Datenschutzerklärung

Diese Erklärung informiert dich nach Art. 13 und 14 Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten SPEKTRA verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, wer sie erhält und welche Rechte du hast. Sie gilt für die Website spektra-sites.com und für die anschließende Auftragsabwicklung.

1. Verantwortlicher

SPEKTRA — Raul Tatzber
Feldgasse 70/3, 2232 Deutsch-Wagram, Österreich
E-Mail: raultatzber@spektra-sites.com
Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und wurde nicht bestellt.

2. Cookies und Reichweitenmessung

Diese Website bindet keine fremden Analyse- oder Werbedienste ein — kein Google Analytics, keine Pixel. Wie wir selbst messen, steht unten in diesem Punkt. Sobald du dich anmeldest, werden zwei technisch notwendige Cookies gesetzt: ein Sitzungs-Cookie mit einem zufälligen Schlüssel (__Host-spektra_session; bei uns liegt davon nur ein nicht umkehrbarer Prüfwert) und ein Hinweis-Cookie ohne Personenbezug, das der Oberfläche mitteilt, dass du angemeldet bist (spektra_auth). Beide laufen nach 30 Tagen ab.

Sicherheits-Cookies rund um die Anmeldung — alle technisch notwendig, alle nur für diese Domain: __Host-spektra_2fa hält für höchstens zehn Minuten fest, dass dein Passwort stimmte, während du den zweiten Faktor eingibst; __Host-spektra_webauthn sichert eine Anmeldung oder Einrichtung per Passkey für höchstens fünf Minuten gegen Wiederholung ab; __Host-spektra_admin_setup entsteht nur bei der Einrichtung der Zwei-Faktor-Anmeldung im Adminbereich und gilt 15 Minuten. __Host-spektra_geraet enthält eine zufällige Gerätekennung und erkennt ein Gerät wieder, auf dem du dich schon angemeldet hast (400 Tage). Meldest du dich von einem unbekannten Gerät an, schicken wir dir eine Warnmail — damit du einen fremden Zugriff sofort bemerkst. Bei uns liegt von der Kennung nur ein nicht umkehrbarer Prüfwert, zusammen mit dem Datum der ersten und letzten Anmeldung; er wird mit deinem Konto gelöscht.

Zwei-Faktor-Anmeldung (freiwillig, im Adminbereich verpflichtend): Nutzt du einen Passkey, speichern wir dessen öffentlichen Schlüssel, einen Zähler und den von dir vergebenen Namen — der private Schlüssel verlässt dein Gerät nie. Nutzt du eine Authenticator-App, speichern wir das gemeinsame Geheimnis verschlüsselt. Notfallcodes speichern wir nur als nicht umkehrbare Prüfwerte. Zweck ist der Schutz deines Kontos (Art. 6 Abs. 1 lit. b und f, Art. 32 DSGVO); gelöscht wird, sobald du den Faktor entfernst oder dein Konto löschst.

Dazu kommt ein Sprach-Cookie (spektra_lang), sobald du eine Seite in einer Sprache aufrufst oder zwischen Deutsch und Englisch wechselst. Es speichert ausschließlich den Wert „de“ oder „en“ — keinen Personenbezug, keine Kennung, mit der sich jemand wiedererkennen ließe. Ohne dieses Cookie würdest du bei jedem Besuch wieder auf Deutsch landen, obwohl du auf Englisch umgestellt hast. Es läuft nach einem Jahr ab.

Ohne Cookie, direkt in deinem Browser (localStoragebzw. sessionStorage), merkt sich die Seite außerdem nur Anzeige-Einstellungen, die du selbst triffst: ob du die helle oder dunkle Darstellung gewählt hast (spektra-theme), dass du einen Bedienhinweis schon gesehen hast (etwa „Ziehen zum Drehen“ beim Team — nur bis du den Tab schließt) und dass du einen Hinweis in deinem Konto weggeklickt hast. Diese Werte enthalten keinen Personenbezug, verlassen dein Gerät nie und lassen sich über die Browsereinstellungen jederzeit löschen.

Siehst du dir eine unserer fertigen Websites (Case Studies) an, merkt sich ein weiteres Cookie (spektra_vorbild) für sieben Tage, welche — also einen Wert wie „charter“ aus unserer eigenen Liste. Keine Kennung, kein Zufallswert, nichts, womit sich jemand wiedererkennen ließe. Bestellst du danach, wissen wir, an welchem Vorbild wir uns beim ersten Entwurf orientieren sollen; bestellst du nicht, läuft es ab. Es verlässt unsere Domain nie.

Eine Case Study, RASOLA, zeigt eine erfundene Biermarke und fragt deshalb vor dem Eintritt nach dem Geburtsjahr. Das Jahr wird nur in deinem Browser geprüft und sofort verworfen. Gespeichert wird dort (localStorage, Schlüssel rasola:alter) nur, dass die Frage bestanden wurde, und bis wann — 30 Tage. Der Eintrag wird nie an uns übertragen; löschen kannst du ihn über die Websitedaten deines Browsers.

Die Case Study STATIQ ist ein Muster-Shop einer erfundenen Modemarke. Damit Warenkorb und Merkliste beim Weiterklicken erhalten bleiben, speichert sie in deinem Browser (localStorage, Schlüssel statiq:laden) die gewählten Artikel, die Merkliste, die Sprache und die Nummer der zuletzt simulierten Bestellung. Die Kasse ist nur eine Vorführung: Es wird nichts bestellt, nichts bezahlt und nichts an uns oder jemand anderen übertragen; eine dort eingetippte E-Mail-Adresse wird nicht gespeichert. Löschen kannst du den Eintrag über die Websitedaten deines Browsers.

Rechtsgrundlage für diese Cookies und die Einträge der Case Studies (Altersabfrage, Warenkorb): § 165 Abs. 3 TKG 2021 (technisch notwendig für den von dir gewünschten Dienst) sowie Art. 6 Abs. 1 lit. b DSGVO. Für sie brauchen wir keine Einwilligung. Ein weiteres, kurzlebiges Cookie entsteht nur während einer Anmeldung über Google (Punkt 3 d), eines beim Benutzen des Assistenten (Punkt 7e) und eines beim Demo-Anruf bei Mira (Punkt 7i) — alle drei sind dort beschrieben.

Unsere eigene Messung — zwei Ebenen

Wir möchten wissen, welche Seiten gelesen werden, wie weit, wo Besucher aussteigen und an welcher Stelle ein Formular oder ein Chat abgebrochen wird. Das messen wir selbst, auf unseren eigenen Servern, in zwei Ebenen — beide nur mit deiner Einwilligung:

• Ebene 1 — ohne Cookie und ohne Wiedererkennung. Dein Browser meldet uns Seitenaufruf, Scroll-Tiefe (25/50/75/100 %), Verweildauer, Klicks auf benannte Knöpfe, ob ein Formular oder Chat begonnen, abgeschlossen oder abgebrochen wurde (nur der Name des letzten Felds bzw. der letzten Phase, nie ein Inhalt), die Sprache, eine grobe Geräteklasse (Handy / Tablet / Rechner) und den Host der Seite, von der du kamst (z. B. google.com, nie die ganze Adresse). Adressen mit Zahlungs- oder Einladungscodes werden vor dem Melden zu Platzhaltern. Die Ereignisse eines Besuchs werden über eine Zufallskennung verbunden, die nur im Arbeitsspeicher deines Reiters lebt und mit dem Schließen weg ist; auf deinem Gerät wird dafür nichts gespeichert. Für die Meldung liest dein Browser allerdings Angaben aus deinem Gerät aus (Fensterbreite als grobe Klasse, Herkunftsseite) — nach Auffassung des Europäischen Datenschutzausschusses kann das den Zugriffsbegriff des § 165 Abs. 3 TKG 2021 berühren. Ebene 1 läuft deshalb nur, wenn du im Fenster „Wiedererkennung erlauben“ wählst — bei „Nur Notwendiges“, ohne Wahl oder mit gesetztem Global Privacy Control messen wir gar nichts. Deine IP-Adresse speichern wir nicht; wir bilden daraus einen Prüfwert, in den der Kalendertag eingeht, um Besucher je Tag zu zählen. Dieser Wert ist ein Pseudonym, kein anonymer Wert: Mit unserem Schlüssel wäre eine Zuordnung technisch möglich — wir tun das nicht, und nach 90 Tagen sind die Rohdaten gelöscht. Rechtsgrundlage ist deine Einwilligung (§ 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar über „Cookie-Einstellungen“ im Fuß der Seite. Zu Ebene 1 gehört auch, welchen Schritt der kurzen Express-Anfrage du erreicht hast (z. B. „Schritt 2 von 4“, nie der Inhalt der Felder), ob du den Abbruch-Dialog geöffnet hast und — nur solange wir zwei Fassungen eines Textes vergleichen, etwa den Wortlaut eines Knopfs — welche der beiden Fassungen dir gezeigt wurde. Welche Fassung du siehst, entscheidet der Zufall; ohne deine Einwilligung wird dabei nichts gemessen und nichts gespeichert.
• Ebene 2 — nur mit deiner Einwilligung. Wenn du im Fenster „Wiedererkennung erlauben“ wählst, setzen wir ein Cookie mit einer zufälligen Kennung (spektra_besucher, 180 Tage). Damit erkennen wir, ob du schon einmal da warst — mehr nicht: kein Name, kein Profil, keine Weitergabe. Rechtsgrundlage: § 165 Abs. 3 TKG 2021 und Art. 6 Abs. 1 lit. a DSGVO. Deine Wahl selbst speichern wir in einem Cookie (spektra_messung, 180 Tage), damit wir nicht bei jedem Besuch erneut fragen — das ist technisch notwendig. Wählst du „Nur Notwendiges“ oder setzt dein Browser das Signal Global Privacy Control, messen wir gar nicht — weder Ebene 1 noch Ebene 2. Die Einwilligung kannst du jederzeit widerrufen:

  Du hast noch nicht gewählt — das Fenster erscheint beim nächsten Seitenaufruf.

