Datenschutzerklärung
Verantwortlicher: incoma matrix gmbh, Pfründeweg 4, 6837 Weiler, Österreich
Datenschutz-Kontakt: hello@buuktime.app
UID: ATU73577578 | FN: 496714m | Landesgericht Feldkirch
1. Geltungsbereich und Verantwortlichkeit
Diese Erklärung informiert über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten im Zusammenhang mit der Nutzung der cloudbasierten SaaS-Lösung Buuktime.
Die incoma matrix gmbh agiert als Verantwortlicher im Sinne der DSGVO und des DSG für die Administration der Kundenbeziehungen, den Betreiberbereich der Anwendung und den Betrieb der Website.
Soweit Buuktime personenbezogene Daten von Endnutzern im Auftrag des Kunden verarbeitet – insbesondere bei Online-Buchungen, Reservierungen und den dazugehörigen E-Mails –, handelt die incoma matrix gmbh als Auftragsverarbeiter gemäß Art. 28 DSGVO bzw. als Auftragsbearbeiter nach Art. 9 DSG. In diesem Fall verbleibt die primäre Verantwortung für die Rechtmäßigkeit der Datenverarbeitung beim jeweiligen Kunden (Betreiber).
Diese Erklärung gilt auch für Personen in Deutschland, der Schweiz und Liechtenstein. In Liechtenstein gilt die DSGVO über das Abkommen über den Europäischen Wirtschaftsraum (EWR). Soweit das Schweizer Bundesgesetz über den Datenschutz (DSG) anwendbar ist, gilt diese Erklärung zugleich als Information nach Art. 19 DSG; Begriffe der DSGVO sind dann im Sinne des DSG zu verstehen, zum Beispiel „Auftragsbearbeiter“ statt „Auftragsverarbeiter“ und „Personendaten“ statt „personenbezogene Daten“. Einen Vertreter in der Schweiz nach Art. 14 DSG haben wir nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen.
2. Kategorien verarbeiteter Daten
2.1 Vertrags- und Kundendaten
- Unternehmensstammdaten wie Name, Rechtsform, Anschrift und UID
- Kontaktdaten der Ansprechpartner wie E-Mail und Telefon
- Rechnungs- und Zahlungsdaten zur Abrechnung des Buuktime-Abonnements
- Zugangs- und Protokolldaten wie IP-Adresse und Zeitpunkte der Anmeldung
2.2 Nutzungs- und Fehlerdaten im Betreiberbereich
- Nutzungszähler: wie oft angemeldete Benutzer bestimmte Funktionen pro Tag verwenden (Funktionsname, Anzahl, Datum, Benutzer- und Organisationskennung). Inhalte wie Reservierungen oder Kundendaten werden dabei nicht erfasst. Zweck: Verbesserung des Produkts und Zuordnung von Funktionen zu Tarifen.
- Fehlerberichte: technische Angaben zu Programmfehlern (Fehlermeldung, Programmstelle, Browser, Version). Namen, E-Mail-Adressen, Telefonnummern, Kommentare und Links mit Zugangsschlüsseln werden vor dem Versand entfernt.
2.3 Endnutzerdaten (Auftragsverarbeitung)
- Kontaktdaten der Reservierenden wie Name, E-Mail und Telefon
- Details zur Buchung wie Datum, Uhrzeit, gewählte Einheit, Antworten auf Terminfragen und Sonderwünsche
- Kommunikationshistorie, insbesondere ein Protokoll versendeter Bestätigungen und Erinnerungen
2.4 Schutz der Online-Buchung
Zum Schutz vor Missbrauch und Mehrfachbuchungen werden bei Online-Buchungen kurzfristig technische Daten verarbeitet:
- Die IP-Adresse wird nicht im Klartext gespeichert, sondern nur als nicht umkehrbarer Prüfwert (Hash) für die Begrenzung von Anfragen; Löschung nach 25 Stunden.
- Kennungen zur Vermeidung doppelt abgeschickter Buchungen; Löschung nach etwa 48 Stunden.
- Ein technisches Protokoll abgewiesener Buchungsversuche ohne Kontaktdaten und ohne IP-Adresse; Löschung nach 14 Tagen.
- Die Warteschlange für Bestätigungs-E-Mails; Löschung nach 30 Tagen.
2.5 Buuky – KI-Bedienhilfe
Wenn Sie Buuky verwenden, werden Ihre Fragen, die für die Antwort benötigten Teile des Gesprächs und freigegebenes Bedienwissen an Mistral AI übermittelt. Der aktuelle Seitenbereich wird automatisch als Orientierung berücksichtigt. Namen von Standorten und Ressourcen sowie Kunden- und Reservierungsdaten werden nicht automatisch an das Sprachmodell übertragen. Bitte geben Sie keine persönlichen Gästedaten oder vertraulichen Angaben in den Chat ein.
