Hier steht, welche personenbezogenen Daten die Conve GmbH verarbeitet, wozu sie das tut, warum sie das darf, wer die Daten erhält und wie lange sie aufbewahrt werden.
Jeder Abschnitt beantwortet dieselben fünf Fragen: Welche Daten. Wozu. Warum wir das dürfen. Wer sie bekommt. Wie lange. Die Abschnitte sind danach geordnet, was Sie am ehesten betrifft — zuerst der Besuch unserer Website und Ihre Anfrage, dann Angebot, Vertrag und Rechnung, danach das Übrige.
Wenn Sie eine Frage dazu haben, schreiben Sie uns an office@conve.eu.
Conve GmbH
Lerchenweg 33, 9400 Wolfsberg, Österreich
FN 447865a, Landesgericht Klagenfurt · UID ATU70327103
office@conve.eu · +43 664 510 75 02 · www.conve.at
Für die Conve GmbH ist kein Datenschutzbeauftragter bestellt. Wenden Sie sich mit allen Fragen zum Datenschutz bitte unmittelbar an office@conve.eu.
Diese Erklärung gilt für www.conve.at. Unsere weiteren Websites www.managementsystem.at und www.datenschutz.help haben jeweils eine eigene Datenschutzerklärung, die Sie dort abrufen.
Welche Daten. Beim Aufruf von www.conve.at entstehen Einträge in Protokolldateien: Ihre IP-Adresse, Datum und Uhrzeit des Abrufs, die aufgerufene Adresse (samt allfälliger Parameter wie Kampagnenkennungen, z. B. „utm_source“), der Statuscode, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer), Ihre Browserversion und Ihr Betriebssystem.
Wozu. Damit die Seite an Ihr Gerät ausgeliefert werden kann. Und damit wir Störungen eingrenzen und Angriffe auf unseren Server erkennen können. Außerdem werten wir die Einträge automatisiert in zusammengefasster Form aus – wie viele und welche Seiten aufgerufen werden, über welche Herkunft (Domain der verweisenden Website bzw. Kampagnenkennung), mit welcher Geräteart und wie viele Zugriffe von Bots stammen –, um zu verstehen, wie unsere Websites genutzt und gefunden werden. IP-Adresse und Browserkennung dienen dabei nur im Arbeitsspeicher dazu, eindeutige Besucher zu zählen; gespeichert werden ausschließlich Tagessummen ohne Personenbezug.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse daran haben — nämlich unsere Website erreichbar und gegen Missbrauch geschützt zu halten und ihre Nutzung in zusammengefasster Form auszuwerten (Art 6 Abs 1 lit f DSGVO). Ohne diese Einträge ließe sich weder ein Ausfall eingrenzen noch ein Angriff bemerken.
Wer sie bekommt. Der Betreiber des Servers, auf dem die Website läuft: die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland — der Server steht in Deutschland, also innerhalb der Europäischen Union. Er ist ein Dienstleister, der in unserem Auftrag und nach unseren Weisungen arbeitet und vertraglich zur Vertraulichkeit verpflichtet ist.
Wie lange. Nach 14 Tagen werden die Einträge gelöscht oder so gekürzt, dass sie keiner Person mehr zuzuordnen sind. Die zusammengefassten Tagessummen ohne Personenbezug bewahren wir bis zu drei Jahre auf.
www.conve.at setzt keine Cookies und verwendet keine Dienste Dritter zur Reichweitenmessung; wie oft unsere Seiten aufgerufen werden, ermitteln wir ausschließlich aus den eigenen Protokolldateien (siehe oben). Der Chat mit Sally merkt sich den Gesprächsverlauf für die Dauer Ihres Besuchs im sogenannten sessionStorage Ihres Browsers; diese lokale Speicherung wird beim Schließen des Tabs gelöscht. Nutzen Sie den Chat aktiv, wird Ihre Eingabe samt bisherigem Gesprächsverlauf an das Sprachmodell übermittelt — Näheres dazu in Abschnitt 3.
Auf unserer Website können Sie mit „Sally" schreiben. Sally beruht auf einem Sprachmodell.
Welche Daten. Was Sie in das Chatfenster eingeben, und die Antwort darauf. Übermittelt wird erst, wenn Sie den Chat aktiv benutzen — allein durch das Aufrufen der Seite geht nichts hinaus. Was Sie hineinschreiben, entscheiden Sie. Bitte geben Sie dort keine Gesundheitsdaten, keine Zugangsdaten und keine Angaben über andere Personen ein; für Ihr Anliegen ist das nicht nötig.
Wozu. Um Ihre Frage zu beantworten.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse daran haben — nämlich Anfragen auf unserer Website rasch zu beantworten, ohne dass Sie auf eine Rückmeldung warten müssen (Art 6 Abs 1 lit f DSGVO).
Wer sie bekommt. Ihre Eingabe geht an einen Anbieter für Sprachmodelle. Sie erreicht ihn nicht unmittelbar aus Ihrem Browser, sondern über unseren eigenen Server; Ihre IP-Adresse wird dabei nicht weitergegeben. Zum Einsatz kommt entweder Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, mit Verarbeitung innerhalb der Europäischen Union, oder Anthropic PBC, 500 Howard Street, San Francisco, Kalifornien, USA. Beide sind Dienstleister, die in unserem Auftrag und nach unseren Weisungen arbeiten und vertraglich zur Vertraulichkeit verpflichtet sind; sie dürfen Ihre Eingaben nicht für eigene Zwecke verwenden, insbesondere nicht, um ihre Modelle zu trainieren. Geht Ihre Eingabe an Anthropic, verlässt sie die Europäische Union — dazu Abschnitt 16.
Wie lange. Der Gesprächsverlauf bleibt in Ihrem Browser: Er liegt dort im sogenannten sessionStorage und ist gelöscht, sobald Sie den Browser-Tab schließen. Ihre Eingaben laufen zwar über unseren Server zum Sprachmodell (siehe oben), gespeichert wird der Verlauf dort dabei aber nicht. Bei den Anbietern gilt: Anthropic löscht Ihre Ein- und Ausgaben spätestens 30 Tage nach der Verarbeitung; Mistral bewahrt sie nach der Verarbeitung bis zu 30 Tage zur Missbrauchsüberwachung auf und löscht sie dann.
Nur wenn Sie über den Chat eine konkrete Anfrage an uns senden, erhalten wir den Gesprächsverlauf: Er wird dann Ihrer Anfrage beigefügt, damit wir Ihr Anliegen im Zusammenhang verstehen. Wir speichern ihn für die Dauer der Beantwortung Ihrer Anfrage und löschen ihn danach; Ihre Anfrage selbst bewahren wir nach Abschnitt 4 auf. Das dürfen wir, weil der Verlauf damit zu der Vertragsanbahnung gehört, die Sie mit Ihrer Anfrage selbst angestoßen haben (Art 6 Abs 1 lit b DSGVO). Wird aus Ihrer Anfrage ein Auftrag, gehört der Verlauf zur Kommunikation über diesen Auftrag; dann gelten die Fristen für die Kundenkommunikation aus Abschnitt 8.
Sie müssen Sally nicht benutzen. Schreiben Sie uns stattdessen an office@conve.eu oder rufen Sie an. Ein Nachteil entsteht Ihnen daraus nicht. Sie können dieser Verarbeitung auch widersprechen — dazu Abschnitt 21.
Welche Daten. Ihren Namen, Ihre Kontaktdaten und alles, was Sie uns in Ihrer Anfrage mitteilen — gleich ob über ein Formular, per E-Mail, telefonisch, im Chat oder persönlich.
Wozu. Um Ihre Anfrage zu bearbeiten, Ihnen zu antworten und, wenn daraus ein Auftrag wird, ihn vorzubereiten.
Warum wir das dürfen. Weil wir Ihre Angaben brauchen, um auf Ihren Wunsch hin tätig zu werden und einen Vertrag mit Ihnen vorzubereiten oder zu schließen (Art 6 Abs 1 lit b DSGVO). Führt die Anfrage zu keinem Auftrag, stützen wir uns darauf, dass wir ein berechtigtes Interesse haben — nämlich eine an uns gerichtete Anfrage überhaupt zu beantworten und den Vorgang eine Zeit lang nachvollziehen zu können (Art 6 Abs 1 lit f DSGVO).
