Datenschutzerklärung

1. Wofür diese Datenschutzerklärung gilt

Diese Datenschutzerklärung beschreibt, wie gocreate! e.U. personenbezogene Daten verarbeitet. Sie gilt für den Besuch von www.gocreate.at und die Nutzung unseres Kundenportals unter projekte.gocreate.at, für Anfragen und Terminbuchungen sowie für die Zusammenarbeit mit Interessent:innen, Kund:innen, Lieferant:innen, Projektpartner:innen und sonstigen Geschäftskontakten. Wenn wir im Rahmen eines Kundenprojekts personenbezogene Daten ausschließlich nach Weisung verarbeiten, gelten ergänzend der jeweilige Auftrag und der mit dem Kunden geschlossene Auftragsverarbeitungsvertrag.

Verantwortliche

gocreate! e.U., Inhaberin Julia Wirnsberger
Oberdorfstraße 1a
9721 Weißenstein, Österreich
Telefon: +43 650 9206932
E-Mail: office@gocreate.at

Für Datenschutzanfragen genügt eine Nachricht an die angeführte E-Mail-Adresse. Ein:e Datenschutzbeauftragte:r ist nicht bestellt, weil dafür derzeit keine gesetzliche Verpflichtung besteht.

2. Welche Daten anfallen und woher sie stammen

Welche Angaben wir verarbeiten, hängt davon ab, wie Sie mit uns in Kontakt treten und welche Leistung vereinbart wird. Typischerweise betrifft das folgende Datenarten:

• Stamm- und Kontaktdaten, etwa Name, Unternehmen, Anschrift, E-Mail-Adresse und Telefonnummer,
• Inhalte aus Anfragen, E-Mails, Nachrichten, Besprechungen und Projektabstimmungen,
• Angebots-, Vertrags-, Leistungs-, Rechnungs- und Zahlungsdaten,
• Projektmaterialien wie Texte, Bilder, Logos, Dateien, technische Angaben und – falls erforderlich – Zugangsdaten,
• technische Informationen beim Websitebesuch, etwa IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser, Gerät und Fehlerdaten,
• Einwilligungs- und Präferenzdaten aus den Cookie-Einstellungen.

Die Daten erhalten wir überwiegend direkt von Ihnen. Sie können uns auch von dem Unternehmen oder der Organisation übermittelt werden, für die Sie tätig sind, von einem Kunden im Rahmen eines beauftragten Projekts oder aus allgemein zugänglichen Quellen stammen. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO erheben wir nicht gezielt. Bitte übermitteln Sie solche Informationen nur, wenn sie für den konkreten Auftrag wirklich erforderlich sind und dafür eine gültige Rechtsgrundlage besteht.

Erforderliche und freiwillige Angaben

Für eine Anfrage benötigen wir zumindest eine Kontaktmöglichkeit und eine kurze Beschreibung des Anliegens. Für ein Angebot, einen Vertrag und die Abrechnung sind weitere Stamm-, Leistungs- und Rechnungsdaten erforderlich. Ohne diese Angaben können wir die Anfrage möglicherweise nicht beantworten oder den Vertrag nicht abschließen beziehungsweise erfüllen. Angaben für Statistik, externe Medien oder Newsletter sind freiwillig und keine Voraussetzung für eine Beauftragung.

Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich automatisiert erfolgen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in vergleichbarer Weise erheblich beeinträchtigen. Auch beim Einsatz von KI-Werkzeugen bleibt die inhaltliche Prüfung und Entscheidung bei gocreate! e.U.

3. Zwecke und Rechtsgrundlagen

Wir verwenden personenbezogene Daten nur für nachvollziehbare geschäftliche oder technische Zwecke. Je nach Situation stützt sich die Verarbeitung auf:

• Vertrag und Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO): Bearbeitung konkreter Anfragen, Angebotserstellung, Projektvorbereitung, Leistungserbringung, Kommunikation, Abrechnung und Gewährleistung.
• Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): insbesondere Buchführung, Steuerrecht, Nachweis- und Mitwirkungspflichten gegenüber zuständigen Stellen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): optionale Statistik, externe Medien, Newsletter oder die namentliche Veröffentlichung einer Kundenstimme. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): sicherer und stabiler Websitebetrieb, effiziente Kommunikation und Projektorganisation, interne Dokumentation, Missbrauchsabwehr, anonymitätsnahe Reichweitenmessung, Präsentation unserer Leistungen sowie Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Wenn wir uns auf berechtigte Interessen stützen, prüfen wir, ob Ihre Interessen oder Grundrechte überwiegen. Soweit im Einzelfall eine speziellere Rechtsgrundlage greift, geht diese vor.

4. Besuch der Website

Hosting über Netlify

Die Website wird als statische Website über Netlify bereitgestellt. Dabei verarbeitet Netlify, Inc. technische Verbindungs- und Protokolldaten, die für die Auslieferung, Sicherheit und Fehleranalyse erforderlich sind. Dazu können insbesondere IP-Adresse, Zeitpunkt, Zieladresse, übertragene Datenmenge, Browser- und Geräteinformationen sowie Status- und Fehlercodes gehören. Grundlage ist unser berechtigtes Interesse an einem sicheren, schnellen und verlässlichen Webauftritt (Art. 6 Abs. 1 lit. f DSGVO). Mit Netlify besteht eine Vereinbarung zur Auftragsverarbeitung. Hinweise des Anbieters: Netlify Privacy Statement.

