Kontolöschung anfordern

Datenschutzerklärung

Stand: 31. Oktober 2026

Der Schutz Ihrer personenbezogenen Daten ist uns ein zentrales Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG). Diese Erklärung informiert Sie über die Verarbeitung im Kundenportal mein.agentur.jetzt, in unseren Apps und bei der Erbringung unserer Leistungen. Sie richtet sich an Kundinnen und Kunden, Interessentinnen und Interessenten sowie an Ansprechpersonen unserer Kunden und andere Personen, mit denen wir in Kontakt stehen; Ziffer 5 enthält die Information nach Art. 14 DSGVO zur Protokollierung von E-Mails. Für unsere Mitarbeiterinnen und Mitarbeiter gilt ergänzend eine eigene Datenschutzinformation: https://mein.agentur.jetzt/datenschutz/mitarbeiter

1. Verantwortlicher

Marcel Sandro Truskaller — Agentur.jetzt

Dellach am Millstätter See 38

9872 Millstatt, Österreich

Telefon: +43 664 73825665 E-Mail: office@agentur.jetzt

Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Verpflichtung besteht. Datenschutzanfragen richten Sie bitte an office@agentur.jetzt oder direkt über das Kundenportal.

2. Hosting, Netzwerk und Server-Logs

Plattform und Kundenwebsites werden auf Servern der netcup GmbH in Rechenzentren in der EU betrieben. Unsere Domains werden über Cloudflare (Cloudflare, Inc., USA, mit Rechenzentren auch in der EU) ausgeliefert, das den Datenverkehr vor Angriffen schützt und beschleunigt; dabei verarbeitet Cloudflare technische Verbindungsdaten (u. a. IP-Adresse). Beim Aufruf verarbeiten unsere Server technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent), soweit dies für den sicheren Betrieb erforderlich ist. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Server-Logs werden spätestens nach 30 Tagen gelöscht, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert.

Zum Schutz der Anmeldung, der Funktionen „Passwort vergessen“ und „Anmeldelink anfordern“ sowie der Annahme von Einladungen vor automatisierten Angriffen (z. B. Passwortraten) setzen wir Cloudflare Turnstile ein, im Web und in den Apps (dort über eine eingebettete Prüfseite). Dabei führt Ihr Browser bzw. die App eine kurze technische Prüfung aus; hierbei werden technische Merkmale des Browsers und der Verbindung (u. a. IP-Adresse, Browser- und Geräteeigenschaften) an Cloudflare übermittelt und ausgewertet. Cloudflare verarbeitet diese Daten für die Prüfung als unser Auftragsverarbeiter und übermittelt uns nur das Prüfergebnis; Werbe- oder Analyse-Cookies werden dafür nicht gesetzt. Kommt keine Prüfung zustande, gelten strengere Begrenzungen der Anmeldeversuche. Die Prüfung ist für den sicheren Betrieb der von Ihnen aufgerufenen Anmeldung bzw. des Formulars unbedingt erforderlich (§ 165 Abs. 3 TKG 2021, § 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage ist unser berechtigtes Interesse an einem missbrauchssicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Soweit Cloudflare die Prüfsignale nach eigenen Angaben auch zur Verbesserung seiner Bot-Erkennung nutzt, ist Cloudflare dafür selbst verantwortlich: https://www.cloudflare.com/turnstile-privacy-policy/

3. Kundenkonto und Anmeldung

Für Ihr Kundenkonto verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Anschrift, UID-Nummer und Ihre Einstellungen. Die Anmeldung erfolgt mit einem Passwort oder einem kurzzeitig gültigen E-Mail-Anmeldelink; eine Anmeldung über ein Google-Konto bieten wir nicht mehr an (zur Verbindung eines Google-Kontos für die Profilbetreuung siehe Ziffer 10). Ein vom Team für Sie gesetztes Startpasswort ändern Sie bei der ersten Anmeldung. Diese Daten dienen der Zuordnung und Absicherung Ihres Plattformzugangs. Passwörter werden ausschließlich als kryptografischer Hash gespeichert. Zum Schutz vor Passwortraten zählen wir Fehlversuche je Konto und IP-Adresse und sperren die Anmeldung nach wiederholten Fehlversuchen vorübergehend. Ist die Prüfung auf bekannt gewordene Passwörter eingeschaltet, gleichen wir ein neues Passwort mit dem Dienst „Have I Been Pwned“ ab; dabei verlassen nur die ersten fünf Zeichen seines SHA-1-Prüfwerts unseren Server (k-Anonymität), nie das Passwort selbst, Ihre E-Mail-Adresse oder Ihre IP-Adresse. Zur Absicherung verarbeiten wir Sitzungs- und Gerätekennungen sowie gegebenenfalls Zweitfaktor- und Wiederherstellungsdaten. Angemeldete Geräte können Sie in den Sicherheitseinstellungen einzeln abmelden. Konten unserer Mitarbeiterinnen und Mitarbeiter sind zusätzlich durch einen zweiten Faktor geschützt. Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und für die Schutzmaßnahmen unser berechtigtes Interesse an sicheren Konten (Art. 6 Abs. 1 lit. f DSGVO).

Freiwillig können Sie ein Profilbild hinterlegen. Wir speichern es serverseitig neu kodiert und ohne eingebettete Metadaten (z. B. Aufnahmeort oder Kameradaten). Es ist für Ihre Gesprächspartner im Kundenportal bzw. im Team sichtbar, etwa im Chat, in der Anrufliste und bei Erwähnungen, und kann jederzeit entfernt werden. Ein entferntes oder ersetztes Bild ist sofort nicht mehr abrufbar; bereits geladene Kopien können im Zwischenspeicher der Browser bzw. Apps der Betrachter noch bis zu sieben Tage vorhanden sein. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch Entfernen des Bildes widerrufen.

Das Team kann einen Zugang für Sie vorbereiten und Sie einladen. Die Einladung oder Anmeldung ersetzt Ihre eigene Bestätigung nicht. Vor der Nutzung des Kundenportals bestätigen Sie getrennt die AGB und die Kenntnisnahme dieser Datenschutzhinweise; als Unternehmerkunde schließen Sie zusätzlich den AVV ab, soweit eine Verarbeitung in Ihrem Auftrag beauftragt ist, und bestätigen Ihre Vertretungsbefugnis. Wir speichern die Dokument- und Erklärungsfassung, den Kundentyp sowie die Zeitpunkte dieser Bestätigungen bei Ihrem eigenen Kundenkonto. Diese Nachweise dienen der Vertragsdurchführung und deren Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO). Die Kenntnisnahme der Datenschutzhinweise ist keine pauschale Einwilligung in zusätzliche Verarbeitungen und keine Werbeeinwilligung. Die Bestätigung löst keine kostenpflichtige Bestellung aus. Abmelden, Datenauskunft und eine Löschanfrage bleiben auch ohne Bestätigung möglich.