Das Lesen einzelner gespeicherter Formularwerte und die bestätigte Änderung einer Formularüberschrift erfolgen getrennt über unsere geschützten Serverfunktionen. Die dabei gelesenen gespeicherten Formularwerte werden nicht an das Sprachmodell übermittelt. Vor einer Änderung zeigt die App eine Vorschau und verlangt Ihre Bestätigung. Zur Rechteprüfung und Nachvollziehbarkeit werden Benutzer-, Organisations-, Standort- und Ressourcenkennungen sowie der alte und neue Titel verarbeitet.
3. Rechtsgrundlagen und Zwecke
- Vertragserfüllung: Bereitstellung der SaaS-Dienste einschließlich der auf Wunsch verwendeten KI-Bedienhilfe nach Art. 6 Abs. 1 lit. b DSGVO.
- Gesetzliche Pflicht: Einhaltung steuer- und handelsrechtlicher Aufbewahrungsfristen nach Art. 6 Abs. 1 lit. c DSGVO und § 132 BAO.
- Berechtigtes Interesse: Gewährleistung von IT-Sicherheit und Systemstabilität, Missbrauchsabwehr, Fehleranalyse sowie Verbesserung des Produkts anhand der Nutzungszähler nach Art. 6 Abs. 1 lit. f DSGVO.
- Auftragsverarbeitung: Verarbeitung auf Weisung des Kunden für Endnutzerdaten nach Art. 28 DSGVO bzw. Art. 9 DSG.
Für Personen in der Schweiz gelten diese Zwecke entsprechend; wir bearbeiten Personendaten nach den Grundsätzen des DSG.
4. Speicherfristen und Anonymisierung
Personenbezogene Daten werden nur für die Dauer der Erforderlichkeit beziehungsweise gesetzlicher Fristen gespeichert.
- Kunden- und Rechnungsdaten: 7 Jahre gemäß § 132 BAO.
- Reservierungsdaten von Endnutzern: automatisierte Anonymisierung 36 Monate nach der letzten Reservierung; Reservierungsdaten mit Zahlungsbeleg werden gemäß § 132 BAO 7 Jahre aufbewahrt.
- Nicht in eine Reservierung umgewandelte Online-Anfragen: Bereinigung nach der vom Betreiber festgelegten Frist, standardmäßig 30 Tage nach Abschluss.
- Wiederherstellungsdaten nach einer Anonymisierung durch den Betreiber: Löschung nach 90 Tagen.
- Server- und Fehlerprotokolle: Löschung nach den Fristen der jeweiligen Dienstleister, höchstens nach 90 Tagen.
- Nutzungszähler: automatische Löschung nach 24 Monaten.
- Vertragsdaten von Kundenkonten: 3 Jahre nach Vertragsende gemäß § 1489 ABGB.
- Support-Kommunikation: 3 Jahre gemäß § 1489 ABGB.
- Buuky-Modellanfragen und Antworten: bei Mistral grundsätzlich 30 Tage nach der Antwort zur Missbrauchskontrolle; eine längere Aufbewahrung kann zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverteidigung erforderlich sein. Für diesen Dienst ist das Training mit Eingaben und Antworten deaktiviert. Es besteht keine Zero-Data-Retention-Freigabe.
- Buuky-Aktionsvorschauen und zugehörige Änderungsnachweise: automatische begrenzte Bereinigung nach mindestens 30 Tagen; maßgeblich ist das Alter der Vorschau und gegebenenfalls der bestätigten Änderung. Gespeicherte Einstellungen werden dadurch nicht rückgängig gemacht oder gelöscht.
5. Empfänger und Datentransfer
Wir setzen spezialisierte Dienstleister ein. Je Dienstleister nennen wir den Sitz des Unternehmens, den Ort der Verarbeitung und die Garantie für Übermittlungen außerhalb der EU und des EWR:
- Supabase, Inc.: Sitz USA. Datenbank, Anmeldung und Serverfunktionen. Ort der Verarbeitung: EU (Irland), auf Infrastruktur von Amazon Web Services. Garantie für Zugriffe aus den USA: Standardvertragsklauseln der EU-Kommission, für die Schweiz mit Schweizer Ergänzung.
- Netlify, Inc.: Sitz USA. Auslieferung der Web-Anwendung und der Buchungsseiten. Ort der Verarbeitung: USA sowie ein weltweit verteiltes Auslieferungsnetz mit Servern in vielen Ländern (Länderliste: Unterauftragsverarbeiter-Seite von Netlify, netlify.com/legal/subprocessors). Garantie: EU-US bzw. Swiss-US Data Privacy Framework, ergänzend Standardvertragsklauseln.
- Resend, Inc.: Sitz USA. Versand von E-Mails, etwa Buchungsbestätigungen und Erinnerungen; zur Zustellung werden E-Mail-Adresse, Name und Inhalt der Nachricht übermittelt. Ort der Verarbeitung: USA. Garantie: EU-US Data Privacy Framework, für Personen in der Schweiz Standardvertragsklauseln mit Schweizer Ergänzung.