Wer sie bekommt. Im Regelfall niemand außerhalb unseres Hauses. Ergibt sich aus der Sache ein Bedarf, geben wir Ihre Angaben weiter an: öffentliche Einrichtungen und Behörden, soweit wir dazu verpflichtet sind, unsere Rechtsvertretung, unseren Wirtschaftstreuhänder sowie Geschäftspartner, die wir zur Erledigung Ihres Anliegens beiziehen. Weitergegeben wird nur, was der jeweilige Empfänger für seine Aufgabe braucht. Dazu kommen die Dienstleister aus Abschnitt 15.
Wie lange. Bis zu sechs Monate nach der letzten Nachricht zu dieser Anfrage, wenn daraus nichts weiter wird. Erteilen Sie uns einen Auftrag, gelten die Fristen aus Abschnitt 8.
Sally kann Ihnen freie Termine für ein kostenloses Erstgespräch anzeigen. Das Gespräch findet als Online-Besprechung über Microsoft Teams statt; die angezeigten Zeiten kommen aus unserem eigenen Kalender.
Welche Daten. Ihren Namen, Ihre E-Mail-Adresse und Ihre Telefonnummer — die brauchen wir, um den Termin zuzuordnen, Ihnen die Einladung zu schicken und Sie bei Rückfragen oder einer Verschiebung erreichen zu können. Freiwillig: Ihr Unternehmen und ein Satz zu Ihrem Anliegen. Dazu kommt der Zeitpunkt, den Sie gewählt haben.
Wozu. Um den Termin in unserem Kalender anzulegen, Ihnen die Bestätigung samt Zugangslink zu schicken und das Gespräch vorzubereiten.
Warum wir das dürfen. Weil Sie den Termin selbst anfragen und wir dadurch auf Ihren Wunsch hin tätig werden (Art 6 Abs 1 lit b DSGVO).
Wer sie bekommt. Die Buchung läuft über Microsoft Bookings und Microsoft Teams, also über unser Microsoft 365 (Abschnitt 13); die Terminbestätigung an Sie verschickt Microsoft in unserem Auftrag. Ihre Angaben erreichen Microsoft nicht unmittelbar aus Ihrem Browser, sondern über unseren eigenen Server. Die Buchung legen wir außerdem als Vorgang in unserem Managementwerkzeug ab (Abschnitt 8) und erhalten darüber eine interne Benachrichtigung per E-Mail, damit kein Termin untergeht.
Wie lange. Der Termin bleibt in unserem Kalender (Abschnitt 13). Ihre Angaben dazu behandeln wir wie eine Anfrage: bis zu sechs Monate nach dem Gespräch, wenn daraus nichts weiter wird (Abschnitt 4). Wird daraus ein Auftrag, gelten die Fristen aus Abschnitt 8.
Sie müssen nicht online buchen. Rufen Sie stattdessen an (+43 664 510 75 02) oder schreiben Sie an office@conve.eu. Ein Nachteil entsteht Ihnen daraus nicht.
Auf der Seite Datenschutz-Check können Sie die Adresse einer Website eingeben. Wir rufen diese Seite samt der dort verlinkten Datenschutzerklärung ab — ausschließlich öffentlich zugängliche Inhalte — und werten sie automatisiert aus. Auf Wunsch schicken wir Ihnen den vollständigen Bericht per E-Mail.
IT-Sicherheits-Basischeck. Zusätzlich prüfen wir die von außen sichtbare technische Basis der Datensicherheit (Art 32 DSGVO). Dafür werten wir ausschließlich öffentlich sichtbare technische Merkmale der geprüften Website und ihrer Domain aus: den Quelltext der Startseite (unter anderem erkennbare Software-Versionen und Erweiterungen, Formularziele, eingebundene Inhalte), die Antwort-Header und Cookie-Einstellungen der Website, die Weiterleitung von http auf https, TLS-Verbindungsdaten (unter anderem unterstützte TLS-Versionen und Zertifikat), öffentliche DNS-Einträge der Domain (SPF, DMARC, DKIM, MX, CAA, DNSSEC, MTA-STS, TLS-RPT), die standardisierten öffentlichen Dateien security.txt und MTA-STS-Richtlinie sowie das Verhalten des zuständigen Mailservers beim Verbindungsaufbau (Begrüßung und Angebot verschlüsselter Übertragung per STARTTLS — dabei wird keine E-Mail versendet). Ob eine erkannte WordPress-Version, erkannte WordPress-Erweiterungen und ein erkanntes Theme aktuell sind, gleichen wir über die öffentliche Schnittstelle von wordpress.org ab; abgefragt werden dabei nur die aktuelle WordPress-Version und die Namen der Erweiterungen bzw. des Themes — nicht die Adresse der geprüften Website und keine Daten aus Ihrer Nutzung dieser Seite. Die Prüfung ist passiv: keine Angriffe, keine Login-Versuche und — außer den genannten standardisierten Dateien — kein Abruf nicht verlinkter Dateien. Dieser Teil wird nach festen Regeln ohne Sprachmodell bewertet; seine Messwerte gehen nicht an Anthropic. Für Rechtsgrundlage, Zwischenspeicherung, interne Benachrichtigung und Löschung gilt dasselbe wie für die Prüfung selbst (siehe unten). Das Ergebnis ist eine automatisierte Momentaufnahme und kein Penetrationstest.
Welche Daten. Die Adresse, die Sie eingeben, und die Inhalte, die wir von dort abrufen. Diese Inhalte können personenbezogene Daten enthalten, die auf der geprüften Website veröffentlicht sind — etwa Angaben aus Impressum und Kontaktseite. Fordern Sie den Bericht an, kommen Ihr Name, Ihr Unternehmen, Ihre E-Mail-Adresse und Ihre Telefonnummer dazu.
Wozu. Um die Prüfung durchzuführen und Ihnen das Ergebnis anzuzeigen, um Ihnen den Bericht zuzustellen und eine von Ihnen gewünschte Ergebnisbesprechung abzustimmen. Über jede durchgeführte Prüfung erhalten wir zusätzlich eine interne Benachrichtigung mit der geprüften Adresse, dem zusammengefassten Ergebnis und dem Zeitpunkt — ohne weitere Daten aus Ihrer Nutzung dieser Seite, also ohne Ihre IP-Adresse und ohne Kontaktdaten. Prüfen Sie Ihre eigene Website, kann die Adresse allerdings Rückschlüsse auf Sie oder Ihr Unternehmen zulassen.
Warum wir das dürfen. Für die Prüfung selbst und für den Bericht: weil Sie beides selbst anstoßen und wir damit auf Ihren Wunsch hin tätig werden (Art 6 Abs 1 lit b DSGVO). Für die interne Benachrichtigung über durchgeführte Prüfungen: weil wir ein berechtigtes Interesse daran haben, dieses Angebot zu betreiben, seine Qualität zu sichern, Missbrauch zu vermeiden und zu beobachten, wie stark es nachgefragt wird (Art 6 Abs 1 lit f DSGVO) — dazu Abschnitt 21.
Wer sie bekommt. Die automatisierte Auswertung erledigt ein Sprachmodell von Anthropic PBC, 500 Howard Street, San Francisco, Kalifornien, USA. Anthropic arbeitet in unserem Auftrag und nach unseren Weisungen, ist zur Vertraulichkeit verpflichtet und darf die Inhalte nicht für eigene Zwecke verwenden, insbesondere nicht, um Modelle zu trainieren. Übermittelt werden nur die abgerufenen, öffentlich zugänglichen Inhalte und die technischen Befunde — nicht Ihre IP-Adresse und nicht Ihre Kontaktdaten. Dabei verlassen Daten die Europäische Union; dazu Abschnitt 16. Fordern Sie den Bericht an, geht er über unser Microsoft 365 an Sie hinaus (Abschnitt 13), und wir legen Ihre Anfrage als Vorgang in unserem Managementwerkzeug ab (Abschnitt 8).