4. Kundenbetreuung (CRM) — Kontakte, Anrufe und Meetings

Damit wir Sie zuverlässig betreuen können, führen wir ein Kundenkonto mit Ihren Kontaktdaten, Ihren Aufträgen und einer Zeitleiste unserer Kontakte mit Ihnen: Nachrichten, E-Mails (Ziffer 5), Termine, Notizen, Gesprächs- und Meetingprotokolle (Ziffer 6) sowie Anrufe mit Zeitpunkt, Dauer, Richtung (eingehend/ausgehend) und beteiligten Personen. Anrufe über das Kundenportal werden dabei automatisch protokolliert; den Gesprächsinhalt zeichnen wir dabei nicht auf. Zugriff haben nur die für Sie zuständigen Mitarbeiterinnen und Mitarbeiter (rollenbasierte Berechtigungen). Im internen Team-Chat und auf internen Aufgabenboards verarbeiten wir Nachrichten, Dateien, Aufgaben, Kommentare, Erwähnungen, Verweise auf betriebliche Vorgänge und Lesestände zur Zusammenarbeit; erwähnte oder zuständige Mitarbeitende werden per Push benachrichtigt. Kundinnen und Kunden haben auf diese internen Bereiche keinen Zugriff. Private Kanäle und Chats sind auf ihre Mitglieder begrenzt; Nachrichteninhalte und Dateien werden verschlüsselt gespeichert.

Datenübernahme aus HubSpot: Bisher haben wir die Kundenbetreuung in HubSpot (HubSpot Ireland Ltd.) geführt. Kontakt-, Unternehmens-, Aktivitäts- und Korrespondenzdaten aus unserem eigenen HubSpot-Konto übernehmen wir in die Plattform, damit Ihre Betreuung ohne Unterbrechung fortgesetzt werden kann. Übernommen werden ausschließlich Daten aus dem HubSpot-Konto von Agentur.jetzt. Die unveränderten Ausgangsdaten bewahren wir verschlüsselt nur zur Prüfung der vollständigen Übernahme auf und löschen sie spätestens sechs Monate danach. Für die übernommenen Daten gelten die Zwecke und Fristen dieser Erklärung; Rechtsgrundlagen sind die Vertragserfüllung und unser berechtigtes Interesse an einer durchgehenden Kundenbetreuung (Art. 6 Abs. 1 lit. b und f DSGVO).

Rechtsgrundlagen: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer nachvollziehbaren Kundenbetreuung (Art. 6 Abs. 1 lit. f DSGVO). Wenden Sie sich als Interessentin oder Interessent an uns, verarbeiten wir Ihre Angaben zur Beantwortung Ihrer Anfrage.

5. E-Mails mit unseren Mitarbeitenden (Microsoft 365) — Information nach Art. 14 DSGVO

Unsere Mitarbeiterinnen und Mitarbeiter verwenden Postfächer bei Microsoft 365 (Exchange Online, Microsoft Ireland Operations Ltd.). Hat eine Mitarbeiterin oder ein Mitarbeiter das eigene Postfach mit der Plattform verbunden, werden E-Mails an und von Personen, die wir einem Kunden, einem Interessenten oder einer Ansprechperson zuordnen können, automatisch in der betreffenden Kundenakte protokolliert. Die Zuordnung erfolgt über bekannte E-Mail-Adressen oder die Domain eines Unternehmens; nicht zuordenbare E-Mails werden nicht übernommen. Zusätzlich können einzelne E-Mails über ein Add-in in Microsoft Outlook protokolliert werden. Die Plattform greift dafür mit der Berechtigung, die die jeweilige Person bei der Verbindung erteilt, über die Schnittstelle Microsoft Graph auf Posteingang und gesendete Elemente dieses Postfachs zu. Die Plattform nutzt dafür ausschließlich die delegierte Berechtigung für das eigene Postfach dieser Person in unserem eigenen Microsoft-365-Mandanten und greift auf keine anderen Postfächer zu. Mitarbeitende können E-Mails auch aus der Plattform über ihr eigenes Postfach schreiben und beantworten; diese werden ebenfalls protokolliert.

Verarbeitet werden Absender, Empfänger und Kopieempfänger, Betreff, Zeitpunkt und Inhalt der E-Mail, gegebenenfalls Anhänge bis zu einer festgelegten Größe sowie die Zuordnung zu Unternehmen und Ansprechperson. Diese Daten stammen aus dem E-Mail-Verkehr selbst – von Ihnen oder von Personen, die Sie in Kopie setzen oder deren Angaben eine E-Mail enthält. Zum Abgleich liest die Plattform zunächst nur Adressen und Kennungen; Inhalte nicht zuordenbarer E-Mails werden nicht abgerufen. Inhalte, Adressen und Anhänge werden verschlüsselt gespeichert (AES-256-GCM) und sind nur für Mitarbeitende mit Zugriff auf die betreffende Kundenakte sichtbar; in der Zeitleiste der Kundenakte erscheint zusätzlich ein Eintrag mit Betreff und kurzer Vorschau. Mitarbeitende können Adressen oder Domains von der Protokollierung ausschließen und einzelne E-Mails aus dem Verlauf entfernen; eine entfernte E-Mail wird über kein Postfach erneut übernommen. Die Zugriffsberechtigung für das Postfach wird verschlüsselt gespeichert.

Zweck ist eine vollständige und nachvollziehbare Kundenbetreuung: Die zuständigen Mitarbeitenden kennen den Stand der Korrespondenz, auch bei Vertretung. Rechtsgrundlage ist die Vertragserfüllung bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), soweit Sie selbst unser Vertragspartner sind, und im Übrigen unser berechtigtes Interesse an einer geordneten Geschäftskorrespondenz mit unseren Kunden und deren Ansprechpersonen (Art. 6 Abs. 1 lit. f DSGVO). Protokollierte E-Mails, auch solche aus der HubSpot-Übernahme, bewahren wir als Geschäftskorrespondenz höchstens sieben Jahre ab Ende des Kalenderjahres auf, in dem sie gesendet oder empfangen wurden (§ 132 BAO, § 212 UGB), und löschen sie danach automatisch samt Anhängen und Zeitleisteneinträgen. Früher entfernt werden sie nach einem Widerspruch, wenn Mitarbeitende sie aus dem Verlauf entfernen, oder nach der Frist für Anfragen ohne Vertragsabschluss (Ziffer 16).

