Datenschutzerklärung

1. Verantwortlicher

Leo Sekula
Kindermangasse 32
8020 Graz, Österreich
E-Mail: info@vasteno.vip

Leo Sekula betreibt Vasteno als Privatperson. Diese Erklärung betrifft die Website und ihre Funktionen; unabhängig angebotene Dienste auf externen Websites haben eigene Datenschutzinformationen.

2. Website, Hosting & Sicherheit

Beim Abruf der Website werden IP-Adresse, Zeitpunkt, angeforderte Ressource und technische Browser- und Verbindungsinformationen verarbeitet. Je nach Anfrage können die verweisende Seite und technische Fehlerdaten hinzukommen. Zweck sind Auslieferung, Fehleranalyse und Schutz gegen Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in einem sicheren, funktionsfähigen Angebot.

Die Anwendung läuft auf Heroku (Salesforce). Supabase wird für Anmeldung, Datenbank und geschützte Speicherung verwendet. Cloudflare dient der Auslieferung und Absicherung sowie, je nach Funktion, als KV-Speicher für Inhaltsdaten und QR-Prüfwerte. Diese Dienste erhalten die jeweils erforderlichen Verbindungs- oder Inhaltsdaten. Für Anfragen an besonders missbrauchsanfällige Funktionen werden IP-bezogene oder gehashte Kennungen und zeitlich begrenzte Versuchszähler verarbeitet.

Technische Protokolle und Sicherheitsdaten werden nur so lange benötigt, wie Auslieferung, Fehlerklärung oder die Untersuchung konkreter Vorfälle dies erfordern. Speicher- und Sicherungsfristen der eingesetzten Dienste können davon abweichen; Auskünfte zur jeweiligen Verarbeitung sind über den oben genannten Kontakt erhältlich.

3. Cookies & Browser-Speicher

Für notwendige Sitzungen und ausdrücklich angeforderte Funktionen wird Browser-Speicher verwendet. Nicht notwendige Endgerätezugriffe benötigen vorherige Einwilligung. Die Speicherung deiner Kartenentscheidung ist selbst notwendig, um diese Entscheidung zu beachten.

• vasteno_maps_consent: Speichert „accepted“ oder „declined“ bis zu einem Jahr ohne persönliche Zufallskennung. Erst nach Zustimmung wird Google Maps eingebettet; die Zustimmung gilt auch für spätere Kartenaufrufe. Widerruf über „Datenschutzeinstellungen“ im Footer.
• vasteno_review_uid: Signierte Zufallskennung für den Schutz gegen Mehrfachbewertungen, erst beim Absenden gesetzt, höchstens 24 Stunden gültig. HttpOnly und SameSite=Lax, in Produktion Secure. Sie wird für den angeforderten Bewertungsdienst verwendet, nicht für Werbeprofile. Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO.
• company_access: Notwendiger Firmenzugang nach erfolgreicher Bestätigung, höchstens 24 Stunden; HttpOnly und SameSite=Strict, in Produktion Secure.
• Admin-Cookies (vasteno-admin-* bzw. __Host-vasteno-admin-*): Notwendige Zugangssitzung bis zu acht Stunden sowie kurzlebige Anmelde- und Passkey-Prüfungen bis zu zehn bzw. fünf Minuten.
• Supabase-Anmeldung (LocalStorage, sb-…-auth-token und PKCE-Prüfwerte): Speichert die angeforderte Kontositzung und deren Erneuerung. Die Sitzung kann über „Abmelden“ beendet werden; Browser-Daten lassen sich zusätzlich in den Browsereinstellungen löschen.
• Freiwillige lokale Entwürfe (LocalStorage, vasteno:account-login:v1 und vasteno:company-*): Werden nur bei aktivierter Option zur Entwurfspeicherung dauerhaft gespeichert. Dazu gehören Formularangaben und Vorgangskennungen, keine eingegebenen Passwörter oder Einmalcodes. Entwürfe werden nach 30 Tagen ohne Aktualisierung nicht mehr wiederhergestellt und beim nächsten Öffnen des Formulars entfernt. Mit dem Deaktivieren der Option wird der jeweilige Entwurf gelöscht. Noch gültige alte Entwürfe ohne gespeicherte Zustimmung werden einmal in das Formular übernommen; die dauerhafte Kopie wird entfernt und erst nach deiner Zustimmung erneut angelegt.
• Vorgangsfortschritt (SessionStorage, vasteno:account-login:v1 und vasteno:company-*): Erhält Formularangaben und Vorgangskennungen im selben Tab bei Neuladen und unterbrochener Anmeldung. Keine eingegebenen Einmalcodes oder Passwörter. Die Wiederherstellung endet nach höchstens 24 Stunden ohne Aktualisierung oder mit dem Schließen des Tabs; beim Abmelden werden diese Tab-Entwürfe entfernt. Eine Speicherung für spätere Besuche erfolgt nur über die freiwillige Option im jeweiligen Formular.
• vasteno:oauth-return:v1 (SessionStorage): Erhält das gewählte Firmenprofil und den Zielbereich während einer angeforderten Google-Anmeldung für höchstens zehn Minuten. Wird beim Abschluss oder Abbruch der Rückkehr entfernt. Enthält keine Zugangscodes oder Sitzungstoken.