Rohdaten beider Ebenen löschen wir nach 90 Tagen. Davor fassen wir sie zu Tageszahlen zusammen (Aufrufe, Besuche, Abschlüsse, Abbrüche je Seite), die keinen Bezug zu einer Person mehr haben, und übernehmen nur diese in unsere interne Verwaltung. Es findet keine Zusammenführung mit deinem Kundenkonto statt, auch nicht, wenn du angemeldet bist. Diese täglichen, bereits zu Zahlen verdichteten Werte bewahren wir bis zu zwei Jahre auf, um Entwicklungen zu erkennen (etwa ob eine Änderung an der Seite etwas verbessert hat) — nur als Summen ohne Personenbezug, nie als Rohdaten einzelner Besuche.

Auf Geräten unseres eigenen Teams setzen wir zusätzlich das Cookie spektra_intern (Inhalt nur „1“, 2 Jahre), damit unsere eigenen Besuche nicht mitgezählt werden. Besucher:innen und Kund:innen erhalten es nicht.

Anonyme Zählung der Seitenaufrufe

Zusätzlich dazu zählt unser Server rein serverseitig, wie oft eine öffentliche Seite ausgeliefert wird — ohne Cookie und ohne Einwilligung, weil dabei nichts auf deinem Gerät gespeichert oder von dort gelesen wird und keine personenbezogenen Daten gespeichert werden. Gespeichert wird ausschließlich eine Zahl je Minute und Seitenbereich (z. B. „/case-studies“: 4 Aufrufe zwischen 14:32 und 14:33 Uhr) — niemals deine IP-Adresse, keine Geräte- oder Browserkennung, kein Cookie und keine Sitzungskennung. Eine Zuordnung zu einer Person oder zu einem einzelnen Besuch ist damit nicht möglich.

Kopfzeilen deiner Anfrage (etwa die Browserkennung) liest der Server dabei nur im Moment der Anfrage aus, um automatische Zugriffe (Suchmaschinen-Bots) und Vorab-Ladeanfragen des Browsers nicht mitzuzählen — gespeichert werden sie nicht.

Private Bereiche zählen wir dabei nicht mit: dein Konto, Zahlungs- und Kassenseiten, Anmeldung und Registrierung sowie der Adminbereich.

Zweck ist, Auslastung und Reichweite der Website zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und wirtschaftlichen Betrieb) — soweit bei der Auslieferung überhaupt personenbezogene Daten (deine IP-Adresse) kurz verarbeitet werden; gespeichert werden ausschließlich die genannten anonymen Zahlen. Minutenwerte verdichten wir nach 35 Tagen zu Tagessummen.

Anonyme Zählung der Landungen je Werbe-Quelle

Kommst du über einen Link mit einer Quellenangabe auf die Seite (etwa aus einer Instagram-Anzeige, erkennbar am Zusatz „?quelle=…“ in der Adresse), zählt unser Server nur, wie oft an welchem Tag aus welcher Quelle in welchem Seitenbereich jemand gelandet ist — z. B. „26.09.2026, insta-dm, Startseite: 12 Landungen“. Auf der Anfrage-Seite zählen wir auf dieselbe Weise, wie oft welcher Schritt der Anfrage erreicht und wie oft sie abgeschickt wurde (z. B. „01.10.2026, meta-ad, Schritt 2: 30“) — ohne deine Eingaben, ohne Kennung. Auch dabei wird nichts auf deinem Gerät gespeichert oder von dort gelesen, und es werden keine personenbezogenen Daten gespeichert: keine IP-Adresse, keine Geräte- oder Browserkennung, kein Cookie, keine Sitzungskennung. Eine Zuordnung zu einer Person oder einem einzelnen Besuch ist nicht möglich. Zweck ist zu erkennen, welche Werbekanäle Besucher bringen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an wirtschaftlicher Werbung), soweit bei der Auslieferung überhaupt kurz personenbezogene Daten verarbeitet werden. Die Tageszahlen bewahren wir bis zu zwei Jahre auf.

Anonyme Zählung des Startseiten-Versuchs

Auf der Startseite zeigen wir eine von mehreren Fassungen des Kopfbereichs — welche, entscheidet bei jedem Aufruf neu der Zufall (Fassungen, die öfter zur Anfrage führen, werden dabei häufiger gezeigt). Unser Server zählt nur, an welchem Tag welche Fassung wie oft ausgeliefert wurde, wie oft danach die Anfrage geöffnet und wie oft sie abgeschickt wurde, getrennt nach der Quellenangabe im Link (z. B. „?quelle=insta-bio“). Dabei wird nichts auf deinem Gerät gespeichert oder von dort gelesen und es werden keine personenbezogenen Daten gespeichert: kein Cookie, keine Sitzungs- oder Besucherkennung, keine IP-Adresse, keine Geräte- oder Browserkennung. Welche Fassung du gesehen hast, reist nur als unsichtbares Formularfeld mit, wenn du die Anfrage selbst öffnest. Zweck ist, die Startseite laufend so zu verbessern, dass sie verständlicher ist und mehr Anfragen bringt; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit bei der Auslieferung überhaupt kurz personenbezogene Daten verarbeitet werden. Die Tageszahlen bewahren wir bis zu zwei Jahre auf. Mit deiner Einwilligung zur Messung (oben) sehen wir zusätzlich, welche Fassung du im Rahmen dieser Messung gesehen hast.

Anonyme Zählung der Abbruch-Gründe

Bricht jemand die kurze Express-Anfrage ab und wählt dabei mit einem Klick einen Grund (z. B. „zu teuer“), zählt unser Server ausschließlich, wie oft welcher Grund an welchem Tag gewählt wurde — und ob danach doch weitergemacht wurde. Auch hier: nichts wird auf deinem Gerät gespeichert oder von dort gelesen, und es werden keine personenbezogenen Daten gespeichert, nur eine Zahl je Tag und Grund. Zweck ist, die Abbruch-Ansicht zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer besseren, ehrlicheren Anfragestrecke).

Nimmst du dabei ein einmaliges Rabatt-Angebot an (Punkt 7o), speichern wir zusätzlich normalisierte, nicht im Klartext lesbare Kennungen (aus E-Mail-Adresse, Firmenname, Ort/PLZ, Telefonnummer) an deinem Konto, damit dasselbe Angebot nicht ein zweites Mal entsteht — dazu gleich mehr.

Davon zu unterscheiden ist unsere Messung mit Einwilligung weiter oben in diesem Punkt (Ebene 1 und 2): Nur sie zeigt „Besuche“ — also wie viele verschiedene Menschen da waren, nicht nur wie oft eine Seite aufgerufen wurde — und bleibt, wie dort beschrieben, an deine Einwilligung gebunden.

3. Welche Daten wir zu welchem Zweck verarbeiten

a) Aufruf der Website (Server-Logs)

Beim Aufruf verarbeitet unser Hosting-Anbieter technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp). Zweck: sicherer und stabiler Betrieb sowie Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Website).

b) Kundenkonto

Bei der Registrierung: Name, E-Mail-Adresse, optional Firma und Telefonnummer, ein ausschließlich als Hash (bcrypt) gespeichertes Passwort, eine automatisch vergebene Kundennummer sowie der Zeitpunkt deiner Zustimmung zu AGB und Datenschutzerklärung samt der akzeptierten Fassung. Zusätzlich verarbeiten wir einen zeitlich begrenzten Bestätigungscode zur Verifizierung deiner E-Mail-Adresse. Zweck: Bereitstellung des Kontos, Schutz vor Missbrauch und Nachweisbarkeit der Zustimmung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), hinsichtlich der Missbrauchsvermeidung Art. 6 Abs. 1 lit. f DSGVO. Unser Angebot richtet sich an Betriebe und Erwachsene; ein Konto dürfen Personen ab 14 Jahren anlegen (§ 4 Abs. 4 DSG), für Bestellungen gelten die Regeln der AGB.

c) Aufträge, Zahlungen und Abonnements

Gewählte Leistungen, Beträge, Bestellnummer, Status, Zahlungs- und Abo-Daten sowie der Zeitpunkt jeder Änderung, die du innerhalb des 30-minütigen Änderungsfensters selbst vornimmst. Zweck: Vertragsabwicklung, Rechnungslegung und Buchhaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuerrechtlichen Aufbewahrungspflichten (§ 132 BAO).

d) Projekt-Briefing

Bei jeder Projekt-Anfrage (der Chat unter /start) und beim Beauftragen eines Pakets beantwortest du Fragen zu deinem Vorhaben: Branche und Angebot deines Betriebs, Ziel der Website, ausgewählte Vorbilder aus unseren Referenzen, bestehende Website, gewünschte Design-Richtung, weitere Vorbilder, vorhandene Inhalte, Zeitrahmen und Budgetrahmen sowie — bei Premium — gewünschte Funktionen, Nutzerkreis, anzubindende Systeme, Datenumfang und Erfolgskriterien. Dazu kommt deine freiwillige persönliche Nachricht. Budget- und Zeitrahmen sind unverbindliche Bänder zur Einordnung und bei jeder Anfrage freiwillig. Zweck: Erstellung des ersten Entwurfs und Kalkulation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung).