Widerspruch: Sie können der Protokollierung Ihrer E-Mails jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO), formlos an office@agentur.jetzt oder an Ihre Ansprechperson. Wir tragen Ihre Adresse bzw. auf Wunsch die Domain Ihres Unternehmens in eine zentrale Widerspruchsliste ein, die für alle Postfächer gilt: E-Mails, an denen Sie beteiligt sind, werden danach nicht mehr protokolliert, auch nicht über das Outlook-Add-in oder beim Versand aus der Plattform. Bereits protokollierte E-Mails entfernen wir samt Anhängen aus der Plattform. Die E-Mails selbst verbleiben in den Postfächern der beteiligten Personen.

6. Gesprächs- und Meetingprotokolle, Aufnahmen und Transkription

Unsere Mitarbeitenden können zu Gesprächen und Meetings Protokolle anlegen – getippt oder gesprochen. Eine Tonaufnahme eines Gesprächs mit Ihnen erfolgt nur, wenn alle Anwesenden vorher informiert wurden und einverstanden sind. Vor dem Start bestätigt die aufnehmende Person dies in der App; Zeitpunkt, bestätigende Person und Fassung des Bestätigungstextes werden gespeichert. Sie können eine Aufnahme jederzeit ablehnen oder ihre Beendigung verlangen. Heimliche Aufnahmen sind unzulässig.

Die Aufnahme wird verschlüsselt übertragen und gespeichert und zur Verschriftlichung an die Spracherkennung von OpenAI übermittelt (derzeit Modell „gpt-transcribe“). Aus der Verschriftlichung oder einem getippten Protokoll kann ein Sprachmodell von OpenAI eine strukturierte Zusammenfassung mit Aufgaben erstellen; sie ist als KI-Ergebnis gekennzeichnet und kann Fehler enthalten. Für die Spracherkennung speichert OpenAI nach eigenen Angaben keine Inhalte; für die Zusammenfassung gelten die Angaben in Ziffer 11. Die Audiodatei wird nach erfolgreicher Transkription sofort gelöscht. Nur wenn eine Administratorin oder ein Administrator dies im Einzelfall festlegt, bleibt sie höchstens 30 Tage ab der Aufnahme erhalten. Schlägt die Verarbeitung fehl oder wird eine Aufnahme nicht abgeschlossen, löschen wir das Audio spätestens nach sieben Tagen. Transkript, Zusammenfassung, Notizen und Teilnehmernamen werden verschlüsselt gespeichert und sind je nach gewählter Sichtbarkeit nur für die verfassende Person, ihr Team oder die für Ihr Unternehmen zuständigen Mitarbeitenden sichtbar. Im Kundenportal erscheint ein Protokoll nur, wenn eine Mitarbeiterin oder ein Mitarbeiter es nach Prüfung ausdrücklich für Sie freigibt.

Rechtsgrundlage der Tonaufnahme und ihrer Transkription ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen. Für das Protokoll als Gesprächsnotiz sind Rechtsgrundlagen die Vertragserfüllung und unser berechtigtes Interesse an einer nachvollziehbaren Kundenbetreuung (Art. 6 Abs. 1 lit. b und f DSGVO). Gespeicherte Protokolle unterliegen den Fristen der Kundenbetreuung (Ziffer 16).

7. Nachrichten, Dateien und In-App-Anrufe

Im Kundenportal und in der App können Sie uns schreiben, Sprachnachrichten von bis zu fünf Minuten senden, Dateien (z. B. Fotos und Videos für Ihre Website) übermitteln und mit uns telefonieren. Alle Verbindungen sind TLS-verschlüsselt; Dateien speichern wir auf unseren Servern in der EU, abrufbar nur über zeitlich begrenzte, signierte Links. Zugangsdaten zu Drittsystemen (z. B. FTP oder Registrar) speichern wir zusätzlich mit AES-256-GCM verschlüsselt. In-App-Anrufe werden per WebRTC transportverschlüsselt (DTLS-SRTP) über unseren mit der Open-Source-Software LiveKit betriebenen Medienserver bei netcup in der EU vermittelt. Dabei fallen Verbindungs-, Teilnehmer- und Qualitätsdaten an; ein LiveKit-Cloudkonto wird dafür nicht verwendet. Mikrofon und Kamera erfordern Ihre Geräte- bzw. Browserfreigabe. Im Web können Sie während eines Anrufs freiwillig ein Fenster, einen Browser-Tab oder den Bildschirm zum Mitsehen auswählen und die Freigabe jederzeit beenden. Andere Teilnehmer können die freigegebenen Inhalte sehen; eine Fernsteuerung wird nicht angeboten. In-App-Anrufe und Bildschirmfreigaben zeichnen wir nicht auf; eine Tonaufnahme ist nur nach Ziffer 6 möglich. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Freigabe zusätzlicher Gerätefunktionen und des Bildschirms erfolgt durch Ihre bewusste Auswahl.

Sprachnachrichten (höchstens fünf Minuten) werden wie Dateien verschlüsselt gespeichert (AES-256-GCM, eigener Schlüssel je Datei) und nur über kurzzeitig gültige, signierte Links für die Beteiligten abgespielt. Zusätzlich speichern wir ihre Dauer und eine grobe Pegelkurve für die Anzeige, aber keine Abschrift; Sprachnachrichten werden nicht an KI-Dienste übermittelt. Nie gesendete Sprachaufnahmen werden nach 24 Stunden gelöscht. Eigene Nachrichten können bis 15 Minuten nach dem Senden bearbeitet und bis 60 Minuten nach dem Senden für alle gelöscht werden; im Kundenchat können Administratoren Nachrichten zur Moderation jederzeit für alle löschen. Eine gelöschte Nachricht erscheint als Platzhalter; ihre Anhänge und Sprachnachrichten werden mitgelöscht. Die vorherige Fassung einer bearbeiteten und den Text einer für alle gelöschten Nachricht im Kundenchat bewahren wir zur Nachvollziehbarkeit der Geschäftskorrespondenz verschlüsselt auf; einsehen können sie nur Administratoren, jede Einsicht wird protokolliert. Diese Fassungen löschen wir sieben Jahre nach Ende des Kalenderjahres der Änderung (§ 132 BAO, § 212 UGB), zusammen mit Ihren eigenen Nachrichten auch bei der Löschung Ihres Kontos. Mit „Für mich ausblenden“ entfernen Sie eine Nachricht nur aus Ihrer eigenen Ansicht. Während jemand schreibt, sehen die anderen Beteiligten kurz den Hinweis „schreibt …“, der nicht gespeichert wird; ob eine Nachricht gelesen wurde, zeigen wir anhand des gespeicherten Zeitpunkts, zu dem die Unterhaltung zuletzt geöffnet wurde.