Notwendige Kontofunktionen beruhen auf Art. 6 Abs. 1 lit. b DSGVO, Sicherheitsfunktionen auf lit. f. Freiwillige dauerhafte Entwurfspeicherung beruht auf Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021. Du kannst sie im jeweiligen Formular widerrufen. Für notwendige Endgerätezugriffe gilt die Ausnahme des § 165 Abs. 3 TKG 2021.

4. Werkzeuge & externe Abrufe

Lokale Verarbeitung: Bild-Metadaten entfernen, PDF-Passwort entfernen, KI-Textmuster prüfen und Text natürlicher machen verarbeiten die eingegebenen Dateien, Passwörter und Texte im Browser. Diese Eingaben werden durch die Werkzeuge nicht hochgeladen.

Linkauflösung und Website-Analyse: Eingegebene URLs werden an Vasteno übertragen und serverseitig einschließlich erforderlicher Weiterleitungen und Stylesheets abgerufen. Die Zielserver sehen die Serververbindung von Vasteno. URLs können selbst personenbezogene Daten oder private Zugriffsschlüssel enthalten; gib daher nur zur Prüfung bestimmte Adressen ein. Rechtsgrundlage für die angeforderte Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

QR Studio: Die Vorschau entsteht im Browser. Beim Export (Download oder Kopieren des SVG-Codes) wird der eingegebene QR-Inhalt, etwa ein Kontakt oder WLAN-Zugang, an Vasteno zur Erstellung mit Herkunftsnachweis übertragen. Ein hochgeladenes eigenes Logo bleibt dabei im Browser. Für die Herkunftsprüfung wird ein kryptografischer Prüfwert in Cloudflare KV gespeichert. Der Herkunftsdatensatz enthält keinen Klartextinhalt und hat keine automatische Ablaufzeit, damit alte Codes prüfbar bleiben. Im Admin kann ein QR-Bild zur Prüfung an den Server übertragen werden; eine dauerhafte Speicherung des Bildes ist dort nicht vorgesehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die angeforderte Funktion.

QR-Code-API: Für beantragte Zugänge speichern wir Konto-Referenz, bestätigte E-Mail-Adresse, Projektname, Website, Einsatzzweck, optionale Firmenzuordnung, Freigabeentscheidungen und den Verwaltungsverlauf. API-Schlüssel werden nur als Hash gespeichert und beim Erstellen einmalig angezeigt. Nutzungszähler dienen der Durchsetzung der freigegebenen Limits. QR-Inhalte werden zur Generierung übertragen; das Verwaltungsprotokoll maskiert WLAN-Passwörter und Kontaktinhalte. Für WLAN-, Kontakt-, E-Mail- und Telefon-Codes speichern wir keine Bildvorschau. Beim Löschen des Kontos werden seine API-Zugänge gesperrt und Antragsdaten anonymisiert; technische Sperr- und Herkunftsnachweise bleiben bestehen. Statusnachrichten nutzen den vorhandenen E-Mail-Versand. Die Integrationsdatei enthält keine Schlüssel. Beim Öffnen von ChatGPT, Claude oder Gemini gelten deren Datenschutzregeln; Vasteno kopiert den Prompt auf deine Anforderung, die Übermittlung erfolgt durch dein Einfügen oder beim direkten Claude-Desktop-Link.

Feinstaub-Check: Ein eingegebener Ort wird über Vasteno an Open-Meteo zur Ortssuche übermittelt; Koordinaten werden für den Luftgüteabruf an Open-Meteo weitergegeben. Bei freiwilliger Browser-Standortfreigabe gelangen deine Koordinaten ebenfalls an Vasteno und Open-Meteo. Die Anwendung speichert keine Standortchronik. Die Standortfreigabe ist optional (Art. 6 Abs. 1 lit. a DSGVO); die angeforderte Ortsabfrage beruht auf Art. 6 Abs. 1 lit. b DSGVO.

Apothekenfinder: Öffnungszeiten werden serverseitig von APO24 abgerufen. Der optional freigegebene Standort wird für die Entfernungssortierung im Browser verarbeitet. Beim Öffnen von „Route starten“ werden Ziel und, sofern freigegeben, deine Standortkoordinaten im Link an Google Maps übergeben. Bis dahin wird dadurch keine Google-Karte geladen.

5. Konten & Firmenzugänge

Schutz vor automatisiertem Missbrauch: Bei Kontoanmeldung und -registrierung, Passwortvorgängen, Firmenbestätigung, Firmeneinreichungen, Supportanfragen und Bewertungen verwenden wir Cloudflare Turnstile. Die Prüfung startet erst bei der angeforderten Formularaktion. Dabei werden technische Browser- und Verbindungsdaten an Cloudflare übermittelt. Der Server prüft das einmalig nutzbare Ergebnis vor der Verarbeitung. Weitere Informationen: Cloudflare Datenschutz. Technische Zugriffslimits begrenzen wiederholte Anfragen; Passwörter, Einmalcodes und Turnstile-Prüftoken werden dafür nicht protokolliert.

Für angeforderte Konten, Einmalcodes und Firmenzugänge werden E-Mail-Adresse, Nutzerkennung, Authentifizierungs- und Sitzungsdaten, Firmenzuordnungen und erforderliche Nachweise verarbeitet. Supabase übernimmt Anmeldung und geschützte Speicherung. Bei freiwilliger Google-Anmeldung werden die benötigten Basisdaten zwischen Google und Supabase ausgetauscht. Die Verarbeitung zur Bereitstellung des kostenlosen Nutzungsverhältnisses beruht auf Art. 6 Abs. 1 lit. b DSGVO, die Sicherung gegen Missbrauch auf lit. f.

Kontodaten werden für die Dauer des Kontos benötigt. Eine Kontolöschung kann im Konto oder per E-Mail angefragt werden. Öffentlich recherchierte Firmenangaben werden dadurch nicht automatisch gelöscht; für diese gilt der nächste Abschnitt. Für Veröffentlichung und Pflege eines Firmenprofils sind die entsprechenden Angaben erforderlich; freiwillige Felder können frei bleiben.

Selbst hochgeladene Firmenbilder werden in Supabase gespeichert und erhalten bereits beim Hochladen eine öffentliche Bildadresse. Die Zuordnung im Firmenprofil wird erst mit dem Veröffentlichen der Änderungen sichtbar. Die Bilder werden zur Darstellung verkleinert und neu kodiert; eingebettete Standort- und andere Metadaten werden dabei entfernt. Verwende nur zur Veröffentlichung bestimmte Bilder. Eine Entfernung gespeicherter Bilddateien kannst du unter info@vasteno.vip anfragen.

6. Firmenangaben & indirekt erhobene Daten

Das Verzeichnis verarbeitet öffentlich zugängliche Geschäftsangaben aus Firmenwebsites, Kontaktseiten, OpenStreetMap und benannten Drittquellen sowie direkt eingereichte Angaben. Bei natürlichen Personen können dies Name, berufliche Anschrift, Telefon, E-Mail, Tätigkeitsbeschreibung und öffentlich verwendete Bilder sein. Zweck und berechtigtes Interesse sind ein sachliches lokales Informationsangebot; für recherchierte personenbezogene Angaben gilt Art. 6 Abs. 1 lit. f DSGVO.

Veröffentlichte Angaben sind für alle Website-Besucher abrufbar. Quellen werden, soweit vorhanden, beim Profil angegeben oder zum Datensatz dokumentiert. Die Daten bleiben im Verzeichnis, solange der Eintrag relevant und seine Verarbeitung gerechtfertigt ist. Unzutreffende Daten können berichtigt werden; Widersprüche und Löschbegehren werden unter Berücksichtigung der jeweiligen Rechte geprüft.

Bei Erhebung aus anderen Quellen ist Art. 14 DSGVO zu beachten: Eine erforderliche individuelle Information erfolgt grundsätzlich binnen eines Monats, bei früherer Kontaktaufnahme oder Offenlegung bereits dann. Die Veröffentlichung dieser Erklärung allein ersetzt eine erforderliche individuelle Information nicht. Ausnahmen benötigen eine Prüfung im konkreten Fall.

7. Firmenbeschreibungen & Sprachmodelle

Für kurze Beschreibungen werden Google Gemini API und im automatisierten Firmenimport Groq eingesetzt, soweit der jeweilige Zugang aktiviert ist. Verarbeitet werden Firmenname, Adresse, Branche, Quell-URLs und Auszüge aus öffentlich abrufbaren Website-Texten. Diese Texte können auch personenbezogene Geschäftsangaben enthalten; öffentliche Abrufbarkeit macht sie nicht anonym. Supportnachrichten, Zugangscodes und Nutzereingaben der lokalen Textwerkzeuge werden über diese Funktionen nicht an die Sprachmodelle geschickt.

Im separaten Importskript ist zusätzlich eine optionale Auswahl von Recherche-Unterseiten über Typesafe/jev vorgesehen. Sie ist standardmäßig ausgeschaltet und benötigt einen eigenen Zugang und ein aktiviertes Anfragebudget; dabei würden Firmenangaben, mögliche Quell-URLs und Linkbeschriftungen übertragen.

Zweck und berechtigtes Interesse sind sachliche, quellenbezogene Beschreibungen (Art. 6 Abs. 1 lit. f DSGVO). Fehler können beanstandet werden. Von Google bereitgestellte Angaben zur Verwendung der API-Daten stehen in den Gemini API-Bedingungen; Angaben zu Groq in dessen Dateninformationen. Die dort beschriebenen Zwecke und Fristen hängen teilweise von Zugang und Einstellungen ab.

8. Google Maps, Bilder & Drittquellen

Google Maps wird nach ausdrücklicher Zustimmung eingebettet (Art. 6 Abs. 1 lit. a DSGVO und § 165 Abs. 3 TKG 2021). Google erhält dabei insbesondere deine IP-Adresse, Browser- und Nutzungsinformationen und kann Cookies oder andere Endgerätezugriffe verwenden. Eine Verarbeitung in den USA ist möglich. Anbieter der Kartenfunktion im EWR ist Google Ireland Limited. Der Widerruf über „Datenschutzeinstellungen“ verhindert weitere Einbettungen; bereits bei Google gespeicherte Daten werden dadurch nicht automatisch gelöscht.

Firmenlogos, Fotos oder andere Bilder können direkt von der beim Bild hinterlegten externen Quelle geladen werden, etwa einer Firmenwebsite oder Unsplash. Beim Abruf erhält deren Betreiber deine IP-Adresse und Browserinformationen; je nach Browser und Referrer-Regel auch die Herkunftsseite. Zweck ist die Darstellung des jeweiligen Inhalts (Art. 6 Abs. 1 lit. f DSGVO). Externe Links werden erst mit dem Öffnen aufgerufen und unterliegen den Datenschutzregeln des Zielanbieters.

Öffentliche Drittbewertungen können von Google Maps, Firmenwebsites oder anderen im Eintrag bezeichneten Bewertungsquellen stammen. Importierte Namen, Texte, Sterne und verfügbare Zeit- und Quellenangaben können öffentlich angezeigt werden (Art. 6 Abs. 1 lit. f DSGVO für die quellenbezogene Information). Der Backend-Abgleich von Google-Bewertungsdurchschnitten kann, bei aktiviertem Zugang, DataForSEO direkt oder über AISA nutzen; übermittelt werden Firmenname und Ort, nicht die IP-Adresse des Website-Besuchers.

9. Bewertungen, Kontakt & E-Mail

Bei eigenen Bewertungen werden Anzeigename, Sterne, Titel, Text und Zeitpunkt öffentlich gespeichert und angezeigt. Für die angeforderte Veröffentlichung gilt Art. 6 Abs. 1 lit. b DSGVO. Eine gehashte Bewertungskennung und IP-bezogene Versuchslimits dienen dem Schutz gegen Manipulation (lit. f). Eine Bewertung kann per E-Mail an info@vasteno.vip beanstandet werden; Hinweise zur Meldung findest du im Impressum. Eine automatische Zuordnung zum persönlichen Konto besteht nicht.

Für Kontaktanfragen, Firmeneinträge und Inhaltsmeldungen werden E-Mail-Adresse, Nachricht, Fundstelle, Zeitpunkt und gegebenenfalls Name und Firmenangaben zur Bearbeitung gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei angeforderten Kontofunktionen, sonst das berechtigte Interesse an Bearbeitung und Fehlerkorrektur nach lit. f. Die Angaben aus einer Meldung werden nicht öffentlich angezeigt.

Für Einmalcodes, Firmenbestätigungen und Antworten verwendet Vasteno Brevo. Dabei werden Empfängeradresse und Nachrichteninhalt an Brevo übermittelt. Brevo beschreibt die Datenbank-Speicherung auf EU-Servern in seinen Hostinginformationen. Zur Information über bestehende Firmenprofile können auch öffentlich angegebene Geschäftskontakte verwendet werden; daraus entsteht keine Newsletter-Anmeldung.

Bewertungen werden gespeichert, solange ihre Veröffentlichung gerechtfertigt ist. Nachrichten und Nachweise werden für die Bearbeitung und danach nur weiter benötigt, soweit konkrete Rechtsansprüche oder eine gesetzliche Pflicht dies erfordern. Löschbegehren sind über den oben genannten Kontakt möglich.

10. Empfänger & Übermittlungen außerhalb des EWR

Die oben genannten Hosting-, Speicher-, E-Mail- und API-Dienste erhalten jeweils die für ihre Funktion erforderlichen Daten. Google Maps, Google-Anmeldung, externe Bildanbieter und Bewertungsquellen können Daten auch für eigene Zwecke verarbeiten; sie sind nicht pauschal Auftragsverarbeiter von Vasteno.

Bei Heroku/Salesforce, Supabase, Cloudflare, Google und Groq sowie optionalen Importdiensten ist Verarbeitung außerhalb des EWR möglich. Dafür sind die Voraussetzungen der Art. 44 ff. DSGVO einzuhalten. Ein EU-US-Angemessenheitsbeschluss gilt nur für tatsächlich erfasste zertifizierte Empfänger; Standardvertragsklauseln setzen die entsprechende Vereinbarung und Prüfung voraus. Aus der bloßen Verwendung eines Dienstnamens folgt keine solche Absicherung. Informationen zu den konkreten Empfängern und verfügbaren Übermittlungsgarantien kannst du unter info@vasteno.vip anfordern.

11. Deine Rechte

Nach Maßgabe der DSGVO bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Verarbeitungen auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen. Einwilligungen können jederzeit für die Zukunft widerrufen werden; die Rechtmäßigkeit vor dem Widerruf bleibt unberührt.

Datenschutzanfragen sind formlos an info@vasteno.vip möglich. Bei berechtigten Zweifeln kann ein angemessener Identitätsnachweis erforderlich sein. Die Antwort erfolgt grundsätzlich binnen eines Monats; eine gesetzlich zulässige Verlängerung wird mitgeteilt. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

Du kannst dich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren. In Österreich: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, www.dsb.gv.at.

Stand: Oktober 2026.