- Functional Software, Inc. (Sentry): Sitz USA. Fehlerberichte aus dem Betreiberbereich sowie technische Sicherheitsberichte der Webseiten. Ort der Verarbeitung: USA. Garantie: EU-US bzw. Swiss-US Data Privacy Framework.
- Anthropic PBC: Sitz USA. Automatische Übersetzung von Texten, die Betreiber selbst verfassen, etwa Paketbeschreibungen oder E-Mail-Vorlagen; dabei werden keine Endnutzerdaten übermittelt. Ort der Verarbeitung: USA. Garantie: Standardvertragsklauseln der EU-Kommission, für die Schweiz mit Schweizer Ergänzung.
- Mistral AI: Sitz Frankreich. KI-Bedienhilfe Buuky; Übermittlung der Fragen und des benötigten Gesprächskontexts mit freigegebenem Bedienwissen. Die Modellanfragen verwenden den für EU/EFTA konfigurierten API-Zugang. Für gegebenenfalls erforderliche Drittlandübermittlungen gelten die Garantien im Auftragsverarbeitungsvertrag von Mistral, insbesondere Standardvertragsklauseln. Weitere Angaben: Datenschutzhinweise von Mistral.
- Stripe Payments Europe, Limited: Sitz Irland. Abrechnung des Buuktime-Abonnements; für Zahlungsdaten ist Stripe eigenständig Verantwortlicher. Ort der Verarbeitung: EU und USA. Garantie für Übermittlungen in die USA: die von Stripe eingesetzten Garantien (Data Privacy Framework bzw. Standardvertragsklauseln).
Werden Daten in die USA übermittelt, stützen wir uns auf das EU-US Data Privacy Framework und – für Personen in der Schweiz – auf das Swiss-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und andernfalls auf Standardvertragsklauseln der EU-Kommission, für die Schweiz mit den vom EDÖB anerkannten Anpassungen. Die Staaten der EU und des EWR gelten nach Schweizer Recht als Staaten mit angemessenem Datenschutz. Die Primärdatenspeicherung erfolgt in der EU (Irland).
6. Keine Cookies, lokale Speicherung
Buuktime setzt keine Cookies und verzichtet auf Tracking, Werbung und Analysedienste von Drittanbietern.
Buchungsseiten für Gäste: Auf den Online-Buchungsseiten wird nichts auf dem Gerät der Gäste gespeichert.
Betreiberbereich: Für Anmeldung, Sicherheit und Bedienung speichert die Anwendung Angaben im lokalen Speicher des Browsers (Local Storage und Session Storage):
- Anmeldung: Sitzungsschlüssel der Anmeldung (
sb-*-auth-token) und Kennungen zur Sitzungsverwaltung - Gerätekopplung: Kennung eines gekoppelten Arbeitsplatzgeräts
- Arbeitsplatz-Einstellungen: zum Beispiel gewählte Ansicht, Zeilenhöhe oder Filter
- Ausfallsicherung: eine Kopie der heutigen Reservierungen des gewählten Standorts für kurze Verbindungsunterbrechungen (höchstens 6 Stunden, Löschung beim Abmelden) sowie ein Entwurf einer gerade eingegebenen Reservierung bis zum Speichern
- Hilfe-Inhalte und noch nicht übertragene Nutzungszähler
Für diese technisch notwendigen Elemente ist keine Einwilligung über ein Cookie-Banner erforderlich (in Österreich nach § 165 Abs. 3 TKG 2021; für Deutschland, die Schweiz und Liechtenstein gelten entsprechende Ausnahmen für technisch notwendige Speicherung).
7. Rechte der Betroffenen
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
Anfragen zur Löschung oder Auskunft von Reservierungsdaten sind an den jeweiligen Betreiber zu richten, da dieser der primär Verantwortliche ist.
Personen in der Schweiz haben die Rechte nach dem DSG, insbesondere auf Auskunft, Herausgabe oder Übertragung ihrer Daten, Berichtigung und Löschung sowie Widerspruch gegen die Bearbeitung.
Kontakt für Datenschutzanfragen: hello@buuktime.app
8. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Staat Ihres Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: dsb@dsb.gv.at.
Für Personen in Liechtenstein: Datenschutzstelle Liechtenstein, Kirchstrasse 8, Postfach 684, 9490 Vaduz, E-Mail: info.dss@llv.li.
Für Personen in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern. An ihn können Sie sich mit einer Anzeige wenden (Art. 49 DSG).
incoma matrix gmbh
Pfründeweg 4, 6837 Weiler, Österreich
UID: ATU73577578 | FN 496714m | Landesgericht Feldkirch
E-Mail: hello@buuktime.app