Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Wagner IT-Solutions e.U.
Inhaber: Alexander Wagner
Adelheid-Popp-Gasse 14/1/36, 1220 Wien, Österreich
Firmenbuch: FN 609574h, Handelsgericht Wien
UID-Nummer: ATU83298959 (nach Art. 28 UStG, ausschließlich für den innergemeinschaftlichen Leistungsbezug — es wird keine Umsatzsteuer verrechnet)
E-Mail: info@instantpage.at
Telefon: +43 676 5040088

Der Verantwortliche betreibt die Plattform instantpage.at als Software-as-a-Service-Lösung zur Erstellung und zum Betrieb von Unternehmens-Websites für österreichische Unternehmer.

2. Datenerfassung beim Besuch unserer Website / Kontakt für Datenschutzanfragen

2.1 Bei der bloß informatorischen Nutzung unserer Website, also wenn Sie sich nicht registrieren oder uns anderweitig Informationen übermitteln, erheben wir nur solche Daten, die Ihr Browser an unseren Server übermittelt (sogenannte „Server-Logfiles”). Wenn Sie unsere Website aufrufen, erheben wir die folgenden Daten, die für uns technisch erforderlich sind, um Ihnen die Website anzuzeigen:

• unsere besuchte Website,
• Datum und Uhrzeit zum Zeitpunkt des Zugriffes,
• Quelle/Verweis, von welchem Sie auf die Seite gelangten,
• verwendeter Browser,
• verwendetes Betriebssystem,
• verwendete IP-Adresse,
• von Cloudflare abgeleitete Standortdaten (Land, Region, Stadt, Postleitzahl, ungefähre Koordinaten).

Diese Daten fallen in den Protokollen unseres Hosting-Dienstleisters Cloudflare an und werden dort längstens 7 Tage vorgehalten (siehe Abschnitt 11).

Die Verarbeitung erfolgt gemäß Art. 6 Abs. 1 lit. f DSGVO auf Basis unseres berechtigten Interesses an der Verbesserung der Stabilität und Funktionalität unserer Website. Eine eigene Zugriffsprotokollierung darüber hinaus betreiben wir nicht. Wir behalten uns allerdings vor, die Server-Logfiles nachträglich zu überprüfen, sollten konkrete Anhaltspunkte auf eine rechtswidrige Nutzung hinweisen.

2.2 Für Datenschutzanfragen, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch oder Widerruf wenden Sie sich bitte an datenschutz@instantpage.at. Missbrauchsmeldungen und Notice-and-Takedown-Anfragen nach § 16 ECG richten Sie bitte an abuse@instantpage.at.

Eine bestellte Datenschutzbeauftragte besteht nicht — die Voraussetzungen des Art. 37 DSGVO sind nicht erfüllt (kein Kerngeschäft mit umfangreicher regelmäßiger Beobachtung und keine umfangreiche Verarbeitung besonderer Datenkategorien).

3. Verarbeitungsrollen und Verantwortlichkeiten

Die datenschutzrechtliche Rollenverteilung wird nicht pauschal, sondern für jeden Verarbeitungsvorgang bestimmt. Maßgeblich sind die tatsächlich verfolgten Zwecke und die wesentlichen Mittel der jeweiligen Verarbeitung.

Die in Abschnitt 4 beschriebenen Verarbeitungen sind diejenigen, für die wir selbst verantwortlich sind. Wo wir für Sie als Auftragsverarbeiter tätig werden, gilt der mit Ihnen geschlossene Auftragsverarbeitungsvertrag.

4. Verarbeitungszwecke und Rechtsgrundlagen

Gemäß Art. 6 Abs. 1 lit. b DSGVO werden personenbezogene Daten zur Vertragsabwicklung erhoben und verarbeitet.

4.1 Kontoverwaltung und Trial-Verwaltung

Die Zwecke der Verarbeitung liegen in der Einrichtung, Verwaltung und technischen Bereitstellung des Benutzerkontos sowie in der Prüfung und Verwaltung von Trial-Zeiträumen. Darüber hinaus erfolgt die Verarbeitung zur Authentifizierung und Anmeldung des Nutzers, zur Kommunikation mit dem Kunden über das Benutzerkonto, dessen Nutzung und den jeweiligen Vertragsstatus sowie zum Schutz des Kontos vor unbefugtem Zugriff. Dazu gehören die Generierung Ihrer Website und der zugehörigen Rechtstexte sowie die 14-tägige Testphase mit der technischen Bereitstellung der Test-Subdomain und den Erinnerungs-Mails zum Ende der Testphase.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Durchführung vorvertraglicher Maßnahmen oder zur Erfüllung eines Vertrags erforderlich ist. Soweit die Verarbeitung der sicheren und funktionsfähigen Verwaltung des Benutzerkontos dient, erfolgt sie zudem auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einer sicheren und ordnungsgemäßen Kontoverwaltung.