Online-Buchung und Rücktrittsfunktion laufen über Server-Funktionen bei Netlify (Netlify Functions). Netlify verarbeitet dabei die übermittelten Formulardaten und die technischen Verbindungsdaten. Bei Fehlern oder Missbrauchsversuchen protokollieren die Funktionen technische Angaben und Kennungen wie die Bestellnummer, aber keine Zahlungsdaten; Netlify löscht diese Protokolle nach der für unser Konto geltenden Frist automatisch.

Quellcode und Veröffentlichung über GitHub

Der Quellcode wird über GitHub verwaltet und automatisiert an Netlify übergeben. GitHub, Inc. erhält beim normalen Aufruf der fertigen Website keine Besucherdaten. Personenbezogene Daten können GitHub jedoch erreichen, wenn sie Bestandteil eines Projekt-Repositories sind oder der Dienst für ein Kundenprojekt eingesetzt wird. Solche Inhalte werden auf das notwendige Maß beschränkt; Zugangsdaten gehören nicht in Repositories. Hinweise des Anbieters: GitHub General Privacy Statement.

Verschlüsselte Übertragung und lokale Schriftarten

Die Website wird über eine verschlüsselte HTTPS-Verbindung ausgeliefert. Die verwendeten Schriftarten „Outfit“ und „PT Serif“ liegen lokal im Webprojekt. Beim Abruf der Schriften wird daher keine zusätzliche Verbindung zu Google Fonts oder einem anderen Schriftendienst aufgebaut.

5. Cookie-Einstellungen, Statistik und externe Medien

Speicherung Ihrer Auswahl

Unser eigener Cookie-Banner speichert Ihre Entscheidung zu Statistik und externen Medien im lokalen Speicher Ihres Browsers. Gespeichert werden die konkrete Dienstauswahl, die Consent- und Schema-Version, die zugehörige Release-Kennung, Entscheidungsart, Zeitstempel und Ablaufzeit unter dem Schlüssel „gc_cookie_consent_v3“. Diese Information enthält keine von uns vergebene Nutzerkennung und wird spätestens nach 365 Tagen erneut abgefragt. Die Speicherung ist erforderlich, damit die Website Ihre Auswahl beachten kann. Sie können sie jederzeit über „Cookie-Einstellungen“ im Footer ändern. Für optionale Cookies und vergleichbare Zugriffe auf Ihr Endgerät gilt Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021.

Pirsch Analytics ohne Cookies

Für eine grundlegende Reichweitenmessung setzen wir Pirsch Analytics der Emvi Software GmbH ein. Pirsch arbeitet ohne Cookies und speichert keine wiedererkennbare Kennung auf Ihrem Gerät. Für die Auswertung werden technische Merkmale verarbeitet und so zusammengeführt, dass keine dauerhafte Identifikation einzelner Besucher:innen oder ein Tracking über verschiedene Websites hinweg vorgesehen ist. Die Auswertung dient dazu, Nutzung und technische Qualität unseres Angebots zu verstehen. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Webstatistik (Art. 6 Abs. 1 lit. f DSGVO). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung. Weitere Informationen: Datenschutz bei Pirsch.

Google Analytics 4 nur nach Zustimmung

Wenn Sie im Banner „Statistik“ erlauben, lädt die Website Google Analytics 4 von Google Ireland Limited. Der Dienst hilft uns, Seitenaufrufe, ungefähre Herkunft, verwendete Geräte und Interaktionen zusammengefasst auszuwerten. Dabei können insbesondere gekürzte IP-Adresse, technische Nutzungsdaten und Kennungen in den Cookies „_ga“ und „_ga_<Container-ID>“ verarbeitet werden. Diese Cookies können standardmäßig bis zu zwei Jahre bestehen; Einstellungen des Browsers oder von Google können die Dauer verkürzen.

Google Analytics wird ohne Ihre Einwilligung nicht geladen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Sie können sie über „Cookie-Einstellungen“ mit Wirkung für die Zukunft widerrufen. Wir haben mit Google die für diesen Dienst vorgesehene Vereinbarung zur Auftragsverarbeitung geschlossen. Informationen von Google: Datenschutzerklärung.

YouTube-Videos nur nach aktiver Freigabe

Soweit eine Seite ein Video von YouTube enthält, wird zunächst nur eine lokale Vorschau angezeigt. Erst wenn Sie externe Medien erlaubt und das Video aktiv gestartet haben, wird eine Verbindung zu YouTube beziehungsweise Google Ireland Limited aufgebaut. Dann können Angaben zur aufgerufenen Seite, IP-Adresse, Geräte- und Nutzungsdaten sowie Cookies oder ähnliche Kennungen verarbeitet werden. Wir verwenden die Domain youtube-nocookie.com, können aber nicht ausschließen, dass Google nach dem Start weitere Daten verarbeitet.