Ihre Anrufe mit uns sehen Sie in der Anrufliste der App mit Gegenüber, Zeitpunkt, Dauer und Ergebnis. Zusätzlich meldet die App Anrufe an die Anrufliste der Telefon-App Ihres Geräts (iOS „Zuletzt“ über CallKit; Android über die Telecom-Schnittstelle, sofern der Gerätehersteller dies unterstützt), jeweils mit dem Anzeigenamen des Gegenübers, Zeitpunkt und Dauer. Diese Einträge speichert und verwaltet Ihr Betriebssystem nach Ihren Systemeinstellungen, gegebenenfalls auch synchronisiert mit Ihren anderen Geräten; Sie können sie dort löschen. Für den Rückruf aus dieser Liste merkt sich die iOS-App die Zuordnung von Namen zum letzten Anruf nur auf dem Gerät (höchstens 100 Einträge) und löscht sie beim Abmelden. Wir erhalten aus der Anrufliste Ihres Geräts keine Daten.

Zum Schutz vor missbräuchlichen Inhalten führen wir begrenzte lokale Textprüfungen und interne Inhaltsprüfungen durch. Die automatische Prüfung kann problematische Inhalte übersehen oder unzutreffend beanstanden. Dateien, Fotos und Sprachnachrichten werden nach einer technischen Prüfung (Dateiart, Größe; Bilder werden neu kodiert) sofort zugestellt; eine Vorabfreigabe durch unser Team findet nicht statt. Nur Dateien, die vor dem 23. Oktober 2026 zur internen Prüfung zurückgehalten wurden, bleiben bis zur Entscheidung gesperrt. Sichtbare Nachrichten und eigene unveränderte KI-Ergebnisse können Sie melden; andere Verfasser können Sie für Ihre direkte Kommunikation blockieren. Bei einer Meldung oder internen Prüfung verarbeiten wir den betroffenen Originalinhalt, Ihre etwaige Begründung, die beteiligten Konten sowie Bearbeitungs- und Entscheidungsangaben. Originaltexte und Notizen werden verschlüsselt gespeichert und sind nur für die interne Administratorprüfung zugänglich. Eine Freigabe versendet oder veröffentlicht einen zuvor abgewiesenen Inhalt nicht automatisch. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Beteiligten und einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Für diese Inhaltsprüfung wird kein zusätzlicher externer Moderationsdienst eingesetzt.

8. Terminbuchung

Buchen Sie einen Termin, verarbeiten wir Name, Kontaktdaten, Zeitpunkt, Thema und gewählte Ansprechperson. Damit sich Termine nicht überschneiden, gleichen wir Zeitfenster mit dem internen Kalender unseres Teams ab (Apple iCloud, Apple Distribution International Ltd., Irland); dorthin werden Zeitpunkt und Betreff Ihres Termins übertragen. Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

9. Websites, Webshops und Änderungswünsche

Für Erstellung, Hosting und Pflege Ihrer Website bzw. Ihres Webshops verarbeiten wir die Inhalte, die Sie uns übermitteln, sowie die auf Ihrer Website anfallenden Daten Ihrer Besucher und Kunden. Hierbei handeln wir als Auftragsverarbeiter nach Art. 28 DSGVO (siehe AVV). Der Quellcode Ihrer Website wird in einem privaten Repository bei GitHub (GitHub, Inc., USA) versioniert; Änderungswünsche werden dort als Aufgaben dokumentiert und vor Veröffentlichung von uns freigegeben. Für die Umsetzung kann KI eingesetzt werden: Ist die KI-gestützte Umsetzung für Ihre Website eingeschaltet, werden Ihr Änderungswunsch, Hinweise unseres Teams, die Beschreibungen beigefügter Medien und die für die Umsetzung gelesenen Dateien Ihrer Website an OpenAI übermittelt (Ziffer 11); beigefügte Fotos und Videos selbst sowie erkannte Zugangsdaten werden nicht übermittelt. Unser Team prüft eine vorbereitete Änderung anhand einer gerenderten, nicht öffentlich auffindbaren Vorschau, die nach 14 Tagen abläuft und spätestens 30 Tage danach gelöscht wird. Online geht eine von Ihnen gewünschte Änderung erst, wenn eine berechtigte Mitarbeiterin oder ein berechtigter Mitarbeiter genau diese Vorschau freigibt; Person, Zeitpunkt und freigegebener Stand werden protokolliert, der vorherige Stand wird gesichert und kann wiederhergestellt werden.

10. Daten Ihrer Google-Unternehmensprofile (GBP Ultra)

Für die Profilbetreuung verbinden Sie nach der Anmeldung Ihr Google-Konto. Dabei erhalten wir von Google nach Ihrer Zustimmung Zugriffsberechtigungen („Tokens“, Scope „business.manage“) sowie die von Google bestätigte Kontokennung, E-Mail-Adresse und Profilangaben wie Anzeigename und gegebenenfalls Profilbild (Berechtigungen openid, email und profile); haben Sie kein eigenes Profilbild hinterlegt, kann das Google-Profilbild angezeigt werden. Ihr Google-Passwort sehen und speichern wir nie. Damit beauftragte Automatisierungen auch ohne aktive Sitzung funktionieren, speichern wir diese Verbindungsdaten mit AES-256-GCM verschlüsselt. Ein Widerruf in Ihrem Google-Konto beendet die nutzbare Zugriffsberechtigung; die verschlüsselten Verbindungsdaten können bis zur von Ihnen angeforderten Entfernung oder der Löschung Ihres Plattformkontos gespeichert bleiben.

Über die offiziellen Google-Schnittstellen rufen wir Profilstammdaten, Rezensionen (inklusive Name und Profilbild der Rezensentinnen und Rezensenten), Fotos/Videos, Beiträge und Leistungsdaten ab und halten sie zeitlich begrenzt vor. Soweit Rezensionen personenbezogene Daten Dritter enthalten, verarbeiten wir diese im Auftrag des jeweiligen Unternehmens als Auftragsverarbeiter; der Kunde ist für die Rechtsgrundlage verantwortlich (regelmäßig Art. 6 Abs. 1 lit. f DSGVO nach dokumentierter Interessenabwägung).

Diese Daten verwenden wir ausschließlich für die von Ihnen beauftragte Betreuung der verbundenen Unternehmensprofile: Anzeige und Aktualisierung von Unternehmensangaben, Bearbeitung von Rezensionen, Medien und Beiträgen sowie die Auswertung der von Google bereitgestellten Leistungsdaten. Veröffentlichungen erfolgen nach Ihren Freigaben und den ausdrücklich aktivierten Automatisierungseinstellungen. Die Berechtigung business.manage ermöglicht solche Profilaktionen; sie erteilt uns keinen Zugriff auf Gmail, Google Drive oder Ihre privaten Kontakte. Berechtigte, mit Ihrer Betreuung beauftragte Mitarbeiter können die hierfür erforderlichen Daten im Plattformzugang einsehen. Bei aktivierter KI-Unterstützung können dafür erforderliche Rezensionstexte und Profilangaben zur Erstellung eines Entwurfs an den in Ziffer 11 beschriebenen KI-Dienst übermittelt werden.