Dabei können insbesondere folgende personenbezogene Daten verarbeitet werden: Firmenwortlaut, Anschrift, Rechtsform, Firmenbuchnummer, UID-Nummer und GISA-Daten sowie Name des Inhabers oder der Kontaktperson, E-Mail-Adresse und Telefonnummer, bei reglementierten Berufen zusätzlich Berufsbezeichnung, Kammer-Mitgliedschaft und Aufsichtsbehörde. Darüber hinaus können Login- und Authentifizierungsdaten, Angaben zum Vertrags- und Trial-Status (Test-Start, Test-Ende, Aktivierungsstatus) sowie Nutzungs- und Protokolldaten verarbeitet werden.

4.2 Website-Erstellung, Hosting und technische Wartung

Die Zwecke der Verarbeitung umfassen die Entgegennahme und Verarbeitung der Kundeneingaben sowie die Erstellung, Veröffentlichung, das Hosting, die technische Wartung und die Aktualisierung der vom Kunden beauftragten Website. Darüber hinaus werden Website-Inhalte, Konfigurationen, Bilder, Logos und sonstige vom Kunden bereitgestellte Inhalte gespeichert. Die Verarbeitung dient außerdem der Bereitstellung der erforderlichen technischen Funktionen, insbesondere SSL/TLS, Domainanbindung, DNS, Routing, Backups und Fehlerbehebung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Erfüllung des Vertrags mit dem Kunden erforderlich ist. Soweit die Verarbeitung der Gewährleistung eines sicheren, stabilen und funktionsfähigen Plattformbetriebs dient, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an einem sicheren, stabilen und funktionsfähigen Betrieb der Plattform.

Zu den verarbeiteten Daten gehören insbesondere Kundeneingaben, Website-Texte, Bilder, Logos und sonstige Mediendateien sowie Konfigurationen und Domainnamen. Darüber hinaus können technische Metadaten, Login- und Nutzungsdaten sowie die für den Betrieb, die Fehleranalyse und die Gewährleistung der Sicherheit erforderlichen Log- und Sicherheitsdaten verarbeitet werden.

4.3 KI-gestützte Texterstellung

Die Verarbeitung dient der Erstellung, Überarbeitung und Strukturierung von Texten für die vom Kunden beauftragte Website. Darüber hinaus dient sie der Unterstützung bei der automatisierten Erstellung von Website-Inhalten und Datenschutzbausteinen auf Grundlage der vom Kunden eingegebenen Informationen und der von ihm ausgewählten Einstellungen. Einzelheiten zum eingesetzten Anbieter, zur Drittlandübermittlung und zu Ihrer Prüfpflicht stehen in Abschnitt 10.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Erbringung der vom Kunden beauftragten Leistung erforderlich ist. Soweit der Kunde Inhalte eingibt, die personenbezogene Daten enthalten, erfolgt deren Verarbeitung im Rahmen der vertraglich geschuldeten Leistung und nach den Weisungen des Kunden.

Zu den verarbeiteten Daten gehören insbesondere Kundeneingaben, Website-Konfigurationen, vom Kunden bereitgestellte Inhalte, ausgewählte Einstellungen sowie die für die Verarbeitung erforderlichen technischen Metadaten.

Eine Nutzung der verarbeiteten Daten zum Training eigener Modelle erfolgt nicht, sofern eine solche Nutzung nicht ausdrücklich als eigenständiger Verarbeitungszweck beschrieben und auf einer hierfür geeigneten Rechtsgrundlage rechtlich zulässig geregelt ist.

4.3a Eigene Abrechnung und Kundenverwaltung

Die Verarbeitung dient der Abwicklung der Plan-Vergütung, der Rechnungsstellung, der Erfüllung steuerrechtlicher Aufbewahrungspflichten und dem Nachweis des Bestellvorgangs.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung — § 132 BAO, § 212 UGB). Für den Nachweis des Bestellvorgangs (IP-Adresse, Browserkennung) ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 17 Abs. 3 lit. e DSGVO — berechtigtes Interesse an der Geltendmachung und Abwehr von Ansprüchen aus dem Bestellvorgang.

Verarbeitet werden Buchhaltungs- und Rechnungsdaten gemäß § 132 BAO und § 212 UGB (7 Jahre) sowie die Angaben zum Bestellvorgang.

4.4 Zahlungsabwicklung über Stripe

Auf dieser Website stehen eine oder mehrere Online-Zahlungsarten des folgenden Anbieters zur Verfügung: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Stripe Payments Europe, Ltd. gibt Daten konzernintern an Stripe, LLC (USA) weiter (siehe Abschnitt 7).

Angeboten wird ausschließlich ein Abonnement mit Karten- und Wallet-Zahlung. Bei Auswahl einer Zahlungsart des Anbieters, bei der Sie in Vorleistung gehen (etwa Kreditkartenzahlung), werden an diesen Ihre im Rahmen des Bestellvorgangs mitgeteilten Zahlungsdaten (darunter Name, Anschrift, Bank- und Zahlkarteninformationen, Währung und Transaktionsnummer) sowie Informationen über den Inhalt Ihrer Bestellung gemäß Art. 6 Abs. 1 lit. b DSGVO weitergegeben. Die Weitergabe Ihrer Daten erfolgt in diesem Falle ausschließlich zum Zweck der Zahlungsabwicklung mit dem Anbieter und nur insoweit, als sie hierfür erforderlich ist.