Wie lange. Das vollständige Prüfergebnis speichern wir nicht dauerhaft: Wir halten es höchstens eine Stunde technisch vor, damit wir Ihnen auf Wunsch den Bericht zustellen können, danach ist es weg. Die interne Benachrichtigung über die Prüfung löschen wir spätestens nach sechs Monaten. Für Ihre Kontaktdaten aus der Berichtsanforderung gelten die Fristen aus Abschnitt 4. Haben Sie dabei das Häkchen für Praxistipps gesetzt, gilt dafür Abschnitt 6.
Bitte prüfen Sie nur Websites, für die Sie verantwortlich sind oder in deren Auftrag Sie handeln. Betrifft die geprüfte Website einen Dritten, beziehen sich Adresse und Ergebnis auf dessen öffentlich zugängliche Inhalte; die Information darüber erfolgt durch diese Datenschutzerklärung (Art 14 Abs 5 lit b DSGVO). Der Check ist eine automatisierte Ersteinschätzung und keine Rechtsberatung; er sieht nur, was von außen sichtbar ist.
Welche Daten. Die Stammdaten Ihres Unternehmens — Firmenwortlaut, Anschrift, Rechtsform, Firmenbuchnummer und UID. Dazu Name, Funktion, E-Mail-Adresse und Telefonnummer Ihrer Ansprechpersonen sowie den Verlauf unserer Zusammenarbeit: welche Leistungen Sie bezogen haben, welche Anfragen es gab und wer bei Ihnen wofür zuständig ist.
Wozu. Damit wir Sie ordentlich betreuen, Ihre Anliegen im Zusammenhang sehen und Sie bei einer erneuten Buchung nicht nach Dingen fragen müssen, die wir schon wissen. Und damit wir Sie über eigene Leistungen informieren können, die denen ähneln, die Sie bereits bezogen haben.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse daran haben — nämlich unsere Kundinnen und Kunden weiter zu betreuen und ihnen Leistungen anzubieten, die zu den bereits bezogenen passen (Art 6 Abs 1 lit f DSGVO). Wir werben auf diesem Weg nur in eigener Sache. Für Werbung per E-Mail gilt zusätzlich, was in Abschnitt 6 steht.
Wer sie bekommt. Niemand außerhalb der Conve GmbH, abgesehen von den Dienstleistern aus Abschnitt 15. Wir verkaufen keine Daten und geben sie nicht für fremde Werbung weiter.
Wie lange. Bis zum Ablauf des dritten Jahres nach dem letzten Kundenkontakt. Danach löschen wir die Daten, soweit ihnen keine Aufbewahrungspflicht entgegensteht und wir sie nicht mehr brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren. Für Unterlagen mit längerer Aufbewahrungspflicht — vor allem Verträge und Rechnungen — gelten die Fristen aus Abschnitt 8.
Ihr Widerspruch. Gegen die Verwendung Ihrer Daten für Werbung können Sie jederzeit und ohne Begründung widersprechen, formlos an office@conve.eu. Danach verwenden wir sie dafür nicht mehr. Die Angaben, die wir zur Erfüllung unserer Verträge und unserer gesetzlichen Pflichten brauchen, bleiben davon unberührt.
Wir stellen unsere Leistungen gelegentlich mit einem adressierten Brief vor – per Post, nicht per E-Mail, weil Werbe-E-Mails ohne Einwilligung unzulässig wären (§ 174 TKG 2021).
Welche Daten. Den Firmenwortlaut und die Geschäftsanschrift Ihres Unternehmens bzw. Ihrer Ordination, gegebenenfalls Ihren Namen, Ihren Titel und die Anrede (Frau/Herr), bei Ordinationen die Fachrichtung, die Adresse Ihrer Website und öffentlich sichtbare technische Merkmale ihrer Startseite (ob sie erreichbar ist und welche Dienste fremder Anbieter sie beim Aufruf lädt – danach wählen wir die Fassung des Briefs; manche Briefe nennen diese Merkmale) sowie, aus welcher Quelle die Angaben stammen.
Woher. Aus öffentlich zugänglichen Verzeichnissen (etwa dem Ärzteverzeichnis der Ärztekammer), von Adressverlagen bzw. dem Adressenservice der Wirtschaftskammer, die Adressen ausdrücklich für Werbezwecke bereitstellen, oder von der Website Ihres Unternehmens. Aus welcher Art von Quelle Ihre Angaben stammen, steht im jeweiligen Brief; die genaue Quelle nennen wir Ihnen auf Anfrage jederzeit (Art 15 DSGVO).
Wozu. Um Ihnen unsere Leistungen per Post vorzustellen – mit einem Brief und höchstens einem Nachfassbrief – und, falls Sie keine Post mehr wünschen, sicherzustellen, dass Sie keine weitere bekommen.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse daran haben, Unternehmen über unsere Leistungen zu informieren (Art 6 Abs 1 lit f DSGVO; Direktwerbung ist nach Erwägungsgrund 47 ein solches Interesse). Beziehen wir Adressen von einem Adressverlag oder dem Adressenservice der Wirtschaftskammer, gleicht dieser sie mit der Robinsonliste ab (§ 151 Abs 9 GewO); im Übrigen führen wir eine eigene Sperrliste für alle, die keine Post von uns möchten.
Wer sie bekommt. Für Druck und Versand die Pingen GmbH, Badenerstrasse 47, 8004 Zürich, Schweiz, als unser Auftragsverarbeiter; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art 45 DSGVO). Die persönlichen Codes und ihre Zuordnung zu Ihrem Brief liegen auf unserem Server bei der netcup GmbH in Deutschland (Abschnitt 15). Interne Benachrichtigungen über die Nutzung des persönlichen Links erreichen uns über Microsoft 365 (Abschnitt 13; zu möglichen Übermittlungen in die USA Abschnitt 16). Sonst niemand.
Wie lange. Die Versanddaten bewahren wir zwölf Monate nach dem Versand auf – bei Adressen von Adressverlagen kürzer, wenn deren Bedingungen das vorsehen –, damit wir Ihnen nicht versehentlich denselben Brief erneut schicken und Rückfragen beantworten können; danach löschen wir sie. Melden Sie sich ab, halten wir Firmenwortlaut und Postleitzahl in einer Sperrliste fest – ausschließlich, damit Sie keine weitere Post von uns erhalten. Dieser Eintrag bleibt bestehen, solange wir Briefe versenden.
Persönlicher Link. Jeder Brief enthält einen persönlichen Link bzw. QR-Code zu unserem kostenlosen Datenschutz-Check (datenschutz.help/b/…). Rufen Sie ihn auf, ordnen wir den Aufruf und – falls Sie den Check nutzen, den Bericht anfordern oder einen Termin buchen – auch diese Schritte Ihrem Brief zu, um den Erfolg unserer Briefe zu messen, verschiedene Fassungen eines Briefs miteinander zu vergleichen und gegebenenfalls einen Nachfassbrief zu schicken (Art 6 Abs 1 lit f DSGVO); über einen Aufruf werden wir intern per E-Mail benachrichtigt. Zu jedem Schritt speichern wir nur Code, Art und Zeitpunkt – keine IP-Adresse, keine Cookies. Die Zuordnung der Codes, diese Schritte und die Benachrichtigungen löschen wir zwölf Monate nach dem Versand. Wer anonym bleiben möchte, ruft datenschutz.help einfach ohne den persönlichen Link auf.
Ihr Widerspruch. Sie können dieser Verwendung jederzeit und ohne Begründung widersprechen, formlos an office@conve.eu oder an die im Brief genannte Adresse. Danach schreiben wir Sie nicht mehr an.
Welche Daten. Ihre E-Mail-Adresse, Ihren Namen, sofern angegeben Ihr Unternehmen, und den Zeitpunkt, zu dem Sie sich eingetragen haben.
Wozu. Um Ihnen Neuigkeiten und Informationen zu unseren Leistungen als Newsletter zu senden.