Die Verwendung und Weitergabe von Informationen aus Google APIs durch Agentur.jetzt richtet sich nach der Google API Services User Data Policy einschließlich ihrer Anforderungen zur eingeschränkten Nutzung (Limited Use): https://developers.google.com/terms/api-services-user-data-policy. Google-Nutzerdaten werden weder verkauft noch für Werbung, Bonitätsbewertung oder das Training allgemeiner KI-Modelle verwendet. Eine Weitergabe erfolgt nur soweit für die offengelegten und autorisierten Funktionen, die Sicherheit oder gesetzliche Pflichten erforderlich. Google-Zugriffstokens und sonstige Zugangsdaten dienen ausschließlich der gesicherten technischen Anbindung und werden nicht als KI-Eingaben verwendet.

Sie können den Zugriff von Agentur.jetzt jederzeit in Ihrem Google-Konto unter https://myaccount.google.com/permissions widerrufen. Damit sind weitere autorisierte Profilzugriffe mit dieser Freigabe nicht mehr möglich. Bereits gespeicherte Daten unterliegen den unten genannten Lösch- und Aufbewahrungsfristen; die Löschung Ihres Plattformkontos oder Ihrer Google-Verbindungsdaten können Sie über office@agentur.jetzt anfordern. Die bloße Trennung der Google-Verbindung beendet nicht automatisch Ihren Agenturvertrag.

Leistungs- und Sichtbarkeitsdaten

Einblendungen, Interaktionen und von Google ausgewiesene Suchbegriffe rufen wir über die offizielle Google Business Profile Performance API ab und halten sie nur in einem technischen Zwischenspeicher vor (regulär sechs Stunden, bei einer Google-Störung höchstens sieben Tage). Es wird kein zusätzlicher Ranking-Dienst eingesetzt.

11. KI-Funktionen und KI-Transparenz

Für die KI-Funktionen der Google-Profilbetreuung, etwa Antwortvorschläge auf Rezensionen, Bildbeschreibungen und Texte, kann OpenRouter Inc. (USA) eingesetzt werden. Diese Anbindung beschränkt die Anbieterwahl technisch auf Routen ohne Datensammlung (data_collection: deny); steht keine passende Route bereit, schlägt die Anfrage fehl. Es werden nur die für die gewählte Funktion erforderlichen Inhalte übertragen, erkennbare Identifikatoren soweit technisch möglich minimiert.

Die interne Assistenz für Kundenchat-Antwortentwürfe, Tagesplanung und Terminbriefings, die Transkription und Zusammenfassung von Gesprächsprotokollen (Ziffer 6) sowie KI-Aufträge für Website- und Plattformcode verwenden die direkte OpenAI-API. Derzeit setzen wir für allgemeine Assistenzfunktionen das Modell „gpt-6-luna“, für Codeänderungen an Websites und Plattform „gpt-6.1-sol“ und für die Spracherkennung „gpt-transcribe“ ein. Je nach angeforderter Funktion umfasst der ausgewählte Kontext Nachrichten, Kunden- und Vorgangsbezeichnungen, CRM-Notizen, Termin- und Aufgabentexte, Tonaufnahmen und Texte von Gesprächsprotokollen oder bei Website-Änderungen den Änderungswunsch, Hinweise des Teams und die erforderlichen Dateien der Website. Solche Inhalte können personenbezogene Angaben enthalten. Zugriff und Kontext sind auf die Rechte des anfordernden Mitarbeiters und den jeweiligen Vorgang begrenzt; erkannte Zugangsdaten werden vor der Übertragung entfernt oder die betroffene Datei abgewiesen. Laufende Anrufe und Bildschirmübertragungen werden nicht an KI-Dienste übermittelt; Tonaufnahmen nur nach Ziffer 6.

Für direkte OpenAI-Anfragen fordern wir keine dauerhafte Ablage der Antwort als abrufbaren Anwendungszustand beim Anbieter an (store: false). Das ist keine Zusage einer vollständigen Nichtaufbewahrung: Nach den veröffentlichten OpenAI-Datenkontrollen können Inhalte zur Missbrauchsüberwachung grundsätzlich bis zu 30 Tage gespeichert werden, in den dort genannten Ausnahmefällen auch länger. Für die Spracherkennung sieht OpenAI nach diesen Angaben (Stand Oktober 2026) keine solche Aufbewahrung vor. API-Inhalte werden von OpenAI standardmäßig nicht zum Modelltraining verwendet. Damit wiederkehrende, gleichbleibende Anfrageteile schneller und günstiger verarbeitet werden, nutzen OpenAI bzw. OpenRouter eine Zwischenspeicherung der Anfrage (Prompt-Caching): Die rechnerische Zwischenform gleichbleibender Anfrageteile wird beim Anbieter in der Regel mindestens rund 30 Minuten, in Ausnahmefällen bis zu 24 Stunden vorgehalten. Zur Zuordnung übermitteln wir einen pseudonymen Schlüssel aus Funktionsbezeichnung und gehashter Kennung des Kunden bzw. der anfragenden Person, keine Namen oder Kontaktdaten. Weitere Informationen: https://developers.openai.com/api/docs/guides/your-data. Eine ausschließlich europäische Verarbeitung oder Zero Data Retention wird mit dieser Konfiguration nicht zugesagt.

Damit gleiche Anfragen nicht erneut an den KI-Anbieter gesendet werden müssen, speichern wir KI-Antworten in unserer eigenen Datenbank verschlüsselt zwischen (AES-256-GCM). Solche Antworten können Inhalte aus Kundenbetreuung, Terminen oder Beiträgen enthalten. Der Zwischenspeicher dient ausschließlich der Kosten- und Zeitersparnis, wird nicht weitergegeben und läuft in der Regel nach 10 bis 15 Minuten, spätestens nach 24 Stunden ab; bei einer Kontolöschung werden zugehörige Einträge entfernt. Kennzahlen zur KI-Nutzung (Anzahl der Anfragen, verarbeitete Textmengen und Kosten je Funktion und Tag) erfassen wir ohne Inhalte und ohne Bezug zu Personen oder Kunden.