Übermittelt werden dabei: Stripe-Kunden-ID, E-Mail-Adresse, Vor- und Nachname, Firmenwortlaut, unsere Bestell- und Konto-Kennung, Rechnungsnummer, Rechnungsbetrag, Zahlungsmethoden-Token (keine vollständigen Zahlungsdaten — diese verbleiben bei Stripe), Rechnungs-Adresse und UID-Nummer. Beim Auslösen einer Bestellung gehen zusätzlich IP-Adresse und Browserkennung an Stripe, als Nachweis des Bestellvorgangs. Diese Angaben liegen dort in der Bestell-Sitzung; wir leeren sie dort nach zwölf Monaten, bei einer endgültigen Löschung Ihres Kontos mit dieser. Gelingt das im Einzelfall nicht, gehen wir dem nach.

Bei einer endgültigen Löschung Ihres Kontos setzen wir E-Mail-Adresse und Namen auch beim Kundenkonto bei Stripe auf einen Platzhalter. Firmenwortlaut, Anschrift und UID-Nummer bleiben dort als Buchhaltungsbeleg — dazu sind wir gesetzlich verpflichtet (siehe Abschnitt 11). Gelingt das Ersetzen im Einzelfall nicht, gehen wir dem nach.

4.5 Direktansprache von Unternehmen und Organisationen

Diese Verarbeitung zur Direktansprache erfolgt zeitlich begrenzt im Rahmen der Markteinführungsphase. Nach Abschluss dieser Phase wird die Verarbeitung eingestellt; bereits gespeicherte Daten werden nach den unten genannten Fristen gelöscht.

Die Verarbeitung dient der Kontaktaufnahme mit Unternehmern, unternehmerisch tätigen Personen und Organisationen sowie deren Ansprechpersonen, um diese über die Plattform und die angebotenen Leistungen zu informieren, Kooperationen anzubahnen und auf Wunsch einen Entwurf ihrer Website zu erstellen (Abschnitt 4.11). Darüber hinaus dient sie der Dokumentation erfolgter Kontaktaufnahmen sowie der Erfassung und Beachtung etwaiger Widersprüche gegen eine weitere Kontaktaufnahme.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Vermarktung unserer B2B-Software, sofern die im jeweiligen Einzelfall erforderliche Interessenabwägung zugunsten der Verarbeitung ausfällt.

Zu den verarbeiteten Daten gehören insbesondere der Name, die Unternehmens- oder Organisationsbezeichnung, die berufliche Funktion und die geschäftlichen Kontaktdaten (etwa Postanschrift und E-Mail-Adresse) der kontaktierten Person. Darüber hinaus können die Quelle der Kontaktdaten, öffentlich zugängliche Angaben zur Website und zur Tätigkeit des Unternehmens oder der Organisation, unser Vermerk, weshalb wir sie ausgewählt haben, der bisherige Kontaktverlauf einschließlich Ihrer Antworten sowie Widerspruchs- und Sperrvermerke verarbeitet werden. Die Kontaktdaten und die Angaben zur Tätigkeit stammen aus öffentlich zugänglichen Quellen, etwa Verzeichnissen, Registern, Portalen und Websites. Für diese Kontaktaufnahmen nutzen wir KI-Werkzeuge von Anthropic (Verarbeitung in den USA); die Angaben zu Anthropic in Abschnitt 7 gelten dafür nur, soweit wir die Werkzeuge über unsere Plattform nutzen. Vor einer Kontaktaufnahme per E-Mail gleichen wir die Adressen mit der ECG-Liste der RTR ab (§ 7 Abs. 2 ECG); dabei erhält die RTR die Adressen.

Die Daten werden höchstens zwölf Monate nach ihrer Erhebung gespeichert, unabhängig davon, ob wir das Unternehmen anschreiben. Abweichend davon werden im Falle eines Widerspruchs die betreffenden Daten für weitere Werbezusendungen beziehungsweise werbliche Kontaktaufnahmen gesperrt und anschließend nur so lange und in dem Umfang gespeichert, wie dies zum Nachweis sowie zur dauerhaften Beachtung des Widerspruchs erforderlich ist.

Sie können einer solchen Kontaktaufnahme jederzeit formlos widersprechen, per Brief an die Anschrift in Abschnitt 1 oder per E-Mail an datenschutz@instantpage.at.

Als Kunde erhalten Sie E-Mails von uns ausschließlich im Rahmen des bestehenden Vertragsverhältnisses — etwa zur Registrierung, zum Ende der Testphase oder zu Rechnungen — oder als Antwort auf Ihre eigene Anfrage.

4.6 Produktverbesserung und Statistik

Newsletter: Findet derzeit nicht statt.