Warum wir das dürfen. Weil Sie uns Ihre Einwilligung dazu erteilt haben (Art 6 Abs 1 lit a DSGVO).
Sie können jederzeit aufhören. In jeder Aussendung steht am Ende ein Abmeldelink; ein Klick genügt. Sie können sich auch formlos an office@conve.eu wenden. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Dass die Aussendungen bis dahin rechtmäßig waren, bleibt davon unberührt. Ein Nachteil entsteht Ihnen aus dem Widerruf nicht.
Wer sie bekommt. Derzeit niemand außerhalb unseres Hauses: Wir versenden die Aussendungen über unsere eigenen E-Mail-Systeme (Abschnitte 13 und 15); ein externer Versanddienst ist nicht im Einsatz. Sollten wir künftig einen Versanddienstleister beauftragen, nennen wir ihn an dieser Stelle.
Wie lange. Bis zu Ihrem Widerruf, längstens bis zum Ablauf des dritten Jahres nach der letzten Aussendung an Sie. Melden Sie sich ab, halten wir Ihre Adresse in einer Sperrliste fest, damit Sie nicht versehentlich erneut angeschrieben werden. Dieser Eintrag dient allein diesem Zweck und bleibt bestehen, solange wir Aussendungen versenden.
Welche Daten. Name und Kontaktdaten der Teilnehmerinnen und Teilnehmer, die gebuchte Beratung, das gebuchte Seminar oder die gebuchte Fortbildung, die Rechnungs- und Zahlungsangaben und — sofern ausgestellt — die Teilnahmebestätigung.
Wozu. Um die Veranstaltung zu organisieren, den Platz zu vergeben, die Leistung zu erbringen, abzurechnen und Ihre Teilnahme zu bestätigen.
Warum wir das dürfen. Weil wir diese Angaben brauchen, um Ihren Vertrag zu schließen und zu erfüllen (Art 6 Abs 1 lit b DSGVO). Ohne sie können Sie unsere Leistung leider nicht in Anspruch nehmen. Für die Rechnung und ihre Aufbewahrung stützen wir uns darauf, dass uns das Handels- und Abgabenrecht zur Aufzeichnung und Aufbewahrung verpflichtet (Art 6 Abs 1 lit c DSGVO).
Wer sie bekommt. Im Regelfall niemand außerhalb unseres Hauses. Ziehen wir für eine Veranstaltung Vortragende, externe Veranstaltungsorte oder Kooperationspartner bei, erhalten diese Teilnehmerdaten jeweils nur, soweit sie die Angaben für die Durchführung benötigen. Dazu unser Wirtschaftstreuhänder für die Belege und die Dienstleister aus Abschnitt 15.
Wie lange. Bis der Vertrag erfüllt und eine allfällige Rechtsstreitigkeit beigelegt ist. Darüber hinaus so lange, wie wir die Angaben brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren, und so lange, wie handels- und abgabenrechtliche Aufbewahrungspflichten es verlangen — für Belege sieben Jahre.
Die Conve GmbH übernimmt für ihre Kunden Funktionen als externe Beauftragte — etwa als externer Datenschutzbeauftragter, als Informationssicherheitsbeauftragter oder als Compliance-Beauftragter. In diesen Funktionen beraten wir, führen Prüfungen durch und sind Anlaufstelle. Dabei verarbeiten wir zwangsläufig auch personenbezogene Daten aus der Sphäre unserer Kunden — etwa von deren Beschäftigten oder Kundinnen und Kunden. Dieser Abschnitt beschreibt, wie wir damit umgehen. (Für uns selbst haben wir keinen Datenschutzbeauftragten bestellt — siehe Abschnitt 1; hier geht es um die Funktionen, die wir für andere übernehmen.)
In dieser Tätigkeit sind wir Verantwortlicher im Sinn der DSGVO — nicht Auftragsverarbeiter. Diese Funktionen sind auf unabhängige Prüfung und Beratung angelegt; für den Datenschutzbeauftragten schreibt das Gesetz die Weisungsfreiheit sogar ausdrücklich vor (Art 38 Abs 3 DSGVO). Wer weisungsfrei arbeitet, verarbeitet aber nicht „im Auftrag" — eine Auftragsverarbeitung scheidet damit aus. Über Zwecke und Mittel unserer Akten- und Kommunikationsführung in diesen Mandaten entscheiden wir selbst und stehen dafür gerade.
Welche Daten. Name, Funktion und Kontaktdaten der Personen, mit denen wir im Mandat zu tun haben; Inhalte von Anfragen und Meldungen, die an uns herangetragen werden; Unterlagen unseres Kunden, die wir für Beratung oder Prüfung erhalten, soweit darin Personen genannt sind.
Wozu. Um die jeweils übernommene Funktion auszuüben: zu beraten, Prüfungen durchzuführen, Anliegen entgegenzunehmen und zu beantworten und — wo das Gesetz es vorsieht — Anlaufstelle für betroffene Personen und für Behörden zu sein.
Warum wir das dürfen. Gegenüber unserem Kunden: weil wir unseren Vertrag mit ihm erfüllen (Art 6 Abs 1 lit b DSGVO). Für die Daten von Personen aus seiner Sphäre — etwa Beschäftigte oder Kundinnen und Kunden —: weil wir ein berechtigtes Interesse daran haben, die übernommene Funktion ordnungsgemäß und nachvollziehbar auszuüben (Art 6 Abs 1 lit f DSGVO); ohne diese Angaben ließe sich kein Anliegen beantworten und keine Prüfung belegen. Wenden sich betroffene Personen an uns als Datenschutzbeauftragten eines Kunden, bildet zusätzlich die DSGVO selbst den rechtlichen Rahmen: Sie sieht den Datenschutzbeauftragten ausdrücklich als Anlaufstelle vor (Art 38 und 39 DSGVO).
Wer sie bekommt. Grundsätzlich niemand außerhalb unseres Hauses, abgesehen von den Dienstleistern aus Abschnitt 15. An unseren Kunden berichten wir, soweit die Funktion es erfordert. Als Datenschutzbeauftragte sind wir dabei über die Identität betroffener Personen, die sich an uns wenden, und über Umstände, die Rückschlüsse auf sie zulassen, zur Verschwiegenheit verpflichtet (§ 5 Abs 1 DSG). An Behörden geben wir Daten weiter, soweit die Funktion es vorsieht oder wir dazu verpflichtet sind.
Wie lange. Für die Dauer des jeweiligen Mandats. Danach bewahren wir die Unterlagen so lange auf, wie gesetzliche Aufbewahrungspflichten es verlangen und wie wir sie brauchen, um Rechtsansprüche innerhalb der gesetzlichen Verjährungsfristen geltend zu machen oder abzuwehren. Dann löschen wir sie.
Sind wir Datenschutzbeauftragter eines Unternehmens und wenden Sie sich mit einem Anliegen zu diesem Unternehmen an uns, bleibt für die Verarbeitung Ihrer Daten dort dieses Unternehmen verantwortlich. Ihre Rechte wegen dieser Verarbeitung — etwa Auskunft oder Löschung — richten Sie an das Unternehmen selbst; wir nehmen Ihr Anliegen als Anlaufstelle entgegen und begleiten es. Was dieser Abschnitt beschreibt, ist allein unser eigener Anteil daran: die Akten und der Schriftverkehr, die dabei bei uns entstehen. Für diese eigenen Unterlagen sind wir Verantwortlicher, und insoweit stehen Ihnen Ihre Rechte aus den Abschnitten 20 bis 22 auch uns gegenüber zu.
Die Conve GmbH führt ihre Kundenbeziehungen in einem eigenen Managementwerkzeug. Darin entstehen Angebote, Verträge, Leistungsaufzeichnungen, Rechnungen, Vorgänge und die Kundenakte. Dieses Werkzeug läuft auf unserem eigenen Server. Die Daten verlassen ihn nur auf den Wegen, die in dieser Erklärung ausdrücklich beschrieben sind.