Die Einbindung erfolgt auf Grundlage Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Ohne Freigabe bleibt die Verbindung gesperrt. Informationen von Google: Datenschutzerklärung.

6. Kontakt, Termine und Onlinegespräche

Kontaktformular, E-Mail und Telefon

Wenn Sie uns schreiben oder anrufen, verwenden wir Ihre Angaben, um das Anliegen zu bearbeiten, Rückfragen zu stellen und die weitere Zusammenarbeit vorzubereiten. Das Kontaktformular wird technisch über Netlify Forms abgewickelt. Eingaben werden von Netlify entgegengenommen und an uns weitergeleitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine konkrete Leistung oder einen Vertrag geht; bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO. Wir löschen reine Anfragen, wenn sie erledigt sind und keine sachliche oder rechtliche Notwendigkeit für eine weitere Aufbewahrung besteht.

WhatsApp Business

Wenn Sie WhatsApp als Kontaktweg wählen, verarbeitet WhatsApp Ireland Limited neben dem Nachrichteninhalt auch Kommunikations- und Metadaten wie beteiligte Rufnummern und Zeitpunkt. Nachrichten sind nach Angaben des Anbieters Ende-zu-Ende verschlüsselt; die Verarbeitung von Metadaten durch WhatsApp wird dadurch nicht ausgeschlossen. Verwenden Sie für besonders vertrauliche Inhalte bitte E-Mail oder einen zuvor vereinbarten Übertragungsweg. Die Verarbeitung durch uns dient der Bearbeitung Ihrer Anfrage oder Projektkommunikation nach Art. 6 Abs. 1 lit. b DSGVO, sonst unserem Interesse an einem von Ihnen gewünschten, schnellen Kommunikationskanal nach Art. 6 Abs. 1 lit. f DSGVO. Informationen von WhatsApp: Datenschutzrichtlinie für den EWR.

Terminbuchung mit Calendly

Für die Online-Terminwahl verlinken wir zu Calendly LLC. Dort geben Sie zumindest Kontaktdaten, Terminwunsch und gegebenenfalls eine kurze Nachricht ein. Calendly verarbeitet diese Angaben, um freie Zeiten anzuzeigen, den Termin zu buchen und Benachrichtigungen zu versenden. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Gesprächen, sonst Art. 6 Abs. 1 lit. f DSGVO. Mit Calendly besteht eine Vereinbarung zur Auftragsverarbeitung. Weitere Informationen: Calendly Privacy Notice und Data Processing Addendum.

Videogespräche mit Zoom

Für Online-Besprechungen verwenden wir Zoom von Zoom Communications, Inc. Verarbeitet werden je nach Nutzung Name, Kontaktdaten, Meeting-Metadaten, Geräte- und Verbindungsdaten sowie die von Ihnen übermittelten Audio-, Video-, Chat- oder Dateiinhalte. Eine Aufzeichnung erfolgt nicht ohne vorherige Information und erforderliche Rechtsgrundlage. Die Verarbeitung dient der Durchführung vorvertraglicher Gespräche oder vereinbarter Leistungen (Art. 6 Abs. 1 lit. b DSGVO); bei internen Organisationszwecken kann Art. 6 Abs. 1 lit. f DSGVO einschlägig sein. Mit Zoom besteht eine Vereinbarung zur Auftragsverarbeitung. Informationen des Anbieters: Zoom Privacy Statement.

7. Anfragen, Verträge und Kundenprojekte

Projekt- und Geschäftsabwicklung

Für Angebote und Aufträge verarbeiten wir die Daten, die für Planung, Kommunikation, Umsetzung, Freigaben, Abrechnung und Nachbetreuung erforderlich sind. Dazu gehören je nach Projekt Ansprechpartner:innen, Kommunikationsverläufe, Leistungsumfang, Projektplan, Inhalte, Dateien, technische Zugänge, Freigaben, Feedback, Rechnungen und Zahlungsinformationen. Bei Ansprechpartner:innen eines Unternehmens beruht die Verarbeitung neben Art. 6 Abs. 1 lit. b DSGVO auf unserem berechtigten Interesse an einer funktionierenden Geschäftsbeziehung nach Art. 6 Abs. 1 lit. f DSGVO.

Kundenportal (projekte.gocreate.at)

Zweck und Inhalte: Im geschützten Kundenportal stellen wir Projektunterlagen, Entwürfe und fertige Dateien bereit. Sie können dort Fragebögen beantworten, Unterlagen hochladen und Rückmeldungen übermitteln, etwa Kommentare, Bewertungen, Textvorschläge, die Auswahl von Varianten und Freigaben. Dabei verarbeiten wir Ihre Zugangsdaten, Projektinhalte, Eingaben und die zugehörigen Bearbeitungs- und Übermittlungszeitpunkte. Das dient der Durchführung des Auftrags (Art. 6 Abs. 1 lit. b DSGVO); bei Ansprechpartner:innen eines Unternehmens unserem berechtigten Interesse an der Projektabwicklung (Art. 6 Abs. 1 lit. f DSGVO).

Hosting und Zugriff: Das Portal wird getrennt von der Hauptwebsite bei ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, betrieben. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Zugriff auf Unterlagen und Rückmeldungen ist auf den jeweiligen Kundenbereich und gocreate beschränkt. Hochgeladene Dateien liegen außerhalb des öffentlich zugänglichen Webbereichs.

Anmeldung: Der Zugang erfolgt über Benutzername und Passwort; das Passwort wird nur als nicht rückrechenbarer Hash gespeichert. Das notwendige Cookie „gcportal“ ordnet Ihrem Browser die Sitzung zu. Ohne „Angemeldet bleiben“ ist es ein Sitzungscookie; die Anmeldung endet grundsätzlich beim Schließen des Browsers, spätestens nach zwölf Stunden. Wenn Sie „Angemeldet bleiben“ selbst aktivieren, bleibt die Anmeldung höchstens sieben Tage gültig. Diese Auswahl ist nicht vorausgewählt. Beim Abmelden werden die Sitzung beendet und das Cookie gelöscht.

Gespeicherte Einstellungen und Lesebestätigungen: Wenn Sie das Menü ein- oder ausklappen, merkt sich das Portal diese Einstellung im lokalen Speicher Ihres Browsers unter „gc-menue-zu“, bis Sie die Websitedaten im Browser löschen. Die Einstellung wird nicht an uns übermittelt. Markieren Sie eine Nachricht von gocreate als gelesen, speichern wir dagegen die betreffende Nachricht und den Zeitpunkt im Kundenbereich auf dem Server, damit die Markierung auf Ihren Geräten übereinstimmt. Diese Markierungen werden mit dem Kundenbereich gelöscht.

Cookie und Menü-Einstellung dienen ausschließlich der Anmeldung beziehungsweise der von Ihnen gewählten Bedienung des Portals (§ 165 Abs. 3 TKG 2021). Das Portal verwendet keine Analyse- oder Werbedienste und lädt keine externen Schriften oder Skripte. Die auf der Hauptwebsite angebotene Auswahl zu Google Analytics und YouTube betrifft nicht das Kundenportal.

Rückmeldungen und Uploads: Ihre Eingaben werden bereits während der Bearbeitung als Zwischenstand bei ALL-INKL gespeichert. Nach dem Übermitteln übernehmen wir die Rückmeldungen und hochgeladenen Unterlagen in unsere Projektablage. Eine Hinweis-E-Mail an gocreate meldet die Übermittlung, enthält aber nicht die Rückmeldungen oder hochgeladenen Dateien. Auch die Auswahl, einen Fragebogen als Word-Datei herunterzuladen und per E-Mail zu beantworten, wird zur Organisation der Zusammenarbeit vermerkt. Rückmeldungen oder Sterne-Bewertungen im Portal sind internes Projektfeedback und werden dadurch nicht als öffentliche Kundenstimme freigegeben.

Missbrauchsschutz und Protokolle: Zur Abwehr unbefugter Zugriffe erfassen wir bei fehlgeschlagenen Anmeldungen Benutzername und Zeitpunkt, jedoch keine IP-Adresse in dieser Anmeldesperre. Für die Sperrprüfung werden die letzten 15 Minuten berücksichtigt. Ältere Einträge werden beim nächsten Anmeldeversuch bereinigt; nach erfolgreicher Anmeldung werden die Fehlversuche zum betreffenden Benutzernamen entfernt, spätestens mit dem Kundenbereich. Grundlage ist unser berechtigtes Interesse am Schutz vertraulicher Projektunterlagen (Art. 6 Abs. 1 lit. f DSGVO). Davon getrennt werden die Server-Zugriffsprotokolle bei ALL-INKL mit vollständig anonymisierten IP-Adressen geführt und nach 30 Tagen gelöscht.

Aufbewahrung: Die Online-Inhalte des Kundenbereichs einschließlich Zwischenständen, Rückmeldungen, Uploads und Lesemarkierungen löschen wir drei Monate nach Abnahme des Projekts; eine frühere Löschung ist bei Bedarf möglich. Für die bereits in unsere Projektablage übernommenen Unterlagen gelten getrennt davon die nachstehenden Regeln zur Aufbewahrung von Projektarbeitsdaten, regelmäßig zwölf bis 24 Monate ab Projektabschluss. Gesetzliche Aufbewahrungspflichten und vorrangige Lösch- oder Rückgabevorgaben aus einem AVV bleiben unberührt.

Online-Buchung über die Website

Ausgewählte Leistungen können Sie direkt auf www.gocreate.at buchen. Dabei verarbeiten wir:

• Name, E-Mail-Adresse, Rechnungsadresse und Land; bei einer Bestellung als Unternehmer:in auch Firmenname und gegebenenfalls UID-Nummer,
• bei Leistungen für eine Website deren Adresse,
• ob Sie als Unternehmer:in oder als Verbraucher:in bestellen,
• den Zeitpunkt, zu dem Sie die Bestellung mit den Bestätigungen (AGB, Datenschutzerklärung, gegebenenfalls Auftragsverarbeitungsvereinbarung, bei Verbraucher:innen das Verlangen nach Beginn innerhalb der Rücktrittsfrist) abgesendet haben, und die dabei geltenden Fassungen dieser Unterlagen,
• gebuchte Leistung, Preis, Umsatzsteuer, Bestell- und Zahlungsstatus, die Kennung der Stripe-Zahlung und die verwendete Zahlungsart (etwa Karte, eps oder Apple Pay),
• Zeitpunkt und Status des Versands der Bestellbestätigung.