Während du das Formular ausfüllst, werden deine Antworten ausschließlich lokal in deinem Browser (sessionStorage) zwischengespeichert, damit sie ein zwischenzeitliches Anmelden überstehen. Sie verlassen dein Gerät erst, wenn du absendest, und werden nach dem Absenden wieder gelöscht.

Beim Anfrageformular unter /start kommt noch etwas hinzu: Deine Eingaben werden während des Ausfüllens auf deinem Gerät zwischengespeichert (localStorage), damit sie erhalten bleiben, wenn du zwischendurch die Datenschutzerklärung liest, den Tab schließt oder später weitermachen willst. Sie liegen ausschließlich bei dir, werden nie an uns übertragen, solange du nicht absendest, und nach dem Absenden sofort gelöscht. Unabhängig davon verfällt ein liegengebliebener Entwurf nach 14 Tagen von selbst.

Dasselbe gilt für den Bestell-Chat unter /buy/chat, eine gleichwertige Chat-Oberfläche zum Konfigurator: Deine Auswahl (Paket, Extras, Menge, Betreuung), deine Briefing-Antworten, dein gewählter Kontaktweg mit der dafür angegebenen Kontaktangabe, eine freiwillige Notiz und ein eingegebener Empfehlungscode werden ebenso auf deinem Gerät (localStorage) zwischengespeichert und nach 14 Tagen automatisch verworfen.

Deine Zustimmung zur Datenschutzerklärung wird dabei bewusst NICHT wiederhergestellt — eine Einwilligung muss aktiv erteilt werden (Art. 4 Z 11 DSGVO).

d2) Anmelden und Registrieren mit Google

Du kannst ein Konto wahlweise mit E-Mail und Passwort anlegen oder über deinen Google-Account. Entscheidest du dich für Google, wirst du zu Google weitergeleitet und meldest dich DORT an — dein Google-Passwort bekommen wir nie zu sehen.

Was dabei zu uns fließt: deine E-Mail-Adresse, die Angabe, ob Google sie als bestätigt führt, dein bei Google hinterlegter Name und eine dauerhafte Kennung deines Google-Kontos. Mehr fordern wir nicht an — wir verlangen ausschließlich die Bereiche „openid“, „email“ und „profile“. Kontakte, Kalender, Dateien oder Fotos bleiben uns verschlossen.

Was zu Google fließt: dass jemand sich gerade bei spektra-sites.com anmelden möchte, samt deiner IP-Adresse und Browserkennung. Das ist technisch unvermeidbar, sobald du Google um die Anmeldung bittest.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Vertrag beziehungsweise vorvertragliche Maßnahme. Das ist bewusst KEINE Einwilligung: Du willst dich anmelden, und ohne diese Verarbeitung ginge das auf dem gewählten Weg nicht. Eine Einwilligung als Rechtsgrundlage wäre hier unpassend, weil du sie widerrufen könntest, ohne dass die Anmeldung dadurch möglich bliebe.

Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in den USA ist dabei nicht ausgeschlossen; sie ist über die Standardvertragsklauseln und das EU-U.S. Data Privacy Framework abgesichert (siehe Punkt 8).

Speicherdauer: Die Kennung deines Google-Kontos speichern wir, solange dein Konto besteht — sie ist der Schlüssel, mit dem wir dich beim nächsten Mal wiedererkennen. Während des Anmeldevorgangs selbst liegt ein kurzlebiges, signiertes Cookie (__Host-spektra_google) auf deinem Gerät (Schutz vor untergeschobenen Anmeldungen); es läuft nach zehn Minuten ab und wird nach dem Abschluss sofort gelöscht.

Du kannst die Verbindung jederzeit lösen, indem du dein Konto löschst (Konto → Einstellungen) oder uns schreibst. Unabhängig davon kannst du den Zugriff auch bei Google selbst entziehen, unter myaccount.google.com/permissions.

e) Kontaktwunsch

Du wählst, wie ich mich bei dir melden soll: per E-Mail, telefonisch, per Zoom-Meeting oder persönlich vor Ort. Je nach Wahl verarbeiten wir zusätzlich die dafür nötige Angabe:

• Anruf: deine Telefonnummer. Ist in deinem Profil noch keine Nummer hinterlegt, wird die hier angegebene Nummer zusätzlich in deinem Kundenkonto gespeichert.
• Zoom-Meeting: dein gewünschter Zeitraum. Die Einladung versenden wir per E-Mail; der Meeting-Dienst wird erst beim tatsächlichen Termin genutzt, dann gilt zusätzlich dessen Datenschutzerklärung.
• Persönlich vor Ort: die Adresse, an der wir uns treffen. Persönliche Termine bieten wir nur im Umkreis von rund 20 km um Deutsch-Wagram an. Die Adresse wird ausschließlich zur Terminvereinbarung und Anfahrt verwendet und nicht an Dritte weitergegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Diese Angaben sind für den gewählten Kontaktweg erforderlich — ohne sie können wir dich auf diesem Weg nicht erreichen. Du kannst jederzeit stattdessen den E-Mail-Weg wählen, für den keine zusätzlichen Daten nötig sind.

f) Anfragen über die Formulare

Name, E-Mail-Adresse, optional Telefon und Firma, Projektangaben und deine Nachricht. Zweck: Beantwortung und Bearbeitung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich) bzw. Art. 6 Abs. 1 lit. f DSGVO.

g) E-Mail-Postausgang

Jede E-Mail, die dir die Website schickt, wird vor dem Versand protokolliert: Empfängeradresse, Name, Betreff, Textinhalt, Versandzeitpunkt, Versandweg und ein etwaiger Fehler. Zweck: Nachvollziehbarkeit des Versands und erneuter Zustellversuch bei Fehlern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4. Wann welche Daten wohin fließen

Damit du es konkret nachvollziehen kannst, hier der tatsächliche Ablauf — in der Reihenfolge, in der es passiert:

• Beim Absenden eines Formulars werden deine Eingaben über eine TLS-verschlüsselte Verbindung an den Hosting-Anbieter (Vercel) übertragen und dort sofort in die Datenbank (Neon, EU-Region) geschrieben.
• Unmittelbar danach (Sekunden) erzeugt die Website zwei Einträge: eine E-Mail im Postausgang und ein Ereignis für das Backoffice.
• Innerhalb von rund 30 Sekunden holt das lokale Backoffice („SPEKTRA OS“) den Postausgang ab und versendet die E-Mail an dich — der Versand läuft über die Server von Google. Steht der Rechner des Verantwortlichen ausnahmsweise nicht zur Verfügung, verbleibt die Nachricht bis zur Zustellung im Postausgang der Website.
• Innerhalb von rund 3 Minuten holt das Backoffice die Ereignisse ab. Dabei werden dein Kundendatensatz, deine Bestellung und eine Aufgabe im Backoffice angelegt oder aktualisiert — einschließlich Kundennummer, Kontaktwunsch, Briefing und deiner Nachricht.
• Parallel geht eine Benachrichtigung an die geschäftliche Adresse des Verantwortlichen. Sie enthält ausschließlich deine Kundennummer — keinen Namen, keine Adresse, keinen Betrag. Die Einzelheiten sieht der Verantwortliche im Backoffice, nicht im Postfach.
• Bei einer Online-Zahlung wirst du zu Stripe weitergeleitet. Zahlungsmittel-Daten geben wir nicht ein und sehen wir nicht; wir erhalten von Stripe nur Status, Betrag und Referenznummern zurück.
• Bei einer Zahlung vor Ort wird die Karte über SumUp Tap to Pay eingelesen. Die Kartendaten verarbeitet ausschließlich SumUp; wir erhalten Betrag, Zeitpunkt und Transaktionscode.
• Bei einer Zahlungsaufforderung bekommst du eine E-Mail mit einem persönlichen Zahlungslink. Ein Klick darauf öffnet eine Seite mit Betrag und Leistung; bezahlt wird anschließend wieder über Stripe (siehe Punkt 7b).
• Im laufenden Betrieb entstehen im Backoffice Rechnungen, Angebote und Belege. Diese Dokumente werden in Google Drive abgelegt; zusätzlich werden verschlüsselte Sicherungen der Backoffice-Datenbank dort gespeichert.
• Nur wenn der Verantwortliche den KI-Assistenten im Backoffice nutzt, werden die dafür abgefragten Daten an Anthropic übermittelt (siehe Punkt 6).

5. Wo deine Daten gespeichert sind

• Website-Datenbank (Konto, Bestellungen, Briefing, Anfragen, Postausgang): Neon, Rechenzentrums-Region innerhalb der EU.
• Website-Betrieb und Server-Logs: Vercel.
• Backoffice „SPEKTRA OS“: lokal auf einem Rechner des Verantwortlichen in Deutsch-Wagram, Österreich — nicht öffentlich erreichbar.
• Dokumente und verschlüsselte Sicherungen: Google Drive.
• Geschäftliche E-Mails und automatischer Versand: Google-Workspace-Postfach des Verantwortlichen.
• Zahlungsdaten: ausschließlich bei Stripe (online) bzw. SumUp (vor Ort).
• Sicherheitszähler (siehe Punkt 7a): in der Website-Datenbank, längstens 48 Stunden.

6. Verarbeitung im internen Backoffice „SPEKTRA OS“

Zur Auftrags-, Rechnungs- und Kundenverwaltung werden deine Konto-, Bestell- und Anfragedaten automatisch in das interne Backoffice-System von SPEKTRA („SPEKTRA OS“) übernommen. Dieses System läuft lokal auf einem Rechner des Verantwortlichen in Österreich und ist nicht öffentlich erreichbar. Dort entstehen unter anderem Kundendatensätze, Aufgaben, Angebote, Rechnungen und Belege. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Löschst du dein Konto auf der Website, wird die Löschung automatisch an das Backoffice weitergegeben und deine dort gespeicherten personenbezogenen Daten werden entfernt oder — soweit Aufbewahrungspflichten bestehen — anonymisiert.

7. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist. Mit den folgenden Dienstleistern bestehen bzw. werden Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen:

• Vercel Inc. (USA) — Hosting und Auslieferung der Website. Verarbeitete Daten: Zugriffsdaten, sämtliche über die Website übermittelten Eingaben. Zusätzlich ein privater Dateispeicher („Vercel Blob“, Region Frankfurt) für Dateien, die du hochlädst oder die wir dir im Konto bereitstellen (u. a. Rechnungen, Vereinbarungen, Fotos und Logos). Der Speicher ist nicht öffentlich zugänglich; Dateien werden nur über dein Konto bzw. das Backoffice nach Anmeldung ausgeliefert.
• Neon Inc. (USA, Datenhaltung in der EU-Region) — Betrieb der Datenbank mit Konto-, Bestell- und Anfragedaten.
• Stripe Payments Europe, Ltd. (Irland) — Abwicklung von Online-Zahlungen und Abonnements. Zahlungsdaten wie Kartennummern werden ausschließlich von Stripe verarbeitet und gelangen nicht auf unsere Server. Angeboten werden Karte, Apple Pay, Google Pay, EPS-Überweisung, SEPA-Lastschrift und Link. Wählst du Apple Pay oder Google Pay, wirkt zusätzlich Apple bzw. Google nach deren eigenen Datenschutzbestimmungen mit; bei EPS läuft die Zahlung über dein Online-Banking. „Link“ ist die Schnellkasse von Stripe: Nur wenn du dich dort selbst anmeldest, speichert Stripe deine Zahlungsdaten für künftige Einkäufe — dafür ist Stripe eigenständig verantwortlich. Es gilt zusätzlich die Datenschutzerklärung von Stripe.
• SumUp Limited (Irland; technische Abwicklung durch SumUp Payments Limited, Vereinigtes Königreich) — Abwicklung von Kartenzahlungen vor Ort (Tap to Pay). Verarbeitet werden Zahlungsbetrag, Zeitpunkt, Transaktionscode und die Kartendaten; Letztere verarbeitet ausschließlich SumUp, sie gelangen nicht an uns. Auf Wunsch wird der Beleg an eine von dir angegebene E-Mail-Adresse oder Telefonnummer geschickt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Automatischer E-Mail-Versand — Bestätigungscodes, Willkommensnachrichten, Eingangsbestätigungen, Zahlungsaufforderungen sowie Zahlungs- und Abo-Bestätigungen werden über das Google-Workspace-Konto des Verantwortlichen versendet (siehe Google Ireland Limited bzw. Google LLC). Der Versand erfolgt unmittelbar vom Server der Website aus; das lokale Backoffice muss dafür nicht laufen. Übermittelt werden E-Mail-Adresse, Name und Inhalt der jeweiligen Nachricht. Ein gesonderter Versanddienstleister wird derzeit nicht eingesetzt.
• Google Ireland Limited / Google LLC — Wir nutzen im Backoffice Google Drive zur Ablage von Geschäftsdokumenten (unter anderem Rechnungen, Belege, Vereinbarungen) sowie zur Speicherung verschlüsselter Datenbanksicherungen. Diese Dokumente und Sicherungen können deinen Namen, deine Kontaktdaten und Auftragsdaten enthalten. Zusätzlich nutzen wir Gmail, um geschäftliche E-Mails an dich zu senden und eingehende Nachrichten zu lesen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Google Ireland Limited — Anmeldung und Registrierung über ein Google-Konto, sofern du diesen Weg wählst (siehe Punkt 3 d2). Übermittelt werden E-Mail-Adresse, Name und eine Kontokennung; angefordert werden ausschließlich die Bereiche „openid“, „email“ und „profile“.
• Anthropic PBC (USA) — Im Backoffice steht ein KI-Assistent zur Verfügung, der den Verantwortlichen bei kaufmännischen Auswertungen und beim Formulieren von Nachrichten unterstützt. Wenn dieser Assistent genutzt wird, können dabei Kundendaten (z. B. Name, Firma, Ort, UID), Rechnungs- und Auftragsdaten sowie Finanzkennzahlen an Anthropic übermittelt und dort verarbeitet werden. Die Nutzung erfolgt über die Unternehmens-Schnittstelle (API); eine Verwendung der Daten zum Training von KI-Modellen findet nach Angaben des Anbieters dabei nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Betriebsführung). Du kannst dieser Verarbeitung jederzeit widersprechen (siehe Punkt 11); wir verarbeiten deine Daten dann ohne KI-Unterstützung.

Darüber hinaus können Daten an Steuerberatung, Behörden (insbesondere Finanzamt) und, im Streitfall, an Rechtsvertretung weitergegeben werden, soweit dies gesetzlich vorgeschrieben oder zur Rechtsdurchsetzung erforderlich ist.

7a. Schutz vor Missbrauch (Ratenbegrenzung)

Um automatisierte Angriffe auf Kundenkonten abzuwehren — Passwort-Raten, massenhaftes Anlegen von Konten, das Fluten fremder Postfächer mit Bestätigungsmails — zählt die Website fehlgeschlagene Versuche. Dabei werden deine IP-Adresse und die betroffene E-Mail-Adresse als Zähler gespeichert, zusammen mit der Anzahl der Versuche und dem Zeitpunkt. Ein Bewegungs- oder Nutzungsprofil entsteht daraus nicht: Gespeichert wird nur, dass etwas fehlgeschlagen ist, nicht was du dir angesehen hast.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Sicherheit der Verarbeitung, das zugleich der Pflicht aus Art. 32 DSGVO nachkommt. Diese Zähler werden spätestens nach 48 Stunden gelöscht.

7b. Persönliche Zahlungslinks

Für eine Zahlungsaufforderung erhältst du unter Umständen einen persönlichen Link (Adresse der Form /pay/…). Er enthält ein zufällig erzeugtes Geheimnis und erlaubt dir, ohne Anmeldung zu bezahlen. Auf unseren Servern liegt nicht der Link selbst, sondern nur eine kryptografische Prüfsumme davon; aus der gespeicherten Fassung lässt sich der Link nicht zurückrechnen. Die zugehörige Seite zeigt bewusst nur Vorname, Betrag und Leistung — keine Anschrift, keine Telefonnummer, keine vollständige E-Mail-Adresse. Der Link verliert nach 90 Tagen seine Gültigkeit; auf Wunsch erhältst du jederzeit einen neuen, wodurch der alte sofort ungültig wird.

7c. Anfrage über die Case Studies

Wenn du über die Case Studies (/case-studies) eine Website als Vorbild aussuchst oder deine Branche antippst und darüber eine Anfrage startest, verarbeiten wir zusätzlich zu deinen Kontaktdaten: die gewählte Branche, die von dir angekreuzten Ziele und die Website, die dir gefallen hat. Zweck ist ausschließlich, den ersten Entwurf passend zu bauen — ohne diese Angaben müssten wir bei null anfangen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf deine Anfrage).

Es findet kein Profiling statt: Die Angaben werden nicht mit anderen Quellen zusammengeführt, nicht zur Bewertung deiner Person verwendet und nicht an Werbenetzwerke weitergegeben.

7d. Vereinbarung und elektronische Unterschrift

Bevor wir zu bauen beginnen, unterschreibst du in deinem Kundenkonto eine Vereinbarung. Dabei speichern wir:

• deinen getippten vollen Namen und den gezeichneten Namenszug,
• Zeitpunkt der Unterschrift und die unterschriebene Sprachfassung,
• eine Prüfsumme des exakten Wortlauts (SHA-256) — damit später nachweisbar bleibt, welche Fassung dir vorlag,
• die drei Zustimmungen einzeln (Datennutzung, Werbe-Erlaubnis, vorzeitiger Beginn nach § 10 FAGG),
• IP-Adresse und Browserkennung — ausschließlich zur Missbrauchsabwehr und nur 30 Tage lang. Danach werden sie automatisch entfernt; für den Nachweis der Unterschrift werden sie nicht benötigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. c DSGVO (Nachweispflichten). Die Werbe-Erlaubnis ist freiwillig und beruht auf Art. 6 Abs. 1 lit. a DSGVO — du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass das deine Website berührt.