KI-Ergebnisse sind Entwürfe und können Fehler enthalten. Nachrichtenentwürfe erfordern vor dem Versand eine interne Prüfung. Plattform-Codevorschläge werden als Prüfbranch zur internen Abnahme bereitgestellt; eine KI-Anfrage führt selbst keine lokalen Tests aus. Website-Änderungswünsche aus dem Kundenportal gehen erst online, nachdem ein berechtigter Mitarbeiter die gerenderte Vorschau geprüft und freigegeben hat. Nur bei Website-Aufträgen, die unser Team selbst erteilt, kann ein berechtigter Mitarbeiter die Veröffentlichung nach erfolgreichen automatischen technischen Prüfungen bereits mit dem Auftrag freigeben; vor jeder Veröffentlichung wird der bisherige Stand gesichert, die Änderung kann zurückgenommen werden. Die anschließende interne Abnahme und eine Kundenbenachrichtigung sind getrennte Schritte. Rückfragen, die die KI zu einem Änderungswunsch vorschlägt, prüft zuerst unser Team, bevor sie an Sie gehen. Für Google-Veröffentlichungen gelten die von Ihnen ausdrücklich freigegebenen Modi. KI-Anforderungen und anschließende Freigaben werden im Vorgang protokolliert. Es findet keine automatisierte Entscheidungsfindung über Personen mit rechtlicher oder vergleichbar erheblicher Wirkung im Sinne des Art. 22 DSGVO statt.

Transparenz nach der KI-Verordnung (Art. 50 Verordnung (EU) 2024/1689): Im Kundenportal und in den Apps kommunizieren Sie mit Menschen; eine KI, die selbstständig mit Ihnen schreibt oder telefoniert, setzen wir nicht ein. KI-gestützt erstellte Inhalte wie Antwortentwürfe, Zusammenfassungen oder Website-Änderungen stehen unter menschlicher Verantwortung: Ein Mensch prüft sie vor dem Versand bzw. der Veröffentlichung oder hat die konkrete Veröffentlichung ausdrücklich beauftragt und nimmt sie anschließend ab. KI-Ergebnisse, die Sie ohne diese Prüfung sehen, etwa Zusammenfassungen, sind als KI-gestützt gekennzeichnet. Fragen zum KI-Einsatz beantworten wir unter office@agentur.jetzt.

12. Zahlungen und Buchhaltung

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Irland; gegebenenfalls unter Einbindung der Stripe, Inc., USA). Die Eingabe von Zahlungsdaten erfolgt direkt bei Stripe. Im Rahmen der Zahlungsabwicklung erhalten und speichern wir Stripe-Referenzen, Zahlungs- und Abonnementstatus, Rechnungsinformationen sowie gegebenenfalls Angaben zur verwendeten Zahlungsmethode, etwa Kartenart, letzte Ziffern, Ablaufdatum oder gekürzte Bankverbindungsdaten und zugehörige Rechnungsangaben. Auch technische Ereignismeldungen von Stripe werden zur Zahlungsabwicklung und Fehlerklärung verarbeitet. Rechnungen bewahren wir nach den steuerrechtlichen Vorgaben auf und stellen sie unserer Steuerberatung zur Verfügung. Beim Aufruf des Zahlungsformulars setzt Stripe Cookies zur Betrugsprävention. Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO).

Im nativen Zahlungsdialog übermittelt das Stripe-SDK technische Angaben zu Gerät, Betriebssystem und App, Sprache und Netzwerktyp, pseudonyme Sitzungs- und Betrugspräventionskennungen sowie Ablaufereignisse, Lade- und Formulardauer und Fehlerangaben an Stripe. Dies kann auch bei nicht abgeschlossenen Vorgängen erfolgen. Stripe nutzt die Daten zur Zahlungsabwicklung, Betrugsprävention und technischen Fehler- und Leistungsanalyse sowie nach eigener Datenschutzerklärung zur statistischen Auswertung und Verbesserung seiner Dienste; dabei ist Stripe teilweise eigenständig verantwortlich. Die Anbieterfristen beschreibt https://stripe.com/privacy; unsere Fristen für empfangene Stripe-Ereignismeldungen (Ziffer 16) sind davon getrennt.

13. E-Mails, Push-Mitteilungen und Widgets

Wir senden transaktionale E-Mails (z. B. Auftragsbestätigungen, Freigabelinks, Rechnungen, Zahlungserinnerungen, Termin- und Statusmeldungen). Nach Ihrer Gerätefreigabe können Mitteilungen über Apple Push Notification Service, Google Firebase Cloud Messaging oder den Push-Dienst Ihres Browsers zugestellt werden. Dafür speichern wir die erforderlichen Gerätekennungen bzw. Push-Abonnements verschlüsselt. Vertrauliche Nachrichteninhalte werden nicht in Push-Mitteilungen übertragen. Rechtsgrundlage für erforderliche Vertragsmitteilungen ist Art. 6 Abs. 1 lit. b DSGVO; für optionale Push-Mitteilungen Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Werbliche Neuigkeiten senden wir per E-Mail oder Push nur mit dokumentierter Einwilligung für den jeweiligen Kanal. Für E-Mail bestätigen Sie Ihre Anmeldung zusätzlich über einen Bestätigungslink (Double-Opt-in). Ihr Status als Kundin oder Kunde allein löst keine Werbefreigabe aus; die Bestandskunden-Ausnahme nach § 174 Abs. 4 TKG 2021 wird derzeit nicht angewendet. Sie können Einwilligungen jederzeit mit Wirkung für die Zukunft kostenlos widerrufen: über die Mitteilungseinstellungen im Kundenkonto oder den Abmeldelink in der E-Mail, für den keine Anmeldung erforderlich ist. Wir protokollieren Einwilligung und Widerruf mit Zeitpunkt, Quelle und Textfassung sowie den für den Nachweis erforderlichen technischen Angaben. Die übrigen Vertragsleistungen bleiben vom Widerruf unberührt. Service-Mitteilungen sind separat abbestellbar; erforderliche kritische Sicherheitsinformationen erläutern wir gesondert in den Einstellungen.

Optional können Sie Widgets der App auf dem Startbildschirm Ihres Geräts verwenden. Sie zeigen die Zahl ungelesener Nachrichten, die nächsten Termine mit gekürztem Betreff und – für Mitarbeitende – fällige Aufgaben und die laufende Arbeitszeit. Dafür erhält das Widget ein eigenes, nur lesendes Zugangsmerkmal, das höchstens 30 Tage gilt und mit der Abmeldung der App endet. Das Zugangsmerkmal liegt im geschützten Schlüsselbund bzw. Schlüsselspeicher des Geräts und wird nicht in Gerätesicherungen übernommen. Den zuletzt geladenen Stand speichert die App nur auf Ihrem Gerät: unter Android verschlüsselt und ohne Übernahme in Sicherungen, unter iOS im geschützten Datenbereich der App, der in eine Gerätesicherung einbezogen sein kann; beim Abmelden wird er gelöscht. Beachten Sie, dass Widget-Inhalte auf dem Startbildschirm auch für andere Personen sichtbar sein können, die Ihr Gerät sehen; Sie können das Widget jederzeit entfernen.