Welche Daten. Die Stammdaten Ihres Unternehmens und die Ihrer Ansprechpersonen; Angebote und deren Annahme; Verträge und ihre Laufzeiten; erfasste Leistungen mit Datum, Dauer und Beschreibung; Rechnungen samt Positionen und Zahlungen; Vorgänge, Tickets und Projekte mit dem zugehörigen Schriftverkehr; abgelegte Dokumente.
Wozu. Um Ihnen ein Angebot zu legen, unsere Verträge mit Ihnen zu erfüllen, unsere Leistungen abzurechnen, Anfragen zu einem laufenden Vorgang zu bearbeiten und unsere Aufzeichnungspflichten zu erfüllen.
Warum wir das dürfen. Weil wir diese Angaben brauchen, um Ihren Vertrag zu schließen und zu erfüllen (Art 6 Abs 1 lit b DSGVO). Für Rechnungen, Belege und Buchhaltung stützen wir uns zusätzlich darauf, dass uns das Handels- und Abgabenrecht zur Aufzeichnung und Aufbewahrung verpflichtet (Art 6 Abs 1 lit c DSGVO). Für Ansprechpersonen, die nicht selbst unsere Vertragspartei sind, stützen wir uns darauf, dass wir ein berechtigtes Interesse haben — nämlich zu wissen, wer für unseren Vertragspartner handelt und mit wem wir eine Sache besprochen haben (Art 6 Abs 1 lit f DSGVO).
Wer sie bekommt. Die Dienstleister aus Abschnitt 15. Für die Buchhaltung zusätzlich unser Wirtschaftstreuhänder; wenn wir Ansprüche durchsetzen oder abwehren müssen, unsere Rechtsvertretung sowie die zuständigen Gerichte und Behörden.
Wie lange.
Sind diese Fristen abgelaufen und ist kein Verfahren anhängig, brauchen wir die Angaben nicht mehr und löschen sie. Damit Sie wissen, wie das geschieht: Es gibt dafür keinen automatischen Löschlauf im System. Die Löschung erfolgt nach Prüfung des einzelnen Falls. Wenden Sie sich an office@conve.eu, wenn Sie eine Löschung früher wünschen — wir prüfen dann, ob ihr noch eine Aufbewahrungspflicht entgegensteht oder ob wir die Angaben noch brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren.
Unser System führt über jede Änderung ein Protokoll: wer wann was geändert hat. Diese Einträge sind technisch unveränderlich — die Datenbank weist jede Änderung und jede Löschung an dieser Stelle ab. Sie werden daher nicht anlassbezogen gelöscht.
Das ist Absicht und keine Nachlässigkeit. Auf diesem Protokoll beruht die Nachvollziehbarkeit unseres gesamten Systems. Ohne es ließe sich später nicht mehr belegen, dass eine Rechnung so und nicht anders gestellt oder eine Erklärung so und nicht anders abgegeben wurde. Wir dürfen diese Einträge behalten, weil wir sie brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren.
Was das für Ihr Recht auf Löschung bedeutet, steht ausführlich in Abschnitt 10 am Beispiel der Unterzeichnung mit der ID Austria. Dasselbe gilt für die übrigen Einträge.
Kundinnen und Kunden der Conve GmbH können ihre Angebote, Rechnungen und Dokumente in einem Portal einsehen.
Welche Daten. Ihren Namen und die E-Mail-Adresse Ihres Zugangs; Ihr Kennwort in verschlüsselter Form; die Zeitpunkte Ihrer Anmeldungen und die technischen Angaben dazu. Wenn Sie es wünschen, zusätzlich einen zweiten Faktor — im Portal ist er freiwillig, und wir empfehlen ihn. Dazu die Angebote, Rechnungen und Dokumente Ihrer Organisation, die wir für Sie freigegeben haben.
Wozu. Damit Sie Ihre Unterlagen jederzeit selbst einsehen können, wir sie Ihnen nicht per E-Mail nachsenden müssen und nur der jeweils berechtigte Zugang sie zu sehen bekommt.
Warum wir das dürfen. Weil wir das Portal brauchen, um Ihnen die Unterlagen zu Ihrem Vertrag bereitzustellen (Art 6 Abs 1 lit b DSGVO), und weil wir ein berechtigtes Interesse daran haben, den Zugang gegen unbefugte Nutzung zu sichern und im Zweifel nachvollziehen zu können, wer sich angemeldet hat (Art 6 Abs 1 lit f DSGVO).
Wer sie bekommt. Ein Portalkonto sieht nur die eigene Organisation. Nach außen geht nichts, das über die Dienstleister aus Abschnitt 15 hinausgeht. Sie können sich auch über einen Link anmelden, den wir Ihnen per E-Mail senden; er ist zehn Minuten gültig und lässt sich nur einmal verwenden. Der Versand dieser E-Mail läuft über Microsoft 365 (Abschnitt 13).
Wie lange. Zugang und Anmeldedaten bewahren wir auf, solange Ihr Zugang besteht. Wird er nicht mehr gebraucht, schalten wir ihn ab: spätestens zum Ablauf des dritten Jahres nach dem letzten Kundenkontakt, gemeinsam mit der Kundendatenbank (Abschnitt 5). Für die Unterlagen im Portal gelten die Fristen aus Abschnitt 8.
Wer ein Angebot der Conve GmbH annimmt, kann sich dabei mit seiner ID Austria ausweisen. Diese Unterzeichnung tritt an die Stelle der Unterschrift auf Papier: Sie hält fest, wer wann welches Angebot angenommen hat.
Dieser Abschnitt beschreibt ausschließlich diese Verarbeitung. Die allgemeinen Angaben zu unserem Unternehmen und zu Ihren Rechten stehen in den Abschnitten 1, 20 und 21. Hier wiederholen wir sie nur, soweit für diesen Vorgang etwas Besonderes gilt.
Brechen Sie zwischendurch ab, entsteht keine Unterschrift. Der begonnene Vorgang verfällt nach 15 Minuten. Bis dahin enthält er die technischen Werte des Anmeldevorgangs, die Prüfsumme des Angebots und die Kennung des Zugangs, über den er begonnen wurde — Merkmale aus der ID Austria enthält er noch nicht.
Aus der Antwort der ID Austria übernehmen wir:
Aus dem Vorgang selbst speichern wir dazu:
Auf der unterzeichneten Fassung des Angebots, die Sie und wir erhalten, stehen Vorname, Familienname, der Vermerk „unterzeichnet mit ID Austria", das Datum und die Prüfsumme. Geburtsdatum und Personenkennzeichen stehen nicht darauf. Das Personenkennzeichen wird in keiner Maske und in keinem Dokument angezeigt.
Diese Merkmale stammen weder von uns noch aus einer fremden Datenbank, sondern von der ID Austria — und zwar erst, nachdem Sie sich dort selbst angemeldet und die Übermittlung an uns in Ihrer ID-Austria-App freigegeben haben. Ohne diesen Schritt erhalten wir keine Angaben über Sie.
Zu einem einzigen Zweck: nachzuweisen, wer wann welches Angebot angenommen hat.
Zu keinem anderen Zweck. Wir werten diese Daten nicht aus, verknüpfen sie nicht mit anderen Beständen und verwenden sie nicht für Werbung.
Das hängt davon ab, für wen Sie unterzeichnen.
Fall 1 — Sie sind selbst Vertragspartei, etwa als Einzelunternehmen oder als Inhaberin oder Inhaber einer freiberuflichen Ordination. Dann dürfen wir das, weil wir diese Angaben brauchen, um Ihren Vertrag zu schließen und zu erfüllen (Art 6 Abs 1 lit b DSGVO). Das gilt auch schon vor dem Vertrag, weil die Unterzeichnung dem Vertragsschluss vorausgeht.
Fall 2 — Sie zeichnen für eine Gesellschaft, einen Verein oder eine Gemeinde. Dann kommt der Vertrag mit dieser Einrichtung zustande und nicht mit Ihnen persönlich. Wir dürfen Ihre Daten in diesem Fall verarbeiten, weil wir ein berechtigtes Interesse daran haben — nämlich den Nachweis, wer die Annahme erklärt hat (Art 6 Abs 1 lit f DSGVO). Ohne ihn ließe sich später nicht belegen, dass der Auftrag von einer dazu befugten Person erteilt wurde.
Die Abwägung legen wir offen: Sie handeln in Ihrer beruflichen Rolle und nicht als Privatperson. Sie melden sich selbst an und geben die Übermittlung selbst frei. Es geht um wenige Merkmale — Name, Geburtsdatum und ein Kennzeichen, das nur uns gegenüber gilt. Die vollständige Abschrift des Identitätsnachweises enthält darüber hinaus keine weiteren Angaben über Sie, sondern die technischen Felder desselben Anmeldevorgangs; sie belegt nur, dass er echt war. Alle diese Angaben dienen keinem weiteren Zweck, werden an niemanden weitergegeben und nicht ausgewertet. Nach unserer Beurteilung überwiegen Ihre Interessen daher nicht. Zu Ihrem Widerspruchsrecht in diesem Fall lesen Sie bitte den eigenen Abschnitt weiter unten.
Die Freigabe in Ihrer ID-Austria-App gibt die Übermittlung technisch frei. Sie ist keine datenschutzrechtliche Einwilligung. Sie können daher auch nichts widerrufen — es gibt keine Einwilligung, die widerrufen werden könnte. Was Sie stattdessen tun können, steht unten in den Abschnitten „Die Nutzung der ID Austria ist freiwillig" und „Ihr Widerspruchsrecht bei dieser Verarbeitung".
Wir übermitteln diese Daten an niemanden. Es gibt keine Empfänger außer dem unten genannten Dienstleister.
An die ID Austria geht von uns nur: die Kennung unseres Dienstes (des sogenannten Service Providers), das zugehörige Kennwort und die technischen Werte des Anmeldevorgangs — die Rückleitungsadresse, die Einmalwerte und der Anmeldecode. Weder das Angebot noch sein Inhalt noch der Name unseres Kunden verlässt dabei unser System. Wir fragen dort nur, ob die Anmeldung gültig war, und teilen dabei nichts über den Vorgang mit.
Eingebunden ist allein der Betreiber unseres Servers: die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in Deutschland. Sie arbeitet in unserem Auftrag und nach unseren Weisungen, ist vertraglich zur Vertraulichkeit verpflichtet und darf diese Daten nicht für eigene Zwecke verwenden.
Der Server steht in der Europäischen Union. Bei dieser Verarbeitung gehen die Daten weder in ein Land außerhalb der Union noch an eine internationale Organisation.
Die Angaben werden gemeinsam mit dem Angebot und dem daraus entstandenen Vertrag aufbewahrt:
Sind diese Fristen abgelaufen und ist kein Verfahren anhängig, benötigen wir die Angaben nicht mehr und löschen sie. Damit Sie wissen, wie das geschieht: Es gibt dafür keinen automatischen Löschlauf im System. Die Löschung erfolgt nach Prüfung des einzelnen Falls. Wenden Sie sich an office@conve.eu, wenn Sie eine Löschung früher wünschen — wir prüfen dann, ob ihr noch eine Aufbewahrungspflicht entgegensteht oder ob wir die Angaben noch brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren.
Auf diesen Punkt weisen wir Sie ausdrücklich hin, weil er Ihr Recht auf Löschung berührt.
Über jede Unterzeichnung entstehen zusätzlich Einträge im Änderungsprotokoll unseres Systems: einer beim Beginn des Vorgangs und einer beim Abschluss. Sie tragen unter anderem Vorname und Familienname, das Geburtsdatum, den Zeitpunkt, die Prüfsumme des unterzeichneten Dokuments sowie die Kennung und die Bezeichnung des Zugangs, über den unterzeichnet wurde. Das bereichsspezifische Personenkennzeichen steht nicht darin, und die vollständige Abschrift des Identitätsnachweises ebenfalls nicht.
Diese Einträge sind technisch unveränderlich: Die Datenbank weist jede Änderung und jede Löschung an dieser Stelle ab. Sie werden daher nicht anlassbezogen gelöscht, auch nicht auf Antrag, und bleiben über die oben genannten Fristen hinaus bestehen. Das ist Absicht und keine Nachlässigkeit. Auf diesem Protokoll beruht die Nachvollziehbarkeit unseres gesamten Systems; ohne es ließe sich später nicht mehr belegen, dass eine Erklärung so und nicht anders abgegeben wurde.
Was das für Ihr Löschrecht bedeutet, sagen wir offen:
Wenn Sie das nicht möchten, nehmen Sie das Angebot auf einem der anderen Wege an. Auch dann entsteht ein Protokolleintrag; er trägt aber nur den von Ihnen angegebenen Namen und die E-Mail-Adresse, an die das Angebot ging — kein Geburtsdatum und kein Personenkennzeichen.
Sie sind weder gesetzlich noch vertraglich verpflichtet, ein Angebot mit der ID Austria zu unterzeichnen. Die Bereitstellung dieser Daten ist für den Abschluss des Vertrags nicht erforderlich; ein Vertrag kommt auch ohne sie zustande.
Ein Angebot lässt sich auch anders annehmen:
Wenn Sie die ID Austria nicht nutzen, entsteht Ihnen daraus kein Nachteil: Angebot, Preis und Leistung bleiben dieselben, die Annahme ist ebenso gültig, und wir behandeln Sie deswegen nicht anders. Die einzige Folge ist ein schwächerer Nachweis der Annahme. Ohne den staatlich bestätigten Identitätsnachweis stützt sich die Zuordnung darauf, dass die Bestätigung aus Ihrem Postfach kam oder dass uns Ihre Erklärung schriftlich vorliegt.
Bei dieser Verarbeitung gibt es keine automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet, und kein Profiling. Die Prüfung des Identitätsnachweises ist eine rein technische Echtheitsprüfung: Sie stellt fest, ob der Nachweis von der ID Austria stammt und unverändert ist. Sie trifft keine Entscheidung über Sie und bewertet Sie nicht.
Soweit wir Ihre Daten auf unser berechtigtes Interesse stützen — also wenn Sie für eine Gesellschaft, einen Verein oder eine Gemeinde unterzeichnet haben —, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.
Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder wir brauchen die Daten, um Rechtsansprüche geltend zu machen oder abzuwehren.
Wir sagen vorweg, was Sie erwarten können: Bei einer Unterschrift, die einen laufenden Vertrag trägt, wird der zuletzt genannte Fall regelmäßig vorliegen. Wir prüfen Ihren Widerspruch dennoch im Einzelfall und teilen Ihnen das Ergebnis begründet mit.
Welche Daten. Ihre Rechnungs- und Zahlungsangaben: Rechnungsnummer, Betrag, Fälligkeit, Zahlungsdatum und Verwendungszweck. Beim Abgleich mit unseren Konten kommen die Umsätze unserer eigenen Geschäftskonten und unseres PayPal-Kontos hinzu. Darin stehen Name und Kontoverbindung des Zahlenden — also Ihre, wenn Sie an uns zahlen.
Wozu. Um zu erkennen, welche Rechnung bezahlt wurde, offene Posten zu führen, unnötige Mahnungen zu vermeiden und unsere Buchhaltung zu führen.
Warum wir das dürfen. Weil wir diese Angaben brauchen, um unseren Vertrag mit Ihnen zu erfüllen und Ihre Zahlung der richtigen Rechnung zuzuordnen (Art 6 Abs 1 lit b DSGVO). Und weil uns das Handels- und Abgabenrecht zur ordnungsgemäßen Aufzeichnung unserer Geschäftsfälle verpflichtet (Art 6 Abs 1 lit c DSGVO).
Wer sie bekommt — und was dabei hinausgeht.
Wie lange. Sieben Jahre, weil handels- und abgabenrechtliche Aufbewahrungspflichten das für Bücher und Belege verlangen. Darüber hinaus so lange, wie wir die Angaben brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren.
Neben Sally setzen wir Sprachmodelle an zwei Stellen im Haus ein. Beide Stellen sind einzeln abschaltbar, und keine läuft von sich aus. Ohne eine ausdrückliche Einschaltung verlässt kein Text unser Haus.
Dieser Punkt betrifft Rechnungen unserer Lieferanten an die Conve GmbH — nicht unsere Rechnungen an Sie. Er ist für Sie dann von Bedeutung, wenn Sie für einen unserer Lieferanten arbeiten und Ihr Name auf einer solchen Rechnung steht.
Welche Daten. Die Angaben auf der Eingangsrechnung: Firmenwortlaut und Anschrift des Ausstellers, Rechnungsnummer, Datum, Positionen, Beträge und Steuerbeträge, Bankverbindung sowie Namen von Ansprechpersonen, soweit sie auf dem Blatt stehen.
Wozu. Damit die Felder der Rechnung nicht von Hand abgetippt werden müssen und die Rechnung geprüft, bezahlt und verbucht werden kann.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse daran haben — nämlich Eingangsrechnungen rasch und ohne Übertragungsfehler zu erfassen (Art 6 Abs 1 lit f DSGVO). Für die Verbuchung und Aufbewahrung des Belegs stützen wir uns darauf, dass uns das Handels- und Abgabenrecht dazu verpflichtet (Art 6 Abs 1 lit c DSGVO).
Wer sie bekommt — und was dabei hinausgeht. Hinaus geht der Text des Rechnungsblattes, und zwar gekürzt. Ist der Beleg nur eingescannt und enthält keinen auslesbaren Text, geht das Blatt selbst hinaus; dafür gibt es einen zweiten, eigenen Schalter. Ist er aus, bleiben eingescannte Belege ungelesen und werden von Hand erfasst. Zum Einsatz kommt entweder Mistral AI SAS in Frankreich — das ist die Voreinstellung — oder Anthropic PBC in den Vereinigten Staaten. Beide arbeiten in unserem Auftrag und nach unseren Weisungen, sind vertraglich zur Vertraulichkeit verpflichtet und dürfen die Inhalte nicht für eigene Zwecke verwenden, insbesondere nicht zum Training. Setzen wir Anthropic ein, verlassen die Daten die Europäische Union — dazu Abschnitt 16. Daneben erhält die Eingangsrechnung unser Wirtschaftstreuhänder für die Buchhaltung.
Was das Modell nicht tut. Es entscheidet nichts. Ob eine Rechnung an uns gerichtet ist, prüft unser System nach festen Regeln; das Modell kann ein Ergebnis nur abschwächen, nie bestätigen. Seine Zahlen werden nachgerechnet. Was es gesagt hat, steht in eigenen Feldern daneben, damit später erkennbar bleibt, woher eine Zahl kam.
Wie lange. Bei uns sieben Jahre, weil handels- und abgabenrechtliche Aufbewahrungspflichten das verlangen. Das Ergebnis bewahren wir gemeinsam mit dem Beleg auf.
Welche Daten. Angaben über den Kunden, für den das Angebot bestimmt ist, soweit sie für den Entwurf nötig sind — Firmenwortlaut, Ort, Branche, der Gegenstand des Angebots und das, was unsere Mitarbeiterin oder unser Mitarbeiter dazu einträgt. Auch das geht gekürzt hinaus. Preise, Verträge und Belege gehen dabei nicht hinaus.
Wozu. Um einen ersten Textentwurf für ein Angebot zu erhalten. Was tatsächlich im Angebot steht, entscheiden und verantworten wir; der Entwurf wird vor dem Versand von einem Menschen gelesen und überarbeitet.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse daran haben — nämlich Angebote zügig und in gleichbleibender Qualität zu erstellen (Art 6 Abs 1 lit f DSGVO).
Wer sie bekommt. Dieselben zwei Anbieter unter denselben Bedingungen wie oben. Diese Funktion hat einen eigenen Schalter und ist von den übrigen unabhängig.
Wie lange. Der Entwurf wird gemeinsam mit dem Angebot aufbewahrt; es gelten die Fristen aus Abschnitt 8.
Wenn Sie nicht möchten, dass Angaben über Ihr Unternehmen auf diesem Weg verarbeitet werden, schreiben Sie uns an office@conve.eu. Wir erstellen Ihr Angebot dann ohne diese Unterstützung. Zu Ihrem Widerspruchsrecht siehe Abschnitt 21.
Postfach, Kalender, Dateiablage und unser E-Mail-Versand laufen über Microsoft 365.
Welche Daten. Der Schriftverkehr mit Ihnen; die Anschreiben, Angebote und Rechnungen, die wir Ihnen senden, samt Anhang; bei einem Angebot der Link zur Unterzeichnung, beim Portal der Anmeldelink; Termine und Dateien, die wir zu einem Vorgang ablegen; Kontoauszüge, die wir dort ablegen.
Wozu. Um mit Ihnen zu kommunizieren, Ihnen Unterlagen zu senden und unsere Vorgänge zu führen.
Warum wir das dürfen. Weil wir das brauchen, um unseren Vertrag mit Ihnen zu schließen und zu erfüllen (Art 6 Abs 1 lit b DSGVO). Weil uns das Handelsrecht zur Aufbewahrung von Geschäftsbriefen verpflichtet (Art 6 Abs 1 lit c DSGVO). Und — für den übrigen Schriftverkehr — weil wir ein berechtigtes Interesse an einer nachvollziehbaren betrieblichen Kommunikation haben (Art 6 Abs 1 lit f DSGVO).
Wer sie bekommt. Microsoft als Betreiberin des Dienstes; unser Vertragspartner ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Die Verarbeitung erfolgt grundsätzlich in Rechenzentren innerhalb der EU/EFTA (EU Data Boundary). Sie arbeitet in unserem Auftrag und nach unseren Weisungen und ist vertraglich zur Vertraulichkeit verpflichtet. Soweit dabei Daten in die Vereinigten Staaten gelangen können, gilt Abschnitt 16.
Wie lange. Nach den Fristen aus Abschnitt 8; Geschäftsbriefe sieben Jahre.
Damit Ihre Stammdaten stimmen, gleichen wir sie mit öffentlichen Quellen ab.
Was dabei hinausgeht. Der Firmenwortlaut, den wir gerade eintippen, an das öffentliche Firmenbuchportal der Justiz; der Adressteil, den wir gerade eintippen, an einen Dienst für Adressvorschläge; Länderkennung und UID Ihres Unternehmens an das Bestätigungsverfahren der Europäischen Kommission; Ihre Firmenbuchnummer an das Gewerbeinformationssystem. Rufen wir das Impressum Ihrer Website ab, übermitteln wir dabei nichts über Sie.
Wozu. Damit Firmenwortlaut, Anschrift, Rechtsform und UID auf unseren Angeboten und Rechnungen richtig stehen.
Warum wir das dürfen. Weil wir ein berechtigtes Interesse an richtigen Stammdaten haben (Art 6 Abs 1 lit f DSGVO) — eine falsch adressierte Rechnung erzeugt Rückfragen und kann steuerlich unbrauchbar sein. Für die Prüfung der UID unserer Rechnungsempfänger stützen wir uns zusätzlich darauf, dass uns das Abgabenrecht dazu verpflichtet (Art 6 Abs 1 lit c DSGVO).
Wer sie bekommt. Die genannten öffentlichen Stellen und der Dienst für Adressvorschläge. Es sind kurze Abfragen. Ein Treffer füllt bei uns nur Felder aus; gespeichert wird erst, was tatsächlich übernommen wird. Was die Quelle gesagt hat, halten wir mit Zeitstempel daneben fest, damit später nachvollziehbar bleibt, woher eine Angabe stammt.
Wie lange. Nach den Fristen aus Abschnitt 8.
Unser Server. Unser Managementwerkzeug, das Kundenportal und unsere Dateiablage laufen auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, in Deutschland — also innerhalb der Europäischen Union.
Wer sonst noch für uns arbeitet. Wir geben Daten an Dienstleister weiter, die wir für den Betrieb brauchen. Sie arbeiten in unserem Auftrag und nach unseren Weisungen, sind vertraglich zur Vertraulichkeit verpflichtet, dürfen die Daten nicht für eigene Zwecke verwenden und müssen sie nach Ende der Zusammenarbeit löschen oder zurückgeben.
| Dienstleister | Wofür | Sitz und Verarbeitungsort |
|---|---|---|
| netcup GmbH | Server für Managementwerkzeug, Kundenportal und Dateiablage sowie Betrieb unserer Website (www.conve.at) | Deutschland |
| Pingen GmbH | Druck und Versand adressierter Briefe (Abschnitt 5a) | Schweiz (Angemessenheitsbeschluss der Europäischen Kommission) |
| Microsoft 365 | Postfach, Kalender, Dateiablage, Versand unserer E-Mails samt Anhängen, Online-Terminvereinbarung (Bookings) und Online-Besprechungen (Teams) | Irland; Verarbeitung grundsätzlich in der EU/EFTA, Rest-Übermittlungen in die USA möglich (Abschnitt 16) |
| GoCardless SAS | Abruf der Umsätze unserer Geschäftskonten | Frankreich; teilweise Vereinigtes Königreich (GoCardless Ltd., Angemessenheitsbeschluss) |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Abruf unserer PayPal-Buchungen | Luxemburg |
| Mistral AI SAS | Sally, Lesen von Eingangsrechnungen, Angebotsentwürfe | Frankreich, Europäische Union |
| Anthropic PBC | dieselben Aufgaben, wahlweise statt Mistral; außerdem die Auswertung beim Datenschutz-Check (Abschnitt 4b) | Vereinigte Staaten |
Dazu kommen IT-Dienstleister und Unternehmensberater, die unsere Systeme betreuen — auch im Wege der Fernwartung. Dabei kann ein Einblick in Daten nicht ausgeschlossen werden. Auch sie sind zur Vertraulichkeit verpflichtet, und der Zugriff geschieht nur, soweit die jeweilige Aufgabe es erfordert.
Unabhängig davon geben wir Daten an Stellen weiter, die in eigener Verantwortung handeln: an unseren Wirtschaftstreuhänder, an unsere Rechtsvertretung und an Behörden und Gerichte, soweit wir dazu verpflichtet sind oder es brauchen, um Rechtsansprüche geltend zu machen oder abzuwehren.
Wir verkaufen keine Daten und geben sie nicht für fremde Werbung weiter.
Unsere eigenen Daten liegen auf einem Server in Deutschland. Eine Übermittlung in ein Land außerhalb der Europäischen Union findet in den Fällen statt, die in dieser Erklärung ausdrücklich genannt sind:
Die Grundlage dieser Übermittlungen ist je nach Empfänger verschieden:
Eine Abschrift dieser Vereinbarungen erhalten Sie auf Anfrage unter office@conve.eu.
Bei der Unterzeichnung mit der ID Austria findet keine Übermittlung außerhalb der Europäischen Union statt.
| Woraus | Wie lange |
|---|---|
| Protokolldateien der Website | 14 Tage |
| Zusammengefasste Besucherzahlen (Tagessummen ohne Personenbezug) | bis zu 3 Jahre (Abschnitt 2) |
| Sally-Chatverlauf | im Browser bis zum Schließen des Tabs; bei uns nur, wenn Sie über den Chat eine Anfrage senden — dann für die Dauer der Anfragebeantwortung (Abschnitt 3) |
| Terminbuchung über den Chat | Termin im Kalender (Abschnitt 13); Angaben dazu wie eine Anfrage, bis zu 6 Monate nach dem Gespräch (Abschnitt 4a) |
| Ergebnis eines Datenschutz-Checks | höchstens 1 Stunde, nur zur Zustellung des Berichts (Abschnitt 4b) |
| Interne Benachrichtigung über durchgeführte Checks | 6 Monate |
| Anfragen ohne Auftrag | bis zu 6 Monate nach der letzten Nachricht |
| Kundendatenbank, Betreuung, Werbung | bis zum Ablauf des 3. Jahres nach dem letzten Kundenkontakt |
| Briefe an Unternehmen, die noch nicht Kunden sind (Abschnitt 5a) | Versanddaten 12 Monate nach dem Versand; Sperrlisten-Eintrag nach Abmeldung, solange wir Briefe versenden |
| Aussendungen an Abonnenten | bis zum Widerruf, längstens 3 Jahre nach der letzten Aussendung |
| Angebote, Verträge, Vorgänge, Kundenakte | so lange, wie Ansprüche geltend gemacht oder abgewehrt werden können — je nach Anspruch 3 bis 30 Jahre |
| Mandate als externer Beauftragter (Abschnitt 7a) | für die Dauer des Mandats; danach nach gesetzlichen Aufbewahrungs- und Verjährungsfristen |
| Rechnungen, Belege, Geschäftsbriefe, Buchhaltung | 7 Jahre |
| Unterzeichnung mit ID Austria | wie Angebot und Vertrag, siehe Abschnitt 10 |
| Zugang zum Kundenportal | solange der Zugang besteht |
| Einträge im Änderungsprotokoll | bleiben bestehen; sie lassen sich technisch nicht löschen (Abschnitte 8 und 10) |
In aller Regel von Ihnen selbst. Daneben aus diesen Quellen:
Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt. Das gilt auch dort, wo bei uns ein Sprachmodell mitwirkt: Die Prüfung eines Identitätsnachweises ist eine rein technische Echtheitsprüfung und trifft keine Entscheidung über Sie. Das Auslesen einer Eingangsrechnung und der Entwurf eines Angebotstextes bereiten nur vor, was ein Mensch anschließend prüft und entscheidet.
Sie haben uns gegenüber folgende Rechte:
Wenden Sie sich dafür formlos an office@conve.eu oder an unsere Anschrift aus Abschnitt 1. Wir antworten ohne unnötigen Aufschub, spätestens innerhalb eines Monats. Ist Ihr Anliegen umfangreich, dürfen wir diese Frist um zwei Monate verlängern; wir sagen Ihnen das dann mit Begründung. Können wir Sie nicht zweifelsfrei zuordnen, fragen wir nach — nicht aus Förmlichkeit, sondern damit niemand fremde Daten erhält.
Die Auskunft und die erste Kopie sind für Sie kostenlos.
Soweit wir Ihre Daten verarbeiten, weil wir ein berechtigtes Interesse daran haben, können Sie dieser Verarbeitung jederzeit widersprechen — aus Gründen, die sich aus Ihrer besonderen Situation ergeben. Das betrifft insbesondere die Protokolldateien unserer Website, Sally, die Kundendatenbank, die Angaben zu Ansprechpersonen, den Einsatz von Sprachmodellen in unserer Verwaltung, unsere Tätigkeit als externer Beauftragter (Abschnitt 7a), Briefe an Unternehmen, die noch nicht unsere Kunden sind (Abschnitt 5a), und den Fall, dass Sie ein Angebot für eine Gesellschaft, einen Verein oder eine Gemeinde mit der ID Austria unterzeichnet haben.
Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder wir brauchen die Daten, um Rechtsansprüche geltend zu machen oder abzuwehren.
Gegen Werbung können Sie jederzeit und ohne Begründung widersprechen. Danach verwenden wir Ihre Daten dafür nicht mehr — ausnahmslos.
Wir sagen vorweg, was Sie bei einer Unterzeichnung erwarten können: Trägt die Unterschrift einen laufenden Vertrag, brauchen wir den Nachweis regelmäßig weiterhin, um Ansprüche geltend machen oder abwehren zu können. Wir prüfen Ihren Widerspruch dennoch im Einzelfall und teilen Ihnen das Ergebnis begründet mit.
Ein Widerspruch ist formlos möglich: office@conve.eu.
Wenn Sie glauben, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei einer Aufsichtsbehörde beschweren. Andere Rechtsbehelfe bleiben Ihnen daneben offen. Zuständig ist:
Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
dsb@dsb.gv.at · www.dsb.gv.at
Diese Erklärung gilt ab 10.09.2026 und wurde zuletzt am 22.10.2026 überarbeitet. Ändert sich etwas an unseren Verarbeitungen, ändern wir auch diesen Text. Maßgeblich ist die Fassung, die auf www.conve.at veröffentlicht ist.