Bestellungen mit derselben E-Mail-Adresse ordnen wir einem Kund:innen-Datensatz zu, der die zuletzt angegebenen Stamm- und Rechnungsdaten enthält.

Rechtsgrundlagen: Sind Sie selbst Vertragspartei, beruht die Verarbeitung auf der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Daten von Ansprechpartner:innen eines Unternehmens verarbeiten wir auf Grundlage unseres berechtigten Interesses an der Vertragsabwicklung (Art. 6 Abs. 1 lit. f DSGVO). Für die Rechnung und gesetzlich aufzubewahrende Unterlagen gilt Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 11 UStG, § 132 BAO und § 212 UGB, ebenso für die gesetzlich vorgeschriebenen Bestätigungen von Verbraucher:innen. Die übrigen Nachweise zum Vertragsabschluss bewahren wir auf, um Ansprüche belegen oder abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO).

UID-Prüfung: Geben Sie eine UID-Nummer an, übermitteln wir Ländercode und UID-Nummer an das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission. Das Ergebnis verwenden wir für die umsatzsteuerliche Behandlung; gespeichert wird nur die bestätigte UID-Nummer (Art. 6 Abs. 1 lit. b und c DSGVO).

Speicherung bei Scaleway: Bestellungen, Kund:innen-Datensätze, Rechnungen und Rücktrittserklärungen speichern wir in einer Datenbank bei Scaleway SAS, Frankreich (Datenbankregion Paris, EU); die Rechnung erstellen wir daraus selbst. Scaleway verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO). Bezahlte Bestellungen und Rechnungen bewahren wir wie unter „Gesetzliche Aufbewahrung und Rechtsansprüche“ beschrieben auf. Bestellungen, die nicht bezahlt werden, löschen wir bei der nächsten automatischen Bereinigung, sobald sie älter als 90 Tage sind; Kund:innen-Datensätze ohne verbleibende Bestellung werden dabei mitgelöscht. Weitere Informationen: Datenschutzerklärung von Scaleway.

Zahlung über Stripe: Die Zahlung wickelt Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Sie werden dazu auf eine Bezahlseite von Stripe weitergeleitet und geben Ihre Karten- oder Kontodaten direkt dort ein; in unserer Datenbank werden sie nicht gespeichert. An Stripe übermitteln wir Ihre E-Mail-Adresse, die gebuchte Leistung, den Betrag und unsere Bestellnummer. Zur Prüfung der Zahlung ruft unser Server bei Stripe die Bezahlsitzung und Angaben zur Zahlungsart ab; dauerhaft speichern wir davon nur die Kennung der Zahlung und die Zahlungsart. Stripe verarbeitet Daten teils in unserem Auftrag und teils für eigene Zwecke, insbesondere zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten. Auf seiner Bezahlseite verwendet Stripe Cookies und ähnliche Technologien nach seinen eigenen Einstellungen. Rechtsgrundlage für die Übermittlung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen: Datenschutzerklärung von Stripe.

E-Mails zur Bestellung: Bestellbestätigung, Rechnung und Vertragsunterlagen versenden wir über Brevo (Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland). Brevo verarbeitet dabei Empfängeradresse, Absender, Betreff, Inhalt, Anhänge sowie Versand-, Zustell- und Fehlermeldungen. Die Versandprotokolle löscht Brevo nach einem Monat; eine Vorschau der E-Mails wird nicht gespeichert. Öffnungen und Klicks zählt Brevo nur anonym, ohne Zuordnung zu Ihrer Adresse. Ihre Adresse verwenden wir dadurch nicht für Werbung oder den Newsletter. Mit Brevo besteht eine Vereinbarung zur Auftragsverarbeitung. Zusätzlich schicken wir uns über Brevo eine interne Nachricht an unser Postfach bei Microsoft 365, mit Bestell-, Rechnungs-, Kontakt- und Zahlungsangaben samt Rechnung als PDF. Rechtsgrundlagen wie oben.

Rücktritt online („Vertrag widerrufen“)

Nutzen Sie die Funktion „Vertrag widerrufen“ auf www.gocreate.at/widerruf/, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Angabe zum Vertrag (etwa Rechnungs- oder Bestellnummer), eine freiwillige Nachricht sowie Datum und Uhrzeit des Eingangs. Damit wickeln wir Ihren Rücktritt ab und senden Ihnen die gesetzlich vorgesehene Eingangsbestätigung (Art. 6 Abs. 1 lit. b und c DSGVO). Die Erklärung speichern wir bei Scaleway (Datenbankregion Paris, EU). Die Bestätigung an Sie und eine interne Nachricht mit dem vollständigen Inhalt der Erklärung an unser Postfach bei Microsoft 365 versenden wir über Brevo. Wir bewahren die Erklärung so lange auf wie die zugehörigen Vertrags- und Buchhaltungsunterlagen.

Schutz vor Missbrauch bei Kasse und Rücktrittsfunktion

Damit Kasse und Rücktrittsfunktion nicht massenhaft automatisiert genutzt werden, begrenzen wir die Zahl der Anfragen je Internetanschluss. Dafür bilden wir aus Ihrer IP-Adresse einen gleichbleibenden Prüfwert (gekürzter SHA-256-Hash) und speichern ihn mit Funktion und Zeitpunkt. Der Prüfwert ist pseudonymisiert, nicht anonym; die IP-Adresse selbst speichern wir dafür nicht. Einträge löschen wir beim nächsten Aufruf, sobald sie älter als 24 Stunden sind. Grundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zahlungen, Buchhaltung und gesetzliche Nachweise

Bei Überweisungen verarbeiten wir Name, Kontoverbindung, Betrag, Buchungstag und Verwendungszweck. Die beteiligten Banken verarbeiten diese Daten in eigener Verantwortung. Individuelle Angebote und Rechnungen sowie die vorbereitende Buchhaltung verwalten wir mit sevdesk. Rechnungen aus Online-Buchungen erstellen und speichern wir in unserer Datenbank bei Scaleway; die Zahlung läuft dabei über Stripe (siehe „Online-Buchung über die Website“). Soweit erforderlich erhalten auch Steuerberatung, Finanzverwaltung oder andere zuständige Stellen die für ihre Aufgabe notwendigen Unterlagen. Rechtsgrundlagen sind Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Rechtsberatung, Versicherungen, Gerichte und Behörden

Wenn ein rechtliches Anliegen, ein Verfahren oder eine gesetzliche Auskunftspflicht dies erfordert, können relevante Daten an Rechtsanwält:innen, Versicherungen, Gerichte, Verwaltungs-, Finanz- oder Aufsichtsbehörden übermittelt werden. Diese Stellen handeln im Rahmen ihrer gesetzlichen oder beruflichen Aufgaben regelmäßig in eigener Verantwortung. Grundlage ist Art. 6 Abs. 1 lit. c DSGVO oder unser berechtigtes Interesse an Beratung, Nachweisführung und Rechtsdurchsetzung nach Art. 6 Abs. 1 lit. f DSGVO.

Referenzprojekte und Kundenstimmen

Arbeitsergebnisse wie veröffentlichte Websites, Logos oder Gestaltungen können im vertraglich vereinbarten Rahmen als Referenz gezeigt werden. Dabei verwenden wir grundsätzlich Inhalte, die bereits veröffentlicht wurden oder für die Präsentation des Projekts bestimmt sind. Die Präsentation unserer Leistungen beruht auf Art. 6 Abs. 1 lit. f DSGVO. Persönliche Kundenstimmen mit Name, Foto oder weiteren persönlichen Angaben veröffentlichen wir nur mit Einwilligung. Wird diese widerrufen, beenden wir die personenbezogene Darstellung für die Zukunft; eine inhaltlich anonymisierte Aussage kann weiterverwendet werden, wenn kein Personenbezug mehr besteht.

Wenn wir Auftragsverarbeiterin sind

Bei der Erstellung, Wartung oder technischen Bearbeitung einer Kundenwebsite können wir Daten verarbeiten, für die der Kunde datenschutzrechtlich verantwortlich bleibt. In diesem Fall handeln wir nur im dokumentierten Auftrag, schließen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und setzen Unterauftragsverarbeiter nur im dort geregelten Rahmen ein. Betroffenenanfragen leiten wir an den verantwortlichen Kunden weiter, sofern wir nicht selbst für die betreffende Verarbeitung verantwortlich sind.

Aufbewahrung von Projektarbeitsdaten

Arbeitskopien, Projektdateien, technische Dokumentationen und gegebenenfalls noch benötigte Zugangsinformationen bewahren wir nach Projektende grundsätzlich so lange auf, wie sie für Nachbetreuung, Rückfragen, Wiederaufnahme oder die vereinbarte Leistung noch sinnvoll benötigt werden. Die Löschung wird organisatorisch einmal jährlich gebündelt durchgeführt. Dadurch können Projektbestände regelmäßig zwischen zwölf und 24 Monaten ab Projektabschluss vorhanden sein. Eine frühere Löschung ist möglich, wenn sie verlangt wird und keine vertragliche, gesetzliche oder technische Notwendigkeit entgegensteht. Für Daten, die wir ausschließlich im Auftrag eines Kunden verarbeiten, gehen die Lösch- und Rückgabevorgaben des AVV vor.

Gesetzliche Aufbewahrung und Rechtsansprüche

Buchhaltungsunterlagen, Belege und steuerlich relevante Geschäftspapiere bewahren wir grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres auf. Unterlagen können länger bestehen bleiben, wenn sie für ein anhängiges Verfahren, eine Prüfung oder die Geltendmachung beziehungsweise Abwehr von Ansprüchen benötigt werden. Danach werden sie gelöscht oder anonymisiert, soweit keine weitere Rechtsgrundlage besteht.

8. Arbeitsmittel und externe Dienstleister

Für Büroorganisation, Kommunikation, Gestaltung und Projektumsetzung verwenden wir ausgewählte Cloud- und Softwaredienste. Sie erhalten nur jene Daten, die für ihre jeweilige Aufgabe erforderlich sind. Soweit ein Anbieter in unserem Auftrag verarbeitet, schließen wir den erforderlichen Vertrag nach Art. 28 DSGVO. Je nach Projekt und Nutzung kommen insbesondere folgende Dienste zum Einsatz:

• Microsoft 365 und OneDrive von Microsoft Ireland Operations Limited für E-Mail, Kalender, Dokumente, Dateispeicherung und Zusammenarbeit. Datenschutzhinweise
• Google Workspace, Google Calendar, Google Meet und Gemini von Google Ireland Limited für Büroorganisation, Termine, Videokonferenzen, Dokumente und – im Workspace-Rahmen – KI-gestützte Projektarbeit. Datenschutzhinweise
• ALL-INKL von ALL-INKL.COM – Neue Medien Münnich für ergänzende E-Mail-, Datei- oder Vorschau-Infrastruktur, soweit dies im Einzelfall benötigt wird. Datenschutzinformationen
• sevdesk von sevdesk GmbH für Angebote, Rechnungen und vorbereitende Buchhaltung. Datenschutzerklärung
• Canva Pro von Canva Pty Ltd für Layouts, Präsentationen, Grafiken und Dokumente. Personenbezogene Projektinhalte werden nur verwendet, soweit sie für das jeweilige Ergebnis erforderlich sind. Privacy Policy
• Stripe von Stripe Payments Europe, Ltd. für Zahlungen bei Online-Buchungen (siehe Abschnitt 7).
• Scaleway von Scaleway SAS als Datenbank für Online-Buchungen, Rechnungen und Rücktrittserklärungen (Datenbankregion Paris, EU).
• Brevo von Brevo GmbH für E-Mails zu Bestellungen und Rücktritten sowie für den Newsletter (siehe Abschnitte 7 und 10).
• GitHub und Netlify für Entwicklung, Versionsverwaltung, Vorschau und Veröffentlichung von Webprojekten, soweit diese Dienste für das konkrete Projekt vereinbart oder erforderlich sind.

Nutzen Kund:innen eigene Konten für Hosting, GitHub oder Netlify, besteht die Vertragsbeziehung regelmäßig direkt zwischen dem Kunden und dem jeweiligen Anbieter. Wir erhalten dann nur die für Einrichtung und Projektumsetzung erforderlichen Zugriffsrechte.

9. KI-gestützte Arbeitsweise

Wir verwenden KI-Werkzeuge unterstützend für Strukturierung, Recherche, Ideenentwicklung, Programmierung und Textbearbeitung. Dazu gehören Google Gemini im geschäftlichen Google-Workspace-Konto, ChatGPT Business von OpenAI Ireland Limited sowie Claude Team einschließlich Claude Code von Anthropic Ireland, Limited.

ChatGPT Business: Der Business-Workspace unterliegt den Geschäfts- und Datenschutzbedingungen von OpenAI. Eingaben und Ausgaben aus ChatGPT Business werden nach den Angaben von OpenAI standardmäßig nicht zum Training oder zur Verbesserung der Modelle verwendet. Personenbezogene Projekt- und Auftragsdaten werden dort nur verarbeitet, wenn dies für die vereinbarte Leistung erforderlich ist, die Daten auf das notwendige Maß beschränkt werden und der OpenAI-DPA für den Workspace wirksam einbezogen ist. Zugangsdaten, besondere Kategorien personenbezogener Daten und für die jeweilige Aufgabe nicht erforderliche vertrauliche Informationen werden nicht eingegeben.

Claude Team einschließlich Claude Code: Der Team-Workspace ist ein geschäftliches Angebot von Anthropic. Nach den Commercial Terms ist Anthropic bei Kundendaten Auftragsverarbeiter; der Anthropic-DPA ist in diese Bedingungen einbezogen. Inhalte aus Claude Team und den damit verbundenen Claude-Code-Sitzungen werden nach den Angaben von Anthropic nicht zum Training generativer Modelle verwendet, sofern nicht ausdrücklich an einem freiwilligen Trainingsprogramm teilgenommen oder Feedback für diesen Zweck übermittelt wird. Personenbezogene Projekt- und Auftragsdaten werden nur verarbeitet, soweit dies für die vereinbarte Leistung erforderlich ist. Zugangsdaten, besondere Kategorien personenbezogener Daten und für die jeweilige Aufgabe nicht erforderliche vertrauliche Informationen werden nicht eingegeben.

Google Gemini kann im Rahmen von Google Workspace für begrenzte Projektinhalte verwendet werden; hierfür gelten die geschäftlichen Datenschutz- und Vertragsregelungen des Workspace-Kontos. Für jede KI-Nutzung gilt: Wir reduzieren Eingaben auf das Erforderliche, prüfen Ergebnisse fachlich und übernehmen sie nicht ungeprüft. Die Rechtsgrundlage richtet sich nach dem zugrunde liegenden Auftrag (Art. 6 Abs. 1 lit. b DSGVO) oder unserem Interesse an effizienten, qualitätsgesicherten Arbeitsabläufen (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: Datenschutz bei OpenAI Business, OpenAI Data Processing Addendum, Anthropic Commercial Terms, Anthropic Data Processing Addendum und Google.

10. Newsletter

Wenn auf der Website eine Newsletter-Anmeldung angeboten wird und Sie sich dafür eintragen, verwenden wir Ihre E-Mail-Adresse und gegebenenfalls Ihren Namen für den gewünschten Versand. Dafür setzen wir Brevo der Brevo GmbH (Berlin) ein. Die Anmeldung erfolgt nur mit Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; zur Absicherung der Anmeldung kann ein Bestätigungsverfahren verwendet werden. Sie können den Newsletter jederzeit über den Abmeldelink oder per E-Mail abbestellen. Versanddaten werden anschließend gelöscht, soweit sie nicht noch zum Nachweis einer früheren Einwilligung oder wegen gesetzlicher Ansprüche benötigt werden. Mit Brevo besteht eine Vereinbarung zur Auftragsverarbeitung. Weitere Informationen: Datenschutzerklärung von Brevo.

11. Empfänger, Drittlandübermittlungen und Speicherdauer

Wer Daten erhalten kann

Innerhalb von gocreate! e.U. werden Daten nur dort verwendet, wo sie für die jeweilige Aufgabe gebraucht werden. Außerhalb des Unternehmens kommen – abhängig vom Vorgang – Hosting-, Cloud-, Kommunikations-, Termin-, Buchhaltungs-, Zahlungs-, Analyse- und Projektanbieter, Banken, Steuerberatung, Rechtsberatung, Versicherungen, Gerichte und Behörden als Empfänger in Betracht. Eine Weitergabe zu anderen Zwecken erfolgt nur mit Rechtsgrundlage.

Verarbeitung außerhalb von EU und EWR

Einige Anbieter haben Konzernunternehmen oder technische Standorte außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums. Für Übermittlungen in die USA verwenden wir – soweit anwendbar – den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework. Andernfalls stützen sich Übermittlungen insbesondere auf Standardvertragsklauseln nach Art. 46 DSGVO und, soweit erforderlich, zusätzliche Schutzmaßnahmen. Bei anderen Drittländern gilt ein vorhandener Angemessenheitsbeschluss oder eine andere nach Kapitel V DSGVO zulässige Grundlage.

Wie wir Löschfristen bestimmen

Wo in dieser Erklärung keine konkrete Dauer genannt ist, speichern wir Daten nur so lange, wie der jeweilige Zweck besteht. Danach löschen oder anonymisieren wir sie, außer eine gesetzliche Pflicht, ein laufender Vertrag, ein dokumentierter Auftrag, ein anhängiges Verfahren oder die notwendige Sicherung von Rechtsansprüchen rechtfertigt eine weitere Aufbewahrung. Ein Widerruf oder berechtigter Löschantrag wird für die Zukunft berücksichtigt; zwingende Aufbewahrungspflichten bleiben davon unberührt.

12. Ihre Rechte

Nach Maßgabe der DSGVO können Sie von uns:

• Auskunft über die zu Ihrer Person verarbeiteten Daten und eine Kopie verlangen,
• unrichtige Daten berichtigen und unvollständige Daten ergänzen lassen,
• die Löschung oder Einschränkung der Verarbeitung verlangen, soweit die gesetzlichen Voraussetzungen vorliegen,
• Daten, die automatisiert auf Grundlage einer Einwilligung oder eines Vertrags verarbeitet werden, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten,
• eine erteilte Einwilligung jederzeit für die Zukunft widerrufen.

Widerspruch bei berechtigten Interessen und Direktwerbung

Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Wir verarbeiten die betroffenen Daten dann nicht weiter, sofern keine vorrangigen schutzwürdigen Gründe oder Erfordernisse zur Rechtsdurchsetzung bestehen. Einer Verarbeitung für Direktwerbung können Sie jederzeit widersprechen; die betroffenen Daten werden danach nicht mehr für diesen Zweck verwendet.

Beschwerde bei der Datenschutzbehörde

Wenn Sie der Ansicht sind, dass eine Verarbeitung gegen Datenschutzrecht verstößt, können Sie sich an eine zuständige Aufsichtsbehörde wenden. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, E-Mail: dsb@dsb.gv.at. Informationen und Online-Formulare finden Sie unter www.dsb.gv.at.

13. Schutzmaßnahmen und Aktualisierungen

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Daten vor unbeabsichtigtem Verlust, Veränderung, unbefugtem Zugriff oder Offenlegung zu schützen. Dazu gehören unter anderem verschlüsselte Übertragungswege, Zugriffsbegrenzungen, sichere Konten und eine auf den Zweck begrenzte Verarbeitung. Kein Übertragungs- oder Speichersystem kann jedoch absolute Sicherheit garantieren.

Wir passen diese Datenschutzerklärung an, wenn sich Dienste, Arbeitsabläufe oder rechtliche Anforderungen wesentlich ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.

Stand: 28.10.2026