14. Cookies und lokale Speicherung

Wir setzen ausschließlich Cookies und vergleichbare Speicherungen auf Ihrem Gerät ein, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 165 Abs. 3 TKG 2021, § 25 Abs. 2 Nr. 2 TDDDG). Dafür ist keine Einwilligung erforderlich:

  • Sitzungs-Cookie („httpOnly“, „Secure“, „SameSite“): hält Ihre Anmeldung aufrecht und endet mit der Abmeldung bzw. dem Ablauf der Sitzung.
  • Lokale Einstellungen im Browser (localStorage, sessionStorage): die von Ihnen gewählte Darstellung (hell/dunkel), zuletzt verwendete Suchbegriffe und Emojis, auf- oder zugeklappte Bereiche, Zwischenstände begonnener Einrichtungsschritte, der Status Ihrer Browser-Benachrichtigungen sowie kurzzeitig Angaben während der Anmeldung oder einer Angebotsfreigabe. Diese Angaben bleiben auf Ihrem Gerät und dienen nicht der Wiedererkennung.
  • Service Worker und Push-Abonnement: nur nach Ihrer Freigabe für Browser-Benachrichtigungen.
  • Cloudflare Turnstile (nur bei Anmeldung, „Passwort vergessen“, Anmeldelink und Einladung): kurze technische Prüfung zum Schutz vor automatisierten Angriffen (Ziffer 2).
  • Outlook-Add-in (nur für Mitarbeitende): Anmeldung des Add-ins in Outlook für höchstens sieben Tage.
  • Stripe-Cookies (nur im Zahlungsschritt): Betrugsprävention und sichere Zahlungsabwicklung.

Tracking-, Analyse- oder Werbe-Cookies setzen wir nicht ein; deshalb fragen wir keine Einwilligung ab und zeigen keinen Cookie-Banner. Eine Übersicht, über die Sie auch die lokal gespeicherten Einstellungen aus Ihrem Browser entfernen können, finden Sie unter https://mein.agentur.jetzt/cookies. Setzen wir künftig nicht unbedingt erforderliche Dienste ein, holen wir vorher Ihre Einwilligung mit gleichwertigen Schaltflächen zum Annehmen und Ablehnen ein; Sie können sie dann jederzeit auf derselben Seite widerrufen. Die Apps speichern Anmeldedaten im geschützten Schlüsselbund bzw. Schlüsselspeicher des Geräts und enthalten keine Werbe- oder Tracking-Bibliotheken.

15. Empfänger und Auftragsverarbeiter

  • netcup GmbH (Deutschland) — Hosting in EU-Rechenzentren
  • Cloudflare, Inc. (USA) — Auslieferung und Schutz der Domains sowie Turnstile-Missbrauchsschutz als Auftragsverarbeiter (EU-US Data Privacy Framework); für die Verbesserung der eigenen Bot-Erkennung ist Cloudflare selbst verantwortlich
  • Google Ireland Ltd. / Google LLC — Verbindung des Google-Kontos für die Profilbetreuung (OAuth), Google-Business-Profile-Schnittstellen, Firebase Cloud Messaging
  • OpenRouter Inc. (USA) und die für das konfigurierte Modell ausgewählte, nicht datensammelnde Infrastruktur — KI-Verarbeitung
  • OpenAI und dessen eingesetzte Unterauftragsverarbeiter — direkte KI-API für interne Assistenz, Spracherkennung und Zusammenfassung von Gesprächsprotokollen sowie KI-gestützte Website-Änderungen und Plattformcode; eine Verarbeitung in den USA ist möglich
  • Stripe Payments Europe Ltd. (Irland) / Stripe, Inc. (USA) — Zahlungsabwicklung, Betrugsprävention sowie technische und statistische Auswertung der SDK-Nutzung; für Teile der Verarbeitung eigenständig verantwortlich (Ziffer 12)
  • GitHub, Inc. (USA) — Versionierung des Quellcodes von Kundenwebsites und mit einem Repository verknüpfte technische Aufgaben
  • Apple Distribution International Ltd. (Irland) — iCloud-Kalender, Apple Push Notification Service
  • Matterport, Inc. (USA) — Hosting virtueller Rundgänge (nur bei gebuchtem Rundgang)
  • Domain-Registrare (z. B. nic.at) — Registrierung und Verwaltung Ihrer Domains
  • Microsoft Ireland Operations Ltd. (Microsoft 365 / Exchange Online, Microsoft Graph) — SMTP-Zustellung transaktionaler E-Mails sowie Postfächer unserer Mitarbeitenden in unserem eigenen Mandanten, deren Anbindung zur Protokollierung und der Versand von E-Mails aus der Plattform (Ziffer 5)
  • netcup GmbH (Deutschland) — eigener LiveKit-Medienserver für In-App-Anrufe und freiwillige Bildschirmfreigaben
  • HubSpot Ireland Ltd. — bisheriges CRM-System, aus dem wir unsere eigenen Daten der Kundenbetreuung übernehmen (bis zur Beendigung dieses Vertrags)
  • Steuerberatung — Rechnungsdaten im Rahmen der gesetzlichen Pflichten

Übermittlungen in Drittländer (insbesondere USA) erfolgen nur auf einer dokumentierten Grundlage nach Art. 44 ff. DSGVO, insbesondere dem EU-US Data Privacy Framework oder EU-Standardvertragsklauseln samt erforderlicher Transferprüfung.

16. Speicherdauer

  • Kundenkonto und persönliche Inhalte: bis zur angeforderten Kontolöschung; ohne Löschanforderung für die Dauer der Geschäftsbeziehung und danach bis zum Ablauf der gesetzlichen Verjährungsfristen (in der Regel drei Jahre), sofern keine Aufbewahrungspflicht entgegensteht. Bei einer Kontolöschung entfernen wir den Zugang und eigene persönliche Inhalte, insbesondere eigene Nachrichten und persönliche Inhalte unverbindlicher Anfragen und Website-Änderungswünsche. Nur konkret zugeordnete, erforderliche Vertrags- und Rechnungsbelege bleiben erhalten; eine bloße Zuordnung zu einem Kundenkonto, einer Website oder einer CRM-Zeitleiste reicht dafür nicht aus. Protokollierte E-Mail-Korrespondenz und Gesprächsprotokolle sind Geschäftsunterlagen und bleiben nach den hierfür genannten Fristen erhalten; ihrer Protokollierung können Sie widersprechen (Ziffer 5). Verträge werden durch die Kontolöschung nicht gekündigt.
  • Anfragen ohne Vertragsabschluss: ohne vorherige Löschanforderung höchstens zwölf Monate nach dem letzten Kontakt; bei einer Kontolöschung werden die eigenen persönlichen Anfrageinhalte entfernt, soweit sie nicht als konkret zugeordneter erforderlicher Vertragsbeleg aufzubewahren sind.
  • Nachrichten und Dateien: bis zur Löschung durch Sie, ohne vorherige Löschanforderung spätestens mit Ende der Geschäftsbeziehung zuzüglich der oben genannten Fristen. Bei der Kontolöschung werden eigene persönliche Inhalte entfernt; nur konkret zugeordnete erforderliche Vertrags- und Rechnungsbelege bleiben erhalten. Die gezielte Entfernung persönlicher Dateien aus dem Dateispeicher wird nach der bestätigten Kontolöschung abgearbeitet und ist mit dieser Bestätigung noch nicht vollständig abgeschlossen.
  • Inhalte aus Google-Business-Profile-Schnittstellen: höchstens 30 Kalendertage ab dem letzten erfolgreichen Abruf.
  • Google-Verbindungsdaten: verschlüsselt bis zur angeforderten Entfernung oder Konto-Löschung; ein Widerruf bei Google beendet die nutzbare Zugriffsberechtigung, löscht den gespeicherten Datensatz aber nicht automatisch.
  • Bestätigungen zum Kundenkonto: bei Ihrem eigenen Konto mit Fassung und Zeitpunkten; bei Kontolöschung werden diese persönlichen Bestätigungsnachweise entfernt. Konkret erforderliche Vertrags- und Rechnungsbelege werden nach den gesonderten Fristen behandelt.
  • Interne Inhaltsprüfungen und Meldungen: höchstens 30 Tage; ältere Fälle werden durch den stündlichen Bereinigungsauftrag entfernt. Fälle zu einem gelöschten meldenden oder betroffenen Konto werden bei dessen Kontolöschung entfernt. Aus der früheren Vorabprüfung noch gesperrte, unverknüpfte Uploads werden nach sieben Tagen zur gezielten Dateibereinigung vorgemerkt. Die physische Dateilöschung erfolgt nachgelagert; fehlgeschlagene Bereinigungen bleiben intern zur Bearbeitung sichtbar.
  • Rechnungs- und Zahlungsdaten: sieben Jahre ab Ende des Kalenderjahres (§ 132 BAO), länger nur, solange sie für ein anhängiges Abgaben- oder Gerichtsverfahren benötigt werden.
  • Protokollierte E-Mails: höchstens sieben Jahre ab Ende des Kalenderjahres des Versands bzw. Empfangs, danach automatische Löschung; nach einem Widerspruch Entfernung aus der Plattform (Ziffer 5).
  • Tonaufnahmen von Gesprächen: sofort nach erfolgreicher Transkription gelöscht; bei Aufbewahrung durch die Administration höchstens 30 Tage ab der Aufnahme; fehlgeschlagene oder nicht abgeschlossene Aufnahmen spätestens nach sieben Tagen. Transkripte und Protokolle wie Inhalte der Kundenbetreuung.
  • Frühere Fassungen bearbeiteter oder für alle gelöschter Nachrichten im Kundenchat: sieben Jahre ab Ende des Kalenderjahres der Änderung, bei Löschung Ihres Kontos zusammen mit Ihren eigenen Nachrichten; im internen Team-Chat ein Jahr. Nie gesendete Sprachaufnahmen: 24 Stunden.
  • Anmelde- und Passwortlinks: 30 Tage nach Ablauf; Angebots- und Freigabelinks: 90 Tage nach Ablauf.
  • Sicherheits- und Änderungsprotokolle: IP-Adressen 180 Tage, die Einträge selbst drei Jahre.
  • Zustellprotokolle: E-Mail-Benachrichtigungen 180 Tage, Push-Mitteilungen 90 Tage; Mitteilungen im Aktivitätsfeed nach dem Lesen 180 Tage, ungelesen ein Jahr.
  • Einwilligungen in Werbung: Nachweis für die Dauer der Einwilligung und danach drei Jahre; nicht bestätigte Anmeldungen 30 Tage nach Ablauf des Bestätigungslinks. Abmeldelinks in versendeten E-Mails funktionieren zwei Jahre; danach ist die Abmeldung im Kundenkonto oder per E-Mail möglich.
  • Stripe-Ereignismeldungen: Inhalt 30 Tage nach der Verarbeitung, Verarbeitungsvermerk 13 Monate.
  • Profilbild: bis Sie es entfernen oder Ihr Konto gelöscht wird; Kopien im Zwischenspeicher der Betrachter bis zu sieben Tage. Website-Vorschauen: gültig 14 Tage, gelöscht spätestens 30 Tage nach Ablauf. Widget-Zugangsmerkmal: höchstens 30 Tage. Verbindungsdaten interner Team-Anrufe: zwölf Monate. KI-Antwort-Zwischenspeicher: in der Regel 10 bis 15 Minuten, höchstens 24 Stunden. Ausgangsdaten der HubSpot-Übernahme: höchstens sechs Monate nach der Übernahme.
  • Server-Logs: höchstens 30 Tage.
  • Datensicherungen: Gelöschte Daten können in Sicherungen noch enthalten sein, bis diese planmäßig überschrieben werden (derzeit nach etwa drei Wochen). Sicherungen verwenden wir nur zur Wiederherstellung nach Störungen.

17. Ihre Rechte

Ihnen stehen folgende Rechte zu:

  • Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO) — direkt im Kundenportal unter „Konto → Meine Daten anfordern“
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO) — als maschinenlesbare Datei im Kundenportal
  • Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO), etwa gegen die Protokollierung Ihrer E-Mails (Ziffer 5)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an office@agentur.jetzt. Sie haben außerdem das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, www.dsb.gv.at, bzw. der für Ihren Wohnsitz zuständigen Aufsichtsbehörde.

18. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO): TLS-Verschlüsselung aller Verbindungen, AES-256-GCM-Verschlüsselung von Zugriffstokens und gespeicherten Zugangsdaten, Zwei-Faktor-Schutz und rollenbasierte Berechtigungen für Mitarbeiterkonten, strikte Trennung der Kundendaten, Protokollierung sicherheitsrelevanter Änderungen sowie regelmäßige Datensicherungen in der EU.

19. Pflicht zur Bereitstellung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die für einen Auftrag erforderlichen Angaben können wir die Leistung jedoch nicht erbringen.

20. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Freigegebene neue Fassungen, Änderungsübersichten und frühere Fassungen sind im Rechtsarchiv abrufbar. Bestehende Kunden erhalten eine E-Mail an die hinterlegte Vertragskontaktadresse und zusätzlich eine Push-Mitteilung, soweit Gerät und Mitteilungseinstellungen dies erlauben. Zustellversuche werden mit Fassung, Kanal und Ergebnis dokumentiert; eine Anbieterannahme belegt weder Empfang noch Lesen. Diese Information ist keine Werbeeinwilligung und keine Zustimmung zu neuen Vertragsbedingungen. Soweit eine zusätzliche Einwilligung erforderlich ist, wird sie gesondert und freiwillig eingeholt.