Produktverbesserung und Statistik: Zwecke sind die Auswertung der Nutzung der Plattform zur Verbesserung der Funktionen, die Identifikation technischer Fehler und die Sicherstellung der Stabilität. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Verarbeitet werden Pageviews, Referrer und Geräteklasse (aggregiert über Cloudflare Web Analytics, ohne Cookies, ohne IP-Speicherung) sowie Portal-Aktivitätsprotokolle. Kundeneingaben und Kundeninhalte fließen nicht ein.

4.7 Plattform- und Website-Sicherheit

Zwecke: Erkennung und Abwehr von Angriffen, Missbrauch, Spam, Bots, unbefugten Zugriffen und sonstigen Sicherheitsvorfällen; Aufrechterhaltung der Verfügbarkeit und Integrität der Plattform; Untersuchung und Dokumentation von Vorfällen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit, Stabilität und Missbrauchsabwehr) sowie, soweit einschlägig, Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen). Daten: IP-Adresse, Zeitstempel, aufgerufene Ressourcen, Browser- und Geräteinformationen, von Cloudflare abgeleitete Standortdaten (Land, Region, Stadt, Postleitzahl, ungefähre Koordinaten), Authentifizierungs- und Sessiondaten, Sicherheitsereignisse, Cloudflare-Turnstile-Token (token-basiert, ohne Cookies) und sonstige technische Logdaten (Worker-Protokolle bei Cloudflare längstens 7 Tage).

4.8 Kontaktformular auf instantpage.at

Im Rahmen der Kontaktaufnahme mit uns (z.B. per Kontaktformular oder E-Mail) werden personenbezogene Daten erhoben. Welche Daten im Falle eines Kontaktformulars erhoben werden, ist aus dem jeweiligen Kontaktformular ersichtlich. Diese Daten werden ausschließlich zum Zweck der Beantwortung Ihres Anliegens bzw. für die Kontaktaufnahme und die damit verbundene technische Administration gespeichert und verwendet. Dabei können wir Ihre Nachricht mit Unterstützung von KI-Werkzeugen von Anthropic (Verarbeitung in den USA) bearbeiten, etwa um sie zuzuordnen oder eine Antwort vorzubereiten; die Antwort verantworten wir selbst.

Rechtsgrundlage für die Verarbeitung der Daten ist unser berechtigtes Interesse an der Beantwortung Ihres Anliegens gemäß Art. 6 Abs. 1 lit. f DSGVO. Zielt Ihre Kontaktierung auf den Abschluss eines Vertrages ab, so ist zusätzliche Rechtsgrundlage für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO.

Ihre Daten werden nach abschließender Bearbeitung Ihrer Anfrage gelöscht, dies ist der Fall, wenn sich aus den Umständen entnehmen lässt, dass der betroffene Sachverhalt abschließend geklärt ist und sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Den Eintrag, den das Kontaktformular in unserer Datenbank anlegt, löschen wir spätestens nach 365 Tagen automatisch durch einen nächtlichen Lauf.

