweis-Ordner

Wenn Sie Verbrieft nutzen, verarbeiten wir die Daten Ihres Betriebs (Firma, Adresse, UID, Kontaktperson) sowie die Daten der Personen, die Sie zur Schulung einladen (Name, Rolle, optional E-Mail, Schulungsdatum, Quizergebnis, Zertifikatsnummer). Für diese Personendaten sind Sie Verantwortlicher, wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Den Auftragsverarbeitungsvertrag finden Sie unter verbrieft.at/avv; er gilt mit der Einrichtung Ihres Betriebs als angenommen und kann zusätzlich unterschrieben werden. Der Login erfolgt über einen per E-Mail zugesandten Link, wir speichern keine Passwörter. Nach der Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie (vb_session, 30 Tage, nur für den Kundenbereich, ohne Tracking). Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO); das Cookie ist für den von Ihnen gewünschten Dienst unbedingt erforderlich.

7. Zahlung

Zahlungen wickelt Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland, ab. Stripe erhält die für die Zahlung nötigen Daten (Name, E-Mail, Rechnungsadresse, UID, Zahlungsmittel) und ist dafür eigenständig verantwortlich. Wir sehen keine vollständigen Kartendaten. Informationen: stripe.com/privacy.

8. E-Mail-Versand

Transaktions-E-Mails (Login-Links, Bestätigungen, Zertifikate, Erinnerungen) versenden wir über den eigenen Mailserver von The-Y e.U. (Absender verbrieft@the-y.at). Es ist kein externer E-Mail-Dienstleister beteiligt.

8a. Partnerprogramm und Partnerbriefe

Wer sich als Partner registriert (Datenschutzbeauftragte, Steuerberater, IT-Betreuer), dessen Firma, Name, E-Mail-Adresse, Land und Website speichern wir zur Durchführung der Partnerschaft (Art. 6 Abs. 1 lit. b DSGVO): Zuordnung von Buchungen über den Partnerlink, Abrechnung der Beteiligung, Zugang zum Partnerkonto. Beim Klick auf einen Partnerlink hängt der Partnercode an der Adresse (?p=CODE) und wird nur für die Dauer der Browsersitzung im Sitzungsspeicher des Browsers gehalten (kein Cookie, gelöscht beim Schließen des Browsers), damit eine Anmeldung in derselben Sitzung dem Partner zugerechnet werden kann. Der Code enthält keine personenbezogenen Daten und wird nicht an Dritte weitergegeben.

Partnerbriefe schicken wir an Firmenadressen aus öffentlichen Berufsverzeichnissen und Impressen. Wir speichern dafür Firma, Anschrift, Ansprechperson und die Quelle der Adresse (Art. 6 Abs. 1 lit. f DSGVO, Interesse an Geschäftskontakten). Die Quelle steht im Brief. Wer keine Post möchte, schreibt uns kurz, dann streichen wir die Adresse und merken uns nur den Widerspruch.

9. Hosting

Verbrieft läuft auf einem Server der netcup GmbH (Emmy-Noether-Str. 10, 76131 Karlsruhe, Deutschland) im Rechenzentrum Wien, Österreich. Mit netcup besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Alle Daten, die wir selbst verarbeiten, liegen ausschließlich auf diesem Server in der EU; Zahlungsdaten verarbeitet Stripe (Abschnitt 7), E-Mails laufen über den Mailserver von The-Y e.U. (Abschnitt 8). Tägliche Sicherungen liegen verschlüsselt auf einem eigenen Server von The-Y e.U. in Wien.

10. Speicherdauer

Vertragsdaten und Rechnungen bewahren wir nach den gesetzlichen Fristen sieben Jahre auf. Schulungsnachweise Ihres Betriebs bleiben so lange gespeichert, wie Ihr Konto besteht, und werden 90 Tage nach Kündigung gelöscht, sofern Sie sie nicht vorher exportiert haben. Anonyme Statistikdaten bewahren wir unbegrenzt auf.

11. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Wenden Sie sich an verbrieft@the-y.at. Beschwerden können Sie an die österreichische Datenschutzbehörde richten (Barichgasse 40–42, 1030 Wien, dsb.gv.at).

12. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Dienstleister oder Abläufe ändern, und nennen das Datum oben.