7e. Der KI-Chat auf der Website

Unten rechts auf der Website steht eine Chat-Blase, in der du Fragen zu SPEKTRA stellen kannst — zum Angebot, zum Ablauf, zu Preisen, zur Zahlung oder zu rechtlichen Punkten. Sie ist etwas ANDERES als der KI-Assistent im Backoffice aus Punkt 7: Diesen hier löst DU als Besucher:in selbst aus, mit deiner eigenen Frage.

Anbieter: Anthropic PBC (USA) — derselbe Anbieter wie in Punkt 7, hier aber über eine eigene, getrennte technische Anbindung.

Nur mit Konto und ausdrücklicher Zustimmung. Der Chat lässt sich erst benutzen, wenn du ein SPEKTRA-Konto hast und dort einmal bestätigt hast, dass deine Eingaben zur Beantwortung an Anthropic übermittelt werden dürfen. Wir halten fest, wann du das bestätigt hast und welche Fassung dieser Erklärung dabei galt — das ist der Nachweis nach Art. 7 Abs. 1 DSGVO. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; zur Übermittlung in die USA siehe Punkt 8). Du kannst sie jederzeit mit Wirkung für die Zukunft zurücknehmen; der Chat steht dir dann nicht mehr offen, alles andere an deinem Konto bleibt unberührt. Ändert sich diese Erklärung, fragen wir erneut, statt eine alte Zustimmung weiterzuverwenden.

Der Chat kennzeichnet sich als Maschine — im Kopf des Fensters und über dem Eingabefeld. Das ist keine Höflichkeit, sondern Art. 50 der KI-Verordnung (EU) 2024/1689: Wer mit einem KI-System spricht, muss das wissen.

Was übertragen wird: ausschließlich der Text, den du in das Chatfeld tippst (und, falls du weiterfragst, deine vorherigen Fragen in DERSELBEN Unterhaltung — die Oberfläche hält diesen Verlauf in deinem Browser, nicht wir). Dazu ein fester, vorformulierter Auftrag mit öffentlich auf dieser Website stehenden Fakten (Preise, Ablauf, Rechtstexte) — das sind unsere eigenen Angaben, keine Daten über dich.

Was NICHT übertragen wird: kein Name, keine E-Mail-Adresse, keine Kontodaten, kein Bestellverlauf — selbst wenn du gerade angemeldet bist, weiß der Chat nichts davon. Die Anfrage an Anthropic geht direkt von unserem Server aus; Anthropic sieht dabei die Adresse UNSERES Servers, nicht deine. Es entsteht auch kein Tracking-Zusammenhang zwischen deinen Chat-Fragen und deinem sonstigen Besuch der Website — das signierte Cookie (spektra_ki_zaehler), das lediglich die Tages-Höchstzahl an Fragen zählt (Punkt 7a-artig, längstens zwei Tage gültig), bleibt auf unserem Server und wird nie an Anthropic weitergegeben.

Wie lange gespeichert wird: Wir speichern den Gesprächsinhalt selbst NICHT in unserer Datenbank — weder die Frage noch die Antwort. Gespeichert wird lediglich, wie viele Wortmarken insgesamt pro Kalendermonat verbraucht wurden (eine Zahl, kein Text), um eine selbst gesetzte Ausgabenobergrenze einzuhalten. Wie lange Anthropic die übertragenen Texte auf der eigenen Seite vorhält, richtet sich nach dessen Angaben und Datenschutzerklärung; nach Angaben des Anbieters werden über diese Schnittstelle übertragene Daten nicht zum Training von KI-Modellen verwendet (wie in Punkt 7 zum Backoffice-Assistenten beschrieben). Entscheidest du dich, uns über das anschließende Formular direkt zu erreichen, gilt dafür dieselbe Regel wie für jede andere Anfrage (siehe Punkt 3d und Punkt 9) — dort wird eine E-Mail-Adresse und dein Anliegen gespeichert, ausdrücklich mit deiner Zustimmung.

Rechtsgrundlage: deine Einwilligung beim Öffnen des Chats (Art. 6 Abs. 1 lit. a DSGVO); ohne sie wird nichts an Anthropic übermittelt. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt: Der Chat trifft keine Entscheidung über dich, schließt keinen Vertrag ab und löst von sich aus keine Zahlung aus — er beantwortet Fragen, mehr nicht. Und: Der Chat ersetzt keine Rechts- oder Steuerberatung. Er fasst die eigenen, öffentlich stehenden Rechtstexte sachlich zusammen, bewertet aber keinen Einzelfall — für eine verbindliche Einschätzung wende dich an eine fachkundige Stelle.

7f. KI-Chatbots auf Websites unserer Kund:innen

Betreibst du bei uns einen KI-Chatbot für deine eigene Website, verarbeiten wir die Einstellungen deines Bots (Name, Wissen, Verhalten, freigegebene Domains), deine Aufladungen und den Verbrauch je Bot und Tag, um den Dienst zu erbringen und abzurechnen (Art. 6 Abs. 1 lit. b DSGVO). Den Einrichtungs-Assistenten und die Vorschau kannst du erst nach deiner Zustimmung aus Punkt 7e benutzen; was du dort eingibst, geht zur Beantwortung an Anthropic (Punkt 7e).

Für die Besucher:innen der Websites unserer Kund:innen ist die jeweilige Kundin / der jeweilige Kunde verantwortlich; wir verarbeiten deren Nachrichten nur in ihrem Auftrag (Art. 28 DSGVO, siehe Auftragsverarbeitungsvertrag). Es gilt die Datenschutzerklärung der jeweiligen Website. Wir speichern keine Gesprächsinhalte. Zur Abwehr von Missbrauch halten wir einen nicht rückführbaren, täglich wechselnden Prüfwert der IP-Adresse höchstens zwei Tage fest, dazu nur Zählwerte je Bot und Tag (Anzahl der Nachrichten, verbrauchte Wortmarken, Kosten). Das Chatfenster setzt keine Cookies; den Gesprächsverlauf merkt es sich nur für die laufende Browsersitzung im Speicher des Browsers (sessionStorage), damit das Gespräch beim Seitenwechsel nicht verloren geht.

Aufladungen und Verbrauch bewahren wir auf, solange es für die Abrechnung nötig ist, und danach so lange, wie es die unternehmens- und steuerrechtlichen Aufbewahrungspflichten verlangen (in der Regel sieben Jahre, § 132 BAO).

7g. Empfehlungsprogramm

Nimmst du am Empfehlungsprogramm teil (Teilnahmebedingungen unter /empfehlen/bedingungen), verarbeiten wir zu deinem Konto zusätzlich: deinen persönlichen Empfehlungscode, Zeitpunkt und Fassung deiner Zustimmung zu den Teilnahmebedingungen samt Bestätigung der Volljährigkeit, die gewählte Auszahlungsart, freiwillig deine Bankverbindung (IBAN und Kontoinhaber) sowie je Empfehlung deren Stand, Prämie und Auszahlung. Zweck: Durchführung des Programms und Auszahlung der Prämien (Art. 6 Abs. 1 lit. b DSGVO). Die Bankverbindung speichern wir verschlüsselt und zeigen sie im Konto nur gekürzt an. Ändert sich die Bankverbindung, schicken wir dir eine Bestätigung per E-Mail — ohne die Nummer selbst.

Übersteigen die Prämien an dich in einem Kalenderjahr 900 €, fragen wir zusätzlich deine Anschrift und dein Geburtsdatum ab und speichern beides verschlüsselt: die Anschrift als Beleg für die Auszahlung (§ 132 BAO), das Geburtsdatum für eine Mitteilung an das Finanzamt nach § 109a EStG, soweit sie für Empfehlungsprämien vorgeschrieben ist — nur dafür geben wir es an das Finanzamt weiter (Art. 6 Abs. 1 lit. c DSGVO).

Wurdest du von jemandem empfohlen, speichern wir an deinem Konto, über welchen Code du gekommen bist, und an deiner Bestellung den Empfehlungsrabatt (Art. 6 Abs. 1 lit. b DSGVO). Die Person, die dich empfohlen hat, erfährt dabei nichts über dich: Sie sieht je Empfehlung nur eine Nummer, den Stand (etwa „bestellt“ oder „bezahlt“), das Datum und ihre Prämie — nie deinen Namen, deine Kontaktdaten oder was du bestellt hast. Ihren Vornamen zeigen wir dir auf der Empfehlungsseite nur, wenn sie dem zugestimmt hat.

Damit sich niemand selbst empfiehlt, vergleichen wir bei einer fälligen Prämie Name, Firma, Telefonnummer und E-Mail-Adresse von Partner und geworbenem Kunden automatisch miteinander (Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, Missbrauch zu verhindern). Ein Treffer entscheidet nichts: Er bewirkt nur, dass wir die Empfehlung vor der Auszahlung persönlich prüfen (keine automatisierte Entscheidung im Sinn von Art. 22 DSGVO). Wird eine Zahlung über Stripe vollständig erstattet, erfahren wir das über Stripe; eine noch nicht ausgezahlte Prämie entfällt dann.