4.9 Website-Import vor der Registrierung (optional)

• Zwecke: Wenn Sie zu Beginn des Einrichtungs-Ablaufs freiwillig die Adresse einer bestehenden Website angeben, lesen wir diese einmalig aus, um den Fragebogen für Sie vorzubefüllen (unter anderem Firmenname, Berufsbezeichnung, Leistungen samt dort genannter Preise, Kontaktdaten, Öffnungszeiten, Einsatzgebiet, Ihre Beschreibungs- und „Über uns“-Texte, vorhandene Fragen und Antworten, Verweise auf Ihre Social-Media-Profile, erkennbare Betriebs-Merkmale, Namen und Funktionen der auf Ihrer Seite vorgestellten Mitarbeitenden sowie veröffentlichte Kundenstimmen samt den dort genannten Namen und die auf Ihrer Seite veröffentlichten Impressums-Angaben wie Rechtsform, UID, Firmenbuchdaten oder vertretungsbefugte Personen). Aus diesen Angaben leiten wir zusätzlich eine Branchen-Zuordnung ab, die den Aufbau Ihres Entwurfs bestimmt; sie ist im Fragebogen änderbar. Die übernommenen Texte sind Ihre eigenen — wo dort Namen von Personen stehen, werden sie wörtlich mitgeführt. Aus demselben Vorgang zeigen wir Ihnen die Adressen der Fotos, die auf Ihrer Seite stehen, damit Sie einzelne davon zur Übernahme auswählen können (Abschnitt 4.10), und lesen die vorherrschende Farbe Ihrer Startseite aus, um im Farbschritt einen passenden Vorschlag vorauszuwählen. Die ausgelesene Farbe selbst speichern wir nicht; wählen Sie den daraus abgeleiteten, auf Lesbarkeit geprüften Vorschlag aus, wird er wie jede andere Farbwahl Teil Ihres Auftrags. Aus demselben Abruf ermitteln wir, sofern Ihre Seite es erkennbar ausweist, die Adresse Ihres Logos— auch dieses bieten wir Ihnen nur zur Auswahl an (Abschnitt 4.10). Dieser Schritt erfolgt anonym und ohne Benutzerkonto, auf Ihre eigene Initiative, noch vor jeder Registrierung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer reibungslosen, vorvertraglichen Einrichtung auf Ihre Veranlassung). Der Schritt ist optional — Sie können den Fragebogen auch ohne Import ausfüllen. Vor dem Auslesen bestätigen Sie, dass Sie für die angegebene Website verantwortlich sind; der Vorgang ist auf diesen Zweck beschränkt.
• Daten und Empfänger: die von Ihnen eingegebene Website-Adresse sowie ein Bot-Schutz-Token (Cloudflare Turnstile, ohne Cookies). Ihre Seite wird über unseren Hosting-Dienstleister Cloudflare (USA-Mutterkonzern, DPF) abgerufen; der dabei ausgelesene Seiteninhalt — einschließlich der dort veröffentlichten Impressums-, Offenlegungs- und Datenschutz-Angaben, der dort veröffentlichten Kundenstimmen, der dort vorgestellten Mitarbeitenden und der übrigen Texte Ihrer Seite, die alle Namen natürlicher Personen enthalten können — wird an Anthropic (Vertragspartner Anthropic Ireland, Limited; Verarbeitung in den USA) zur Auswertung übermittelt (US-Übermittlung gestützt auf die Standardvertragsklauseln der EU-Kommission — Anthropic ist nicht nach dem Data Privacy Framework zertifiziert; siehe Abschnitt 7). Die ausgelesenen Inhalte verbleiben ausschließlich in Ihrem Browser, bis Sie ein Konto anlegen — eine Speicherung in unserer Datenbank erfolgt vor der Registrierung nicht.
• Speicherdauer: Der Seiteninhalt selbst wird nicht dauerhaft gespeichert. Es entstehen lediglich technische, nicht personenbezogene Nutzungs-/Kostenzeilen (nur Verbrauchs- und Kostenwerte der KI-Aufrufe, ohne Seiteninhalt und ohne Kontobezug), die nach 90 Tagen automatisch gelöscht werden.

4.10 Fotos und Logo aus Ihrer bisherigen Website übernehmen (optional)

• Zwecke: Der Website-Import (Abschnitt 4.9) findet auch die Fotos Ihrer bisherigen Seite und — sofern erkennbar ausgewiesen — Ihr Logo; im weiteren Verlauf des Einrichtungs-Ablaufs zeigen wir sie Ihnen zur Auswahl. Übernommen wird ausschließlich, was Sie einzeln auswählen — und zwar erst beim Anlegen Ihres Kontos: Dann erst laden wir die betreffenden Bilddateien herunter und speichern sie zu Ihrem Auftrag. Legen Sie kein Konto an, geschieht nichts davon.
• Rechtsgrundlage: Das Anzeigen der gefundenen Fotos ist Teil des Imports und teilt dessen Grundlage (Art. 6 Abs. 1 lit. f DSGVO, Abschnitt 4.9). Das Herunterladen und Speichern der von Ihnen ausgewählten Bilder erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Erstellung Ihrer Website) und setzt voraus, dass Sie zuvor bestätigt haben, über die erforderlichen Nutzungsrechte zu verfügen. Die Funktion ist optional — Sie können den Schritt überspringen und Ihre Fotos später im Kundenbereich hochladen.
• Daten und Empfänger: die Adressen der auf Ihrer Seite gefundenen Bilder. Solange Sie nur auswählen, verbleiben sie ausschließlich in Ihrem Browser; die Vorschaubilder werden direkt von der Stelle geladen, an der Ihre bisherige Website sie ausliefert — unser Server ruft dafür nichts ab. Das ist entweder Ihre eigene Domain oder, wenn Ihre bisherige Seite mit einem Website-Baukasten erstellt wurde, dessen Bild-Server (etwa Wix, Squarespace, Jimdo, Shopify, Webflow oder WordPress.com). Das ist der Anbieter, bei dem Ihre Bilder ohnehin liegen und den Ihr Browser bei jedem Besuch Ihrer eigenen Seite kontaktiert. Andere Quellen werden nicht angezeigt und nicht übernommen. Beim Anlegen Ihres Kontos ruft unser Server (betrieben bei Cloudflare (USA-Mutterkonzern, DPF)) die ausgewählten Bilddateien von der oben genannten Stelle ab — Ihrer eigenen Domain oder dem Bild-Server Ihres Baukastens — und speichert sie bei unserem Hosting-/Speicher-Dienstleister Supabase. Eine Übermittlung der Bilder an Anthropic findet nicht statt — auf die Bilder wird kein KI-Modell angewendet.
• Speicherdauer: Der ausgelesene Seiteninhalt wird nicht gespeichert, und die Adressen der gefundenen Bilder speichern wir ebenfalls nicht. Von einem übernommenen Foto und von einem übernommenen Logo speichern wir die Bilddatei selbst; sie wird wie Ihre eigenen Uploads behandelt (Abschnitt 11) — Sie können sie im Kundenbereich jederzeit ersetzen oder entfernen.

4.11 Entwurf Ihrer Website

Erstellen wir für Sie einen Entwurf Ihrer Website, lesen wir Ihre bestehende Seite wie in Abschnitt 4.9 aus (haben Sie keine, nehmen wir die Angaben aus Abschnitt 4.5), erstellen daraus mit KI einen Entwurf samt Bildschirmfoto Ihrer bisherigen Startseite und zeigen ihn Ihnen über einen persönlichen, nicht auffindbaren Link. Stellt Ihre Seite Mitarbeitende namentlich vor, können wir deren Namen und Funktionen in den Entwurf übernehmen und neben einer Person das Foto zeigen, das auf Ihrer Seite bei ihr steht. Wir halten fest, wann der Entwurf erstellt wurde, ob der Link geöffnet wurde (ohne IP-Adresse, ohne Cookie), einen Vermerk, wer wann auf welchem Weg der Erstellung zugestimmt hat, und eine persönliche Zeile, die wir dem Link mitgeben. Von Fotos und Logo Ihrer bisherigen Seite speichern wir bis dahin nur die Adressen und die Bildbeschreibungen, bei einem Foto einer Person zusammen mit ihrem Namen. Die Bilder selbst speichern wir erst, wenn Sie den Entwurf übernehmen, sie einzeln auswählen und die Nutzungsrechte bestätigen (Abschnitt 4.10).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wie in Abschnitt 4.9. Empfänger: wie in Abschnitt 4.9, dazu Supabase als Speicher. Beim Ansehen des Entwurfs lädt Ihr Browser Fotos und Logo direkt von Ihrer bisherigen Website bzw. vom Bild-Server Ihres Baukastens (wie in Abschnitt 4.10). Schicken wir Ihnen den Link über einen Messenger, ruft dessen Link-Vorschau Titel und Titelbild des Entwurfs ab; das Titelbild kann ein Foto Ihrer bisherigen Website sein. Speicherdauer: 30 Tage, bei „Nein danke“ sofort gelöscht; bei Übernahme gilt Abschnitt 4.1. Sie können jederzeit widersprechen (Abschnitt 12).

5. Datenkategorien

Verarbeitet werden insbesondere Plattform-Stammdaten, Firmen- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Login- und Authentifizierungsdaten, Website-Inhalte und Konfigurationen, technische Log- und Sicherheitsdaten, Kommunikationsdaten, Zahlungsdaten, Einwilligungs- und Widerspruchsnachweise sowie Daten, die der Kunde im Rahmen der Erstellung oder des Betriebs einer Website selbst bereitstellt. Im Einzelnen:

• Plattform-Stammdaten: Firmenwortlaut, Anschrift, Rechtsform, Firmenbuchnummer und -gericht, UID
• Weitere Impressums-Angaben: GISA-Zahl, Unternehmensgegenstand, ZVR-Zahl, Kammer und berufsrechtliche Vorschriften, Aufsichtsbehörde sowie die Namen vertretungsbefugter Personen (Geschäftsführung, Vorstand, Aufsichtsrat, Gesellschafter)
• Kontaktdaten: E-Mail, Telefon, Inhaber-Name
• Kontaktformular-Daten: Name, E-Mail, Nachricht (über die Kontaktformulare auf instantpage.at; gelöscht 30 Tage nach Eingang, sobald die Anfrage beantwortet ist, längstens nach 365 Tagen, siehe Abschnitt 4.8)
• Zahlungs-Metadaten: Stripe-Kunden-ID, Rechnungsnummer, Betrag
• Trial-Daten: Test-Start, Test-Ende, Aktivierungsstatus
• Portal-Aktivitäts-Logs: Aufgerufene Funktion, Zeitstempel, IP
• Technische Logs: IP, User-Agent, Referrer (je Zugriff, bei Cloudflare längstens 7 Tage)

instantpage.at fordert keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO für die Plattformleistung an. Der Kunde darf solche Daten nicht in dafür nicht vorgesehene Felder eingeben. Da Kundeninhalte und öffentlich zugängliche Website-Inhalte personenbezogene Daten enthalten können, darf nicht allein aus dem Fehlen einer ausdrücklichen Abfrage geschlossen werden, dass solche Daten technisch ausgeschlossen sind.

Falls Sie als Kunde Heilberufsdaten verarbeiten, erfolgt dies außerhalb unserer Plattform — die generierte Website ist nicht für die Verarbeitung von Gesundheitsdaten oder Mandantendaten konzipiert (siehe AGB § 6 Abs. 4).

6. Empfänger und Subprozessoren

Für den Betrieb der Plattform werden — abhängig von der aktivierten Funktion — insbesondere folgende Anbieter eingesetzt. Mit allen ist ein Auftragsverarbeitungsvertrag (AVV) bzw. Data Processing Agreement (DPA) abgeschlossen.

• Cloudflare (Cloudflare, Inc., USA) — DNS, CDN, Hosting (Workers + Pages), Verbindung zur Datenbank (Hyperdrive, Verbindungs-Pooling), Protokollierung der Auslieferung (Workers Logs), Speicherung (R2), Custom Hostnames, Web Analytics, Auslesen von Websites (Browser Run) beim optionalen Onboarding-Import und für Entwürfe (Abschnitt 4.11). Verarbeitungsort: USA-Mutterkonzern; Edge-Netz global. Dateispeicher (R2) EU-gebunden (Jurisdiction EU); übrige Verarbeitungen, insbesondere Auslieferungsprotokolle, Zugriffszähler des Missbrauchsschutzes und Reichweitenmessung, sind nicht regional gebunden.. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen).
• Supabase (Supabase, Inc., USA) — Datenbank, Storage, Authentifizierung. Verarbeitungsort: Frankfurt (EU). Drittland-Bezug: nein — Die Daten werden in Frankfurt gespeichert (gemessen). Vertragspartner ist die Supabase, Inc. mit Sitz in den USA; für den Fall eines Zugriffs von dort gelten die Standardvertragsklauseln der EU-Kommission (Module 2 und 3) samt Transfer Impact Assessment..
• Stripe (Stripe Payments Europe, Ltd., Irland) — Zahlungsabwicklung. Verarbeitungsort: Irland (Vertragspartner Stripe Payments Europe, Ltd.); konzerninterne Weiterübermittlung an Stripe, LLC (USA). Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen).
• Anthropic (Vertragspartner Anthropic Ireland, Limited; Verarbeitung in den USA) — KI-Sprachmodell (Claude) für Text-Generierung und Import-Klassifizierung. Verarbeitungsort: USA. Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission, Durchführungsbeschluss (EU) 2021/914; Anbieter nicht DPF-zertifiziert).
• Microsoft 365 (Microsoft Ireland Operations Limited) — E-Mail-Postfächer (Exchange Online + Protection); weitere Workloads im Tenant nicht aktiv. Verarbeitungsort: Tenant-Standort Österreich (Customer Data at Rest); zugesicherte Geografie EU/EFTA für operative Verarbeitungen. Drittland-Bezug: nein (Verarbeitung innerhalb EU/EFTA).
• Resend (Plus Five Five, Inc., USA; Marke Resend) — Versand unserer E-Mails: Konto- und Vertrags-Mails an Kunden (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, E-Mail-Wechsel, Willkommen, Testphasen-Erinnerung) sowie Weiterleitung von Anfragen aus dem Kontaktformular einer Kundenwebsite an das Postfach des Kunden. Verarbeitungsort: USA mit EU-Servern. Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission; Anbieter zusätzlich im DPF-Verzeichnis eingetragen).
• Cloudflare Turnstile (Cloudflare, Inc., USA) — Bot-Schutz auf Formularen (token-basiert, ohne Cookies). Verarbeitungsort: USA mit EU-Servern. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen).
• Hetzner (Hetzner Online GmbH) — Weiterleitungs-Server für eigene Kunden-Domains: leitet Aufrufe der Domain ohne „www“ auf die www-Adresse weiter (nur bei gebuchter eigener Domain; verarbeitet dabei ausschließlich Verbindungsdaten, keine Inhalte). Verarbeitungsort: Deutschland/Finnland (EU). Drittland-Bezug: nein.
• easyname.at (easyname GmbH) — Domain-Registrierung. Verarbeitungsort: Österreich. Drittland-Bezug: nein.

Die jeweils aktuelle Subprozessorenliste ist unter instantpage.at/subprozessoren abrufbar. Bei der Beauftragung neuer Subprozessoren werden Kunden entsprechend dem zugrunde liegenden Auftragsverarbeitungsvertrag informiert. Ein Widerspruch ist innerhalb der dort vorgesehenen Frist, derzeit binnen 30 Tagen, möglich.

Weitere Empfänger (keine Auftragsverarbeiter)

Sobald Ihre Website veröffentlicht wird, melden wir ihre Adresse und die Adresse ihrer Sitemap an Suchmaschinen, damit sie gefunden wird — bei einer Adresse unter instantpage.at ebenso wie bei einer eigenen Domain:

• Google Search Console (Google Ireland Limited) — übermittelt wird der Domainname und die Adresse Ihrer Sitemap.
• IndexNow — übermittelt wird der Domainname und eine Liste der öffentlichen Seitenadressen Ihrer Website. IndexNow ist ein gemeinsames Meldeverfahren mehrerer Suchmaschinen: Eine Meldung wird nach den Angaben des Betreibers an alle teilnehmenden Suchmaschinen weitergegeben, derzeit insbesondere Microsoft Bing, Yandex, Seznam und Naver.

Beide handeln dabei als eigenständig Verantwortliche, nicht in unserem Auftrag; ein Auftragsverarbeitungsvertrag besteht für diesen Vorgang deshalb nicht. Übermittelt werden ausschließlich Adressen öffentlich abrufbarer Seiten — keine Inhalte aus Ihrem Konto und keine Daten Ihrer Websitebesucher. Ein Personenbezug kann dabei gleichwohl bestehen: Eine Domain kann Ihren Namen enthalten, und bei Einzelunternehmen ist sie regelmäßig Ihnen zuzuordnen — deshalb nennen wir die Empfänger hier.

Drittland: Google Ireland Limited ist in der EU niedergelassen, verarbeitet aber konzernintern auch in den USA; Grundlage ist das EU-U.S. Data Privacy Framework. Die IndexNow-Meldung geht an den Endpunkt api.indexnow.org und wird von dort an alle teilnehmenden Suchmaschinen weitergegeben; darunter sind Anbieter außerhalb der EU und außerhalb des Europäischen Wirtschaftsraums, derzeit insbesondere Microsoft Bing, Yandex, Seznam und Naver. Wir haben mit ihnen für diesen Vorgang keinen Vertrag — sie entscheiden eigenständig über die Verarbeitung, und es bestehen für diese Übermittlung weder Standardvertragsklauseln noch ein Angemessenheitsbeschluss. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags — die Auffindbarkeit Ihrer Website ist Teil der beauftragten Leistung); die Übermittlung in ein Drittland stützen wir auf Art. 49 Abs. 1 lit. b DSGVO, weil sie zur Erfüllung genau dieses Vertrags erforderlich ist. Übermittelt werden ausschließlich Adressen, die ohnehin öffentlich abrufbar sind.

Custom-Domains (Professional-Plan): Wenn Sie eine eigene Domain mit Ihrer Website verbinden, übermitteln wir den von Ihnen eingegebenen Domainnamen an unseren Subprozessor Cloudflare zur Einrichtung des Custom-Hostname-Routings und zur Ausstellung des TLS/SSL-Zertifikats für Ihre Domain (Cloudflare for SaaS). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Domainname wird zusätzlich in unserer Datenbank (Supabase, Frankfurt) gespeichert. Die Übermittlung an Cloudflare ist über das EU-U.S. Data Privacy Framework abgesichert (siehe Abschnitt 7).

7. Drittlandübermittlungen

Bei einzelnen Diensten kann ein Drittlandbezug bestehen, insbesondere bei Anbietern mit Sitz in den Vereinigten Staaten oder bei konzerninternen Support- und Zugriffsmöglichkeiten. Je nach Anbieter werden Angemessenheitsbeschlüsse, insbesondere das EU-U.S. Data Privacy Framework, oder geeignete Garantien nach Art. 46 DSGVO, insbesondere Standardvertragsklauseln, herangezogen. Welche Grundlage für welchen Anbieter gilt, ist nicht einheitlich:

• Cloudflare und Stripe: EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Beschluss (EU) 2023/1795). Beide Anbieter sind im Verzeichnis des US-Handelsministeriums eingetragen (Registerstand bei der letzten Prüfung, siehe unten). Bei Stripe ist der Vertragspartner die irische Stripe Payments Europe, Ltd., die Daten konzernintern an Stripe, LLC (USA) weitergibt.
• Anthropic: Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), vereinbart im Auftragsverarbeitungsvertrag. Anthropic ist nicht nach dem DPF zertifiziert.
• Resend: Standardvertragsklauseln der EU-Kommission, vereinbart im Auftragsverarbeitungsvertrag; Resend ist zusätzlich im DPF-Verzeichnis eingetragen.

Welche Grundlage für welchen Anbieter gilt, steht auch in der Subprozessoren-Liste in Abschnitt 6 („Drittland-Bezug“) und auf instantpage.at/subprozessoren.

Wo Sie eine Kopie dieser Garantien erhalten: Der amtliche Wortlaut der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021) ist frei abrufbar bei EUR-Lex: eur-lex.europa.eu — CELEX:32021D0914. Die konkret mit dem jeweiligen Anbieter vereinbarte Fassung ist Bestandteil des dortigen Auftragsverarbeitungsvertrags; wir stellen sie Ihnen auf Anfrage an datenschutz@instantpage.at zur Verfügung (Art. 13 Abs. 1 lit. f DSGVO).

Die konkrete Übermittlung richtet sich nach dem jeweils aktivierten Dienst. Die Bewertung wird für jeden Anbieter anhand der Datenkategorien, des Zwecks, des Übermittlungswegs, der anwendbaren Garantie und ergänzender technischer und organisatorischer Maßnahmen dokumentiert. Wir prüfen quartalsweise den Verzeichnis-Status der DPF-gestützten Anbieter, den Fortbestand der für Anthropic und Resend vereinbarten Standardvertragsklauseln sowie Änderungen am Angemessenheitsbeschluss. Letzte Prüfung gegen das amtliche Verzeichnis: 23. September 2026.

Davon zu unterscheiden sind die in Abschnitt 4.10 genannten Bild-Server der Website-Baukästen: Sie verarbeiten nichts in unserem Auftrag, sondern liefern Ihrem Browser die Bilder Ihrer eigenen bisherigen Website aus — dieselben, die er bei jedem Besuch dieser Seite abruft. Ein Auftragsverarbeitungsverhältnis besteