Datenschutzerklärung

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) und des österreichischen Datenschutzgesetzes (DSG) ist:

Die Capwork-Plattform wird als B2B-Dienstleistung betrieben. Je nach Kontext übernehmen verschiedene Parteien unterschiedliche datenschutzrechtliche Rollen gemäß der DSGVO:

• Betroffene Person: Der Endkunde bzw. die natürliche Person, deren personenbezogene Daten verarbeitet werden (z. B. eine Person, die einen Termin bucht oder eine Anfrage sendet).
• Verantwortlicher (Data Controller): Das registrierte Unternehmen, das die Capwork-Plattform nutzt. Der Verantwortliche bestimmt die Zwecke und Mittel der Datenverarbeitung und ist gegenüber seinen Endkunden für die Einhaltung der DSGVO verantwortlich.
• Auftragsverarbeiter (Data Processor): Capwork e.U. betreibt die Capwork-Plattform als Auftragsverarbeiter im Auftrag des registrierten Unternehmens und verarbeitet personenbezogene Daten ausschließlich gemäß den Weisungen des Verantwortlichen und dem Auftragsverarbeitungsvertrag.

Capwork e.U. ist nur für die Daten Verantwortlicher, die für eigene Zwecke verarbeitet werden (z. B. Plattform-Kontoverwaltung, Abrechnung, Plattformsicherheit). Für alle Endkundendaten, die von registrierten Unternehmen eingegeben werden (z. B. Buchungsdetails, Kundenkommunikation, hochgeladene Dokumente), ist das registrierte Unternehmen der Verantwortliche und Capwork e.U. handelt ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Wir erheben und verarbeiten folgende Kategorien personenbezogener Daten:

• Kontodaten: E-Mail-Adresse, Passwort (gehasht), Firmenname, Standort
• Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse (bei Terminbuchungen)
• Zahlungsdaten: Name des Karteninhabers, letzte vier Ziffern der Kartennummer (nur zur Identitätsverifizierung)
• Nutzungsdaten: Buchungshistorie, Kalenderinteraktionen, Modulkonfigurationen, Protokolldaten
• Technische Daten: IP-Adresse, Browsertyp, Geräteinformationen, Zugriffszeitstempel
• Endkundendaten: Alle personenbezogenen Daten, die registrierte Unternehmen im Auftrag ihrer Kunden in die Plattform eingeben (z. B. Buchungsdetails, Kontaktinformationen, Bestelldaten, Kommunikation)

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen gemäß Art. 6 DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Wenn Sie eine ausdrückliche Einwilligung für bestimmte Verarbeitungstätigkeiten erteilt haben.
• Art. 6 Abs. 1 lit. b DSGVO — Vertrag: Verarbeitung, die zur Erfüllung unseres Dienstleistungsvertrags mit Ihnen erforderlich ist.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Verarbeitung zur Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten nach österreichischem Recht.
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen: Verarbeitung zur Betrugsprävention, Plattformsicherheit und Verbesserung des Dienstes, sofern unsere Interessen nicht durch Ihre Rechte überwiegen.

Für Endkundendaten, die im Auftrag registrierter Unternehmen verarbeitet werden, wird die Rechtsgrundlage vom jeweiligen Unternehmen (Verantwortlicher) bestimmt und in dessen eigener Datenschutzerklärung dokumentiert.

Ihre personenbezogenen Daten werden für folgende Zwecke verarbeitet:

• Bereitstellung und Betrieb der Capwork-Plattform und ihrer Module (Termine, Aufträge, Teamverwaltung, Fuhrpark, Inventar, Finanzen)
• Erstellung von Benutzerkonten, Authentifizierung und Zugriffsverwaltung
• Abwicklung von Buchungen, Bestellungen und Kundenkommunikation im Auftrag registrierter Unternehmen
• KI-gestützte Funktionen: Unternehmensdaten-Generierung, Business-Insights, Dokumentenscanning und Feedback-Analyse
• Betrugsprävention, Identitätsverifizierung und Plattformsicherheit

Da Capwork e.U. als Auftragsverarbeiter für registrierte Unternehmen tätig ist, wird mit jedem registrierten Unternehmen im Zuge des Onboarding-Prozesses ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen.

Der AVV regelt:

• Gegenstand, Dauer, Art und Zweck der Datenverarbeitung
• Die Arten personenbezogener Daten und die Kategorien betroffener Personen
• Die Pflichten und Rechte des Verantwortlichen (registriertes Unternehmen)
• Technische und Organisatorische Maßnahmen (TOMs) zur Gewährleistung der Datensicherheit (siehe Abschnitt 13)
• Den Einsatz und die Genehmigung von Unterauftragsverarbeitern (siehe Abschnitt 9)
• Pflichten zur Datenlöschung oder -rückgabe bei Vertragsbeendigung

Das registrierte Unternehmen (Verantwortlicher) kann jederzeit eine Kopie des AVV unter office@capwork.io anfordern.