Wir verschicken keine Einladungen oder Werbenachrichten an Personen, die ein Partner uns nennt — geteilt wird der Link ausschließlich vom Partner selbst. Mails an Partner enthalten keine Angaben über geworbene Kund:innen. In das interne Backoffice (Punkt 6) übernehmen wir zur Buchhaltung Name, E-Mail-Adresse und Code des Partners sowie Prämie, Auszahlungsart und -datum, nicht aber die Bankverbindung. Programmdaten löschen wir mit deinem Konto; Belege über ausgezahlte Prämien bewahren wir nach den steuerrechtlichen Pflichten auf (in der Regel sieben Jahre, § 132 BAO).

7h. Kurs-Warteliste

Trägst du dich in die Warteliste für unseren (noch nicht fertigen) Selbermach-Kurs ein (Seite /kurs), verarbeiten wir deine E-Mail-Adresse, optional deinen Namen, einen persönlichen Einladungscode, gegebenenfalls den Code, über den du kamst, sowie zur Missbrauchsabwehr deine IP-Adresse. Zweck: dich per E-Mail über den Fortschritt des Kurses zu informieren (etwa bei jedem 100er-Schritt). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die wir im Double-Opt-in-Verfahren einholen — die Anmeldung zählt erst nach Klick auf den Bestätigungslink in der E-Mail. Du kannst dich mit einem Klick am Ende jeder Mail jederzeit wieder abmelden; deinen Widerruf halten wir im Nachweis-Protokoll fest (Punkt 7k). Die IP-Adresse löschen wir nach 30 Tagen, nicht bestätigte Einträge verfallen von selbst. Es findet kein Verkauf und kein Zahlungsvorgang statt; der genannte Preis ist unverbindlich und heute nicht kaufbar.

7k. Nachweise über deine Zustimmungen

Wenn du auf dieser Website etwas bestätigst — bei der Registrierung, einer Bestellung, einer Zahlung über einen Zahlungslink, der Abnahme deiner Website, einer Unterschrift, der Nutzung des KI-Assistenten oder des KI-Chatbots (samt Auftragsverarbeitungsvertrag), der Teilnahme am Empfehlungsprogramm, beim Ein- oder Ausschalten von Werbemails und bei der Löschung deines Kontos —, halten wir fest: was du bestätigt hast (den genauen Wortlaut), wann, in welcher Fassung unserer Rechtstexte, worauf es sich bezog (etwa die Auftragsnummer) sowie deinen Namen, deine E-Mail-Adresse und deine Kundennummer zu diesem Zeitpunkt. IP-Adresse und Browserkennung speichern wir dazu nur 30 Tage (Missbrauchsabwehr); danach werden sie automatisch entfernt. Außerdem archivieren wir jede Fassung unserer Rechtstexte, damit belegbar bleibt, welcher Wortlaut wann galt.

Zweck: belegen zu können, dass Verträge und Einwilligungen wirksam zustande gekommen sind (Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO), und Rechtsansprüche geltend zu machen oder abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO. Eine Kopie jedes Nachweises liegt in unserem internen Backoffice (Punkt 6) samt dessen Sicherungen (lokal und in Google Drive). Die Nachweise bleiben auch nach der Löschung deines Kontos erhalten, solange Ansprüche daraus möglich sind — längstens sieben Jahre ab Ende des Jahres der Zustimmung; danach löschen wir sie (Art. 17 Abs. 3 lit. e DSGVO).

7i. Mira — die KI-Telefonstimme

Über die Demo auf dieser Website kannst du Mira, unsere KI-Telefonstimme, selbst anrufen (höchstens einmal am Tag je Browser). Betriebe können Mira außerdem als Produkt für die eigenen eingehenden Anrufe buchen; dafür gilt zusätzlich der Auftragsverarbeitungsvertrag und Punkt 8d der AGB.

Kein Mitschnitt. Keiner. In Österreich ist das Aufzeichnen eines privaten Gesprächs ohne Zustimmung nicht nur ein Datenschutzproblem, sondern nach § 120 StGB strafbar. Deshalb ist es so gebaut, dass sich die Frage gar nicht stellt: Der Ton wird im Vorbeilaufen von der Spracherkennung deines Browsers in Text umgewandelt — je nach Browser auf Servern des Herstellers (bei Chrome: Google) — und danach verworfen; bei uns kommt nur Text an. Es gibt in unserem System keinen Ort, an dem eine Aufnahme liegen könnte.

Was von einem Anruf bleibt: Wie lang er war, was er gekostet hat, und ein Satz darüber, worum es ging — ohne Namen und ohne Nummern. Wolltest du einen Rückruf, behalten wir, was du uns genau dafür gegeben hast. Alles andere ist mit dem Auflegen weg.

Zwei getrennte Rechtsgrundlagen: Für den Anruf selbst — dass er stattfindet, verstanden und beantwortet wird — ist deine Einwilligung die Rechtsgrundlage (Art. 6 Abs. 1 lit. a DSGVO): Vor dem ersten Wort zeigen wir ein nicht vorausgewähltes Kästchen mit dem Wortlaut, dem du zustimmst. Bittest du Mira ausdrücklich um einen Rückruf, verarbeiten wir die dafür nötigen Angaben (Name, Rückrufnummer oder E-Mail, Betrieb, Anliegen, gewünschtes Zeitfenster) stattdessen auf Grundlage einer vorvertraglichen Maßnahme (Art. 6 Abs. 1 lit. b DSGVO) — wie beim Kontaktwunsch in Punkt 3e. Beides wird nicht vermischt: Ohne Rückrufwunsch verarbeiten wir nach dem Auflegen nichts mehr, das dich identifizieren könnte.

Nachweis der Einwilligung: Ein Demo-Anruf läuft ohne Konto. Wir halten trotzdem fest, dass und wozu zugestimmt wurde: Zeitpunkt, welche Fassung dieses Textes galt, der genaue angezeigte Wortlaut und die serverseitige Anruf-Kennung — bewusst ohne Namen, ohne IP-Adresse und ohne Browserkennung, weil dafür kein Konto und keine Identität nötig ist (Nachweispflicht nach Art. 7 Abs. 1 DSGVO). Ändert sich dieser Text, gilt eine ältere Zustimmung nicht mehr automatisch weiter — dann fragen wir erneut, statt eine alte Fassung weiterzuverwenden.

Wer bei der Verarbeitung hilft: Anthropic (USA) fürs Verstehen und Antworten, ElevenLabs (USA) für die Stimme. Beide arbeiten auf unsere Weisung im Rahmen eines Auftragsverarbeitungsvertrags und dürfen die Inhalte für nichts Eigenes verwenden. Zur Übermittlung in die USA siehe Punkt 8.

• Anthropic (USA) — Sprachmodell
• ElevenLabs (USA) — Sprachausgabe

Gegen Missbrauch wirken zwei weitere, unabhängige Bremsen. Ein Tageszähler je Besucher:in (höchstens ein Anruf am Tag): Dafür wird nur ein nicht rückführbarer, täglich wechselnder Prüfwert aus IP-Adresse und Tagessalz (HMAC) gespeichert, nie die IP-Adresse selbst. Ein signiertes Cookie (spektra_mira_zaehler, längstens zwei Tage gültig) hält zusätzlich fest, dass diese Grenze für diesen Browser bereits geprüft wurde. Daneben eine kurzfristige Bremse gegen zu viele Anrufversuche von derselben Adresse in kurzer Zeit — dieselbe allgemeine Ratenbegrenzung, die auch Anmeldungen und den KI-Chat schützt (Punkt 7a): Hier wird die IP-Adresse für die Dauer des Zeitfensters gespeichert, nicht nur als Prüfwert.

Aufbewahrung: Anrufdaten werden nach 30 Tagen automatisch gelöscht. Rückrufwünsche folgen der Aufbewahrung gewöhnlicher Anfragen.

Deine Rechte: Du kannst jederzeit auflegen — der Knopf wirkt sofort, nicht erst am Satzende. Deine Einwilligung kannst du jederzeit zurücknehmen; sie gilt für künftige Anrufe, weil von vergangenen nichts aufbewahrt wird, das man zurücknehmen könnte. Für Auskunft, Berichtigung oder Löschung zu einem konkreten Anruf schreib uns unter Angabe von Zeitpunkt und ungefährem Inhalt an die in Punkt 11 genannte Adresse.

Mira trifft keine Entscheidung über dich, schließt keinen Vertrag ab und löst keine Zahlung aus — auch keine automatisierte Entscheidungsfindung im Sinn von Art. 22 DSGVO (siehe Punkt 12). Sie vereinbart höchstens einen Rückruftermin; ob und wie SPEKTRA oder ein Betrieb darauf reagiert, entscheidet ein Mensch.

7j. Werkstatt — Website-Änderungen per KI

Wenn du im Konto eine Änderung an deiner Website beschreibst, verarbeiten wir deinen Wunschtext, die dafür nötigen Dateien deiner Website (Quelltext, keine personenbezogenen Daten deiner Besucher:innen) und das Ergebnis der Prüfungen. Wunschtext und die ausgewählten Dateien werden an Anthropic (USA, siehe Punkt 8) übermittelt, das die Änderung erzeugt und rechtlich vorprüft; Anthropic verwendet diese Daten nach seinen Geschäftsbedingungen nicht zum Training. Die Änderung wird in einem Zweig deines Website-Repositories bei GitHub, Inc. (USA) abgelegt und von Vercel, Inc. (USA) als Vorschau gebaut. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Jede Veröffentlichung protokollieren wir mit Zeitpunkt, deiner Kundennummer und dem Wortlaut deines Wunsches (Punkt 7k) — als Nachweis, wer welche Änderung freigegeben hat. Bearbeitungsaufträge bleiben zwölf Monate nach Abschluss — also nach deiner Entscheidung, Freigabe oder Verwerfen — im Konto sichtbar, Guthaben-Buchungen so lange wie das Konto besteht (Rechnungswesen); triffst du innerhalb von 90 Tagen keine Entscheidung, verwerfen wir die Vorschau automatisch. Vorschau-Zweige löschen wir beim Veröffentlichen oder Verwerfen.

7l. Terminbuchungen auf Websites unserer Kunden

Setzt eine Kundin / ein Kunde bei uns das Buchungs-Modul auf der eigenen Website ein, verarbeiten wir für sie/ihn die Termindaten, die Besucher:innen dieser Website beim Buchen angeben: Name, Telefon, optional E-Mail-Adresse, Einsatzadresse und Ort, Fahrzeugangaben, gewählte Leistungen, Termin und eine freiwillige Nachricht. Zur Abwehr von Missbrauch dazu ein nicht rückführbarer, täglich wechselnder Prüfwert der IP-Adresse (HMAC). Verantwortliche:r für diese Daten ist die jeweilige Kundin / der jeweilige Kunde; wir verarbeiten sie nur in ihrem Auftrag (Art. 28 DSGVO, siehe Auftragsverarbeitungsvertrag). Es gilt die Datenschutzerklärung der jeweiligen Website.

Sechs Monate nach dem Termin löschen bzw. anonymisieren wir automatisch die personenbezogenen Felder (Name, Telefon, E-Mail, Adresse, Fahrzeugangaben, Nachricht) — nur die Termindaten selbst (Datum, Uhrzeit, Leistungen, Status) bleiben für die Statistik der Kundin / des Kunden bestehen. Auf ihre / seine Weisung löschen wir früher. Kalender-Abo-Links (webcal://…) sind das Geheimnis der Kundin / des Kunden — wir geben sie nicht weiter.

7m. Kostenlose Website-Vorschau (SPEKTRA Fabrik)

Füllst du im Anfrage-Chat das zusätzliche Briefing aus und stimmst der Fabrik-Zustimmung zu, bauen wir daraus automatisch eine private, unveröffentlichte Vorschau deiner Website samt einem probeweisen KI-Assistenten. Dafür verarbeiten wir deine Angaben im Briefing und die von dir hochgeladenen Dateien (Logo, Fotos) und übermitteln sie an Anthropic PBC (USA) zum Erstellen der Texte, der Gestaltung und des Assistenten (dabei können personenbezogene Angaben aus dem Briefing enthalten sein, etwa ein Name im Impressum oder eine Kontaktadresse) sowie an Cloudflare, Inc. (USA) und Vercel, Inc. (USA) zum Verwalten, Bauen und Ausliefern der Vorschau-Website. Ein KI-Bilder-/3D-Dienst erzeugt Vorschau-Bildmaterial nur aus Motivbeschreibungen — er erhält ausdrücklich keine personenbezogenen Daten und keine deiner hochgeladenen Dateien. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; zur Übermittlung in die USA siehe Punkt 8). Die Vorschau ist nicht öffentlich beworben und nicht von Suchmaschinen auffindbar; sie liegt ausschließlich in deinem Konto. Der probeweise KI-Assistent beantwortet Fragen zu deinem Betrieb wie ein gewöhnlicher KI-Chatbot (Punkt 7f) — die Kosten dafür trägt SPEKTRA, nicht du.

Solange du keine Entscheidung triffst, bleibt die Vorschau höchstens 90 Tage nach der Zustellung stehen — danach löschen wir sie samt Briefing, hochgeladenen Dateien und Assistent automatisch. Du kannst jederzeit widerrufen (Nachricht über dein Konto genügt); dann löschen wir alles sofort. Entscheidest du dich für den Assistenten, gilt ab dann Punkt 7f wie bei jedem gekauften KI-Chatbot.

7n. Instagram, Anzeigen auf Instagram und ManyChat

Wir sind auf Instagram vertreten und schalten dort Anzeigen. Instagram betreibt die Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Irland); was Meta mit deinen Daten macht, wenn du Instagram nutzt, regeln die Nutzungsbedingungen und die Datenschutzrichtlinie von Meta. Unsere Anzeigen spielt Meta nach allgemeinen Kriterien aus, die wir wählen (etwa Region und Interessen) — wir sehen davon nur zusammengefasste Zahlen wie Reichweite und Klicks, keine Namen. Diese Website selbst bindet weiterhin kein Meta-Pixel und keinen anderen Tracker ein.

Nachrichten an uns auf Instagram: Schreibst du uns dort — auch über eine Anzeige —, beantworten wir das mit Hilfe von ManyChat (ManyChat, Inc., USA) als Auftragsverarbeiter. ManyChat erhält dabei deinen Instagram-Namen und -Nutzernamen, die Nachrichten in diesem Gespräch und deine Antworten auf unsere Auswahlfragen (etwa deine Branche) und verschickt die automatischen Antworten in unserem Auftrag. Rechtsgrundlage ist die Beantwortung deiner Anfrage (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an einer schnellen Antwort (Art. 6 Abs. 1 lit. f DSGVO). Folgst du dann unserem Link auf diese Website, halten wir bei deiner Anfrage nur fest, über welchen Weg sie kam (z. B. „insta-dm“) — nicht dein Instagram-Profil. Die Gesprächsdaten bei ManyChat löschen wir, sobald sie für deine Anfrage und eine mögliche Beauftragung nicht mehr nötig sind; du kannst die Löschung jederzeit verlangen (Punkt 11).

Für die Statistiken, die Meta uns zu unserem Instagram-Auftritt anzeigt (Insights), sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu stellt Meta bereit („Page Insights Controller Addendum“); Meta übernimmt darin die primäre Verantwortung, auch für deine Betroffenenrechte — du kannst sie aber auch uns gegenüber geltend machen. Zur Übermittlung in die USA (Meta Platforms, Inc.; ManyChat, Inc.) siehe Punkt 8.

7o. Einmaliger Rabatt beim Abbruch

Willst du die Express-Anfrage abbrechen, kannst du beim Grund „zu teuer“ ein einmaliges Angebot annehmen (30 % Rabatt auf dein erstes Website-Paket, Näheres in den AGB, Punkt 3). Nimmst du es an, speichern wir an deinem Konto zusätzlich: aus deiner E-Mail-Adresse, deinem Firmennamen, deinem Ort/PLZ und deiner Telefonnummer errechnete, normalisierte Kennungen (kein Klartext, keine Rückrechnung auf die ursprüngliche Angabe), den gewählten Grund, den Zeitpunkt, den Gültigkeitszeitraum und den Stand des Angebots.

Zweck ist, den Rabatt korrekt zu gewähren und abzurechnen (Art. 6 Abs. 1 lit. b DSGVO — der Rabatt ist Teil des späteren Vertrags). Die normalisierten Kennungen dienen zusätzlich dazu, zu verhindern, dass dieselbe Person oder derselbe Betrieb — auch über ein zweites Konto oder eine zweite E-Mail-Adresse — ein zweites Angebot bekommt (Art. 6 Abs. 1 lit. f DSGVO, dieselbe Art der Prüfung wie bei der Missbrauchsbremse gegen Spaß-Anfragen und beim Empfehlungsprogramm, Punkt 7g). Ein Treffer entscheidet nichts automatisiert (kein Fall von Art. 22 DSGVO): Er bewirkt nur, dass für diese Identität kein weiteres Angebot entsteht.

Speicherdauer: bis 12 Monate nach Ablauf (60 Tage nach dem Sichern) oder Einlösung des Angebots, danach Löschung — sofern die Kennungen nicht ohnehin schon Teil einer aufbewahrungspflichtigen Rechnung sind (Punkt 9).

7p. Erinnerungen zu deiner Anfrage und „Später weitermachen“

Erinnerung an eine offene Bestätigung: Hast du über /start eine Anfrage abgeschickt, deine E-Mail-Adresse aber noch nicht bestätigt, schicken wir dir dazu höchstens zwei Erinnerungen — nach etwa einem und nach etwa drei Tagen. Sie betreffen ausschließlich diese Anfrage und enthalten keine Werbung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Schritte auf deine Anfrage hin). Mit dem Link „Keine Erinnerungen mehr“ in jeder dieser Mails stoppst du weitere Erinnerungen sofort; die Anfrage selbst bleibt bestehen. Dass und wann wir erinnert haben, speichern wir mit der Anfrage und löschen es mit ihr.

„Später weitermachen“: Hast du eine Anfrage begonnen, aber noch nicht abgeschickt, kannst du dir freiwillig einen Link zu deinem Entwurf schicken lassen. Dafür speichern wir deine E-Mail-Adresse und den Entwurf (Betrieb, Branche, Ort, gewünschte Leistungen, Stil — keine Namen, keine Telefonnummer) und schicken dir den Link sofort; hast du ihn nach zwei Tagen weder benutzt noch eine Anfrage abgeschickt, erinnern wir dich ein einziges Mal. Rechtsgrundlage ist deine Einwilligung über ein nicht vorangekreuztes Häkchen (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021), die wir mit Zeitpunkt protokollieren. Ein Klick auf „Abmelden“ in der Mail löscht Adresse und Entwurf sofort; spätestens 30 Tage nach der Einwilligung löschen wir beides automatisch.

8. Übermittlung in Drittländer

Einige der genannten Dienstleister haben ihren Sitz in den USA (Vercel, Neon, Anthropic — Backoffice-Assistent, Website-Chat, Mira, Werkstatt und Website-Vorschau, ElevenLabs — Mira, GitHub — Werkstatt, Cloudflare — Website-Vorschau, ManyChat — Instagram-Nachrichten, teils Google und Meta) bzw. im Vereinigten Königreich (SumUp Payments Limited; hierfür besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO). Damit findet eine Übermittlung in ein Drittland statt. Je Anbieter gilt: Vercel, Anthropic, Cloudflare, Google, Microsoft (GitHub), Meta, ManyChat und Stripe sind nach unserem Kenntnisstand (September 2026) unter dem EU-U.S. Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10. Juli 2023, Art. 45 DSGVO); für alle US-Anbieter — auch Neon und ElevenLabs — gelten zusätzlich die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) als Teil der Auftragsverarbeitungsverträge. Den aktuellen Zertifizierungsstand kannst du unter dataprivacyframework.gov nachsehen. Trotz dieser Garantien kann nicht vollständig ausgeschlossen werden, dass US-Behörden auf Daten zugreifen.

9. Speicherdauer

• Kontodaten: solange dein Konto besteht. Löschen kannst du es jederzeit selbst (Konto → Einstellungen → „Konto & Daten löschen“): Wir schicken dir dafür einen Bestätigungslink. Der Link öffnet eine Seite, auf der du die Löschung mit einem Knopf bestätigst; erst dann löschen bzw. anonymisieren wir Name, Kontaktdaten, Anfragen, Projekt-Briefings, Termin-Adressen, Nachrichten, Änderungs- und Werkstatt-Wünsche, unsere bisherigen E-Mail-Kopien an dich, hochgeladene Fotos und Logos sowie eine Bankverbindung aus dem Empfehlungsprogramm, und alle Anmeldungen werden beendet. Bestehen bleibt nur, was wir aufbewahren müssen oder zur Abwehr von Ansprüchen brauchen: Aufträge und Rechnungen (sieben Jahre, § 132 BAO), eine unterschriebene Vereinbarung und die Nachweise nach Punkt 7k. Eine bereits bezahlte Website bleibt bis zum Ende des bezahlten Zeitraums online — außer du wählst in der Abschlussmail „sofort alles löschen“.
• Bestätigungscodes: 15 Minuten, danach werden sie ungültig.
• Briefing und Kontaktwunsch: für die Dauer des Projekts und, soweit sie Teil der Auftragsdokumentation sind, im Rahmen der Aufbewahrungspflicht. Kommt kein Auftrag zustande, löschen wir sie spätestens 12 Monate nach dem letzten Kontakt.
• Adresse für einen Vor-Ort-Termin: bis zum Abschluss des Projekts, danach Löschung — sofern sie nicht ohnehin deine Rechnungsanschrift ist.
• Postausgangs-Protokoll: 12 Monate, danach Löschung.
• Gelieferte Fotos und Logo-Dateien: 12 Monate ab dem Hochladen in dein Konto, danach werden sie gelöscht. 30 Tage vorher bekommst du einen Hinweis per E-Mail, damit du sie rechtzeitig sichern kannst. Sind auf den Fotos Personen zu sehen und willst du sie früher entfernt haben, genügt eine Nachricht.
• Zwischenspeicher im Browser: Beim Bestell-Briefing bis zum Absenden bzw. bis zum Schließen des Tabs; beim Anfrageformular höchstens 14 Tage, danach verfällt der Entwurf von selbst. In beiden Fällen liegt er ausschließlich auf deinem Gerät und wird nach dem Absenden gelöscht.
• Rechnungs- und Buchhaltungsdaten: 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO), danach Löschung.
• Anfragen: bis zur abschließenden Bearbeitung, danach Löschung bzw. Anonymisierung, spätestens 12 Monate nach Abschluss, sofern keine Aufbewahrungspflicht besteht.
• Interne Übergabe an das Backoffice: Die Ereignisse, mit denen die Website unser Backoffice (Punkt 6) etwa über neue Konten, Anfragen, Bestellungen und Zahlungen informiert, hält die Website höchstens 90 Tage zur Abholung bereit, danach werden sie dort gelöscht.
• Server-Logs: entsprechend den Vorgaben des Hosting-Anbieters, in der Regel wenige Wochen.
• Mira-Anrufe: Anrufdaten werden nach 30 Tagen automatisch gelöscht. Rückrufwünsche folgen der Aufbewahrung gewöhnlicher Anfragen. Ein ausdrücklich gewünschter Rückruf folgt stattdessen der Aufbewahrung gewöhnlicher Anfragen (siehe „Anfragen“ oben). Näheres unter Punkt 7i.
• Terminbuchungen (Websites unserer Kunden): personenbezogene Felder 6 Monate nach dem Termin, früher auf Weisung der Kundin / des Kunden. Näheres unter Punkt 7l.
• Kostenlose Website-Vorschau (SPEKTRA Fabrik): bis zu deinem Widerruf oder deiner Entscheidung, spätestens 90 Tage nach der Zustellung ohne Beauftragung — danach automatische Löschung von Briefing, hochgeladenen Dateien und probeweisem Assistenten. Näheres unter Punkt 7m.
• Einmaliger Rabatt beim Abbruch: bis zu 12 Monate nach Ablauf (60 Tage nach dem Sichern) oder Einlösung des Angebots, danach Löschung der gespeicherten Kennungen. Näheres unter Punkt 7o.
• „Später weitermachen“: E-Mail-Adresse und Entwurf bis zur Abmeldung, spätestens 30 Tage nach der Einwilligung. Näheres unter Punkt 7p.

10. Erforderlichkeit der Bereitstellung

Die Angabe von Name und E-Mail-Adresse ist für ein Kundenkonto und die Vertragsabwicklung erforderlich. Ohne diese Angaben können wir kein Konto anlegen und keinen Vertrag abschließen. Für eine Beauftragung sind zusätzlich die als Pflichtfeld gekennzeichneten Briefing-Angaben und der Kontaktwunsch erforderlich — ohne sie können wir weder einen Entwurf erstellen noch dich erreichen. Alle übrigen Angaben (Firma, Telefon, Vorbilder, persönliche Nachricht) sind freiwillig und wirken sich nicht auf den Vertragsabschluss aus.

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht auf Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21). Soweit eine Verarbeitung auf einer Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen.

Wende dich dazu an raultatzber@spektra-sites.com. Außerdem steht dir ein Beschwerderecht bei der österreichischen Datenschutzbehörde zu (Barichgasse 40–42, 1030 Wien, dsb.gv.at).

Widerspruch (Art. 21 DSGVO): Gegen jede Verarbeitung, die auf einem berechtigten Interesse beruht, kannst du jederzeit widersprechen — per E-Mail an die Adresse im Impressum. Wir verarbeiten die Daten dann nicht mehr, es sei denn, es gibt zwingende schutzwürdige Gründe. Unsere Messung (Punkt 2) beruht dagegen auf deiner Einwilligung; die widerrufst du am einfachsten über „Cookie-Einstellungen“ im Fuß der Seite.

12. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt. Der im Backoffice eingesetzte KI-Assistent trifft keine Entscheidungen über dich; er unterstützt ausschließlich den Verantwortlichen, der jede Entscheidung selbst trifft. Dasselbe gilt für den KI-Chat auf der Website (Punkt 7e) und für Mira (Punkt 7i): Beide beantworten Fragen bzw. Anrufe, schließen aber keinen Vertrag ab, bewerten dich nicht und lösen keine Zahlung aus; Mira vereinbart höchstens einen Rückruf, über dessen Folgen ein Mensch entscheidet. Die Werkstatt (Punkt 7j) kann eine gewünschte Änderung automatisch anhalten, wenn ihre Sicherheits- oder Rechtsprüfung anschlägt — das ist keine Entscheidung mit Rechtswirkung dir gegenüber, und auf Wunsch prüft ein Mensch bei SPEKTRA nach.

13. Datensicherheit

Die Übertragung erfolgt ausschließlich verschlüsselt (TLS). Passwörter werden nur als Hash (bcrypt) gespeichert, Sitzungs-Token nur als HMAC-Hash. Datenbanksicherungen des Backoffice werden verschlüsselt abgelegt. Der Zugang zum Backoffice ist durch Passwort und Zwei-Faktor-Authentifizierung geschützt und auf das lokale Netzwerk beschränkt.

14. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Die jeweils gültige Fassung ist oben mit Datum gekennzeichnet. Bei Registrierung wird gespeichert, welche Fassung du akzeptiert hast.