Personenbezogene Daten werden nur so lange gespeichert, wie es für die oben beschriebenen Zwecke erforderlich ist oder gesetzlich vorgeschrieben wird. Österreichisches Handels- und Steuerrecht (BAO, UGB) kann eine Aufbewahrung bestimmter Daten für bis zu 7 Jahre erfordern.

Nach Kontokündigung werden Ihre personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine längere Aufbewahrung gesetzlich vorgeschrieben ist. Endkundendaten, die im Auftrag registrierter Unternehmen verarbeitet werden, werden gemäß dem AVV gelöscht oder zurückgegeben.

Ihre Daten können an folgende Kategorien von Empfängern weitergegeben werden, die als Unterauftragsverarbeiter gemäß Art. 28 DSGVO tätig sind:

• Google Cloud Platform (Firebase, Firestore, Cloud Functions) — Infrastruktur und Datenspeicherung (EU-Region: europe-west1)
• Google Vertex AI (Google-Modelle wie Gemini sowie Partnermodelle aus dem Vertex Model Garden, z. B. Anthropic Claude; die Inferenz erfolgt vollständig durch Google Cloud in der EU) — KI-gestützte Funktionen wie Unternehmensdaten-Generierung, Insights, Dokumentenscanning, Rechnungsverarbeitung und Analyse von Auftragsanfragen (Unterauftragsverarbeiter)
• Twilio — Zustellung von SMS- und WhatsApp-Benachrichtigungen (Unterauftragsverarbeiter)
• Google Maps Platform (Places, Maps JavaScript API, Time Zone, Distance Matrix) — Adresssuche, Karten- und Entfernungsdarstellung; wird auch auf der öffentlichen Registrierungsseite geladen, wobei Ihre IP-Adresse an Google übertragen wird
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung und Abrechnung (Unterauftragsverarbeiter)
• Bird (Bird B.V., Niederlande) – Versand transaktionaler E-Mails (Unterauftragsverarbeiter)
• Google Workspace / Gmail (Google Ireland Limited) — Versand von Plattform-E-Mails an registrierte Nutzer (z. B. Willkommens- und Onboarding-Nachrichten); Verarbeitung innerhalb der EU (Unterauftragsverarbeiter)

Alle Unterauftragsverarbeiter sind im AVV aufgeführt und durch Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO gebunden. Das registrierte Unternehmen (Verantwortlicher) wird über Änderungen an Unterauftragsverarbeitern informiert und hat ein Widerspruchsrecht. Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte.

Einige unserer Unterauftragsverarbeiter betreiben Server außerhalb des Europäischen Wirtschaftsraums (EWR). Soweit Daten in Drittländer (z. B. die USA) übermittelt werden, stellen wir geeignete Garantien sicher, darunter EU-Standardvertragsklauseln (SVK) und Angemessenheitsbeschlüsse der Europäischen Kommission.

Google LLC und Twilio Inc. nehmen am EU-U.S. Data Privacy Framework teil und bieten damit ein angemessenes Datenschutzniveau, wie von der Europäischen Kommission anerkannt. Die Übermittlungsmechanismen sind im AVV dokumentiert.

Die Capwork-Plattform verwendet ausschließlich technisch notwendige Cookies für Authentifizierung und Spracheinstellungen. Es werden keine Tracking-, Analyse- oder Werbe-Cookies eingesetzt.

Sie können die Cookie-Einstellungen in Ihrem Browser verwalten. Das Deaktivieren notwendiger Cookies kann die Funktionalität der Plattform beeinträchtigen.

Wir messen die Nutzung unserer Website und Plattform mit einem datenschutzfreundlichen, selbst betriebenen Statistiksystem, das ohne Cookies und ohne jegliche Speicherung auf Ihrem Gerät arbeitet. Unsere Server speichern ausschließlich aggregierte Tageszählungen (z. B. Seitenaufrufe pro Seite); es werden keine Nutzerprofile erstellt und keine Daten an Dritte weitergegeben. Zur Zählung eindeutiger Besucher werden IP-Adresse und Browser-Kennung mit einem täglich wechselnden Schlüssel zu einer anonymen Kennung verrechnet; die IP-Adresse selbst wird zu keinem Zeitpunkt gespeichert, die Kennung wird innerhalb von 48 Stunden gelöscht und ist über Tagesgrenzen hinweg nicht verknüpfbar. Die gesamte Verarbeitung findet ausschließlich auf unseren Servern in der EU (europe-west1) statt. Rechtsgrundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung unserer Dienste (Art. 6 Abs. 1 lit. f DSGVO). Wir respektieren die Browser-Signale „Do Not Track“ und „Global Privacy Control“ – ist eines davon aktiviert, werden keine Statistiken erhoben. Darüber hinaus zählen wir auf dieselbe Weise die Nutzung einzelner Funktionen (z. B. wie oft eine bestimmte Schaltfläche betätigt wird) sowie grobe Besuchskennzahlen (die Anzahl der pro Besuch aufgerufenen Seiten und die ungefähre Besuchsdauer). Auch diese Werte werden ausschließlich als aggregierte Tageszählungen ohne Personenbezug gespeichert; auf Ihrem Gerät wird dafür weiterhin nichts gespeichert oder ausgelesen.

Die Capwork-Plattform nutzt KI-Dienste über Google Vertex AI für Funktionen wie die automatische Generierung von Unternehmensdaten, Business-Insights-Berichte, Fahrzeugdokumenten-Scanning, Rechnungsverarbeitung, Feedback-Analyse und die Analyse von Auftragsanfragen. Dabei kommen sowohl Google-eigene Modelle (z. B. Gemini) als auch über den Vertex Model Garden bereitgestellte Partnermodelle (z. B. Anthropic Claude) zum Einsatz; die Inferenz erfolgt in beiden Fällen vollständig durch Google Cloud in der EU. Google Vertex AI ist als Unterauftragsverarbeiter gemäß den Bestimmungen des AVV tätig.

An KI-Dienste gesendete Daten werden ausschließlich unter den Enterprise-Datenverarbeitungsbedingungen von Google Cloud und mit Region-Pinning auf den EU-Raum verarbeitet. Personenbezogene Daten, die an KI-Dienste übermittelt werden, werden nicht zum Trainieren, Verbessern oder Entwickeln von KI-Modellen verwendet. Dies wird durch Googles Cloud-Datenverarbeitungszusatz vertraglich garantiert.

Alle KI-generierten Inhalte werden in der Benutzeroberfläche gemäß dem EU AI Act (Art. 50) deutlich gekennzeichnet. Es werden keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ohne menschliche Aufsicht getroffen.

Sie können eine menschliche Überprüfung jeder KI-generierten Entscheidung, die Sie wesentlich betrifft, unter office@capwork.io anfordern.

Capwork e.U. setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese Maßnahmen umfassen:

• Verschlüsselung der Daten im Ruhezustand und bei der Übertragung (TLS 1.2+, AES-256)
• Zugriffskontrollen und rollenbasierte Autorisierung (RBAC) mit Firebase Authentication
• Infrastruktur-Hosting auf Google Cloud Platform innerhalb der EU (Region europe-west1)
• Regelmäßige Sicherheitsüberprüfungen, Eingabevalidierung (Zod-Schemas) und Rate Limiting
• Protokollierung und Audit-Trails für Datenzugriffe und -änderungen
• Prompt-Injection-Prävention und KI-Sicherheitsmaßnahmen für alle KI-verarbeiteten Daten

Eine detaillierte Beschreibung der TOMs ist als Anlage dem Auftragsverarbeitungsvertrag (AVV) beigefügt und auf Anfrage erhältlich.

Gemäß der DSGVO stehen Ihnen folgende Rechte bezüglich Ihrer personenbezogenen Daten zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, welche personenbezogenen Daten wir über Sie gespeichert haben.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format anfordern.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage berechtigter Interessen jederzeit widersprechen.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter office@capwork.io. Wir werden innerhalb eines Monats gemäß Art. 12 DSGVO antworten. Endkunden registrierter Unternehmen sollten sich zunächst an das jeweilige Unternehmen (Verantwortlicher) wenden, um ihre Rechte auszuüben.

Wenn Sie der Meinung sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, Beschwerde bei der Österreichischen Datenschutzbehörde einzulegen:

Wir behalten uns das Recht vor, diese Datenschutzerklärung zu aktualisieren, um Änderungen unserer Datenverarbeitungspraktiken oder rechtlicher Anforderungen widerzuspiegeln. Wesentliche Änderungen werden registrierten Nutzern per E-Mail mitgeteilt. Die aktuelle Fassung ist jederzeit auf dieser Seite verfügbar.

Capwork e.U.

Inhaber: Nikolas Kain

Am Europlatz 2, 1120 Wien

FN 677603a, Handelsgericht Wien

E-Mail: office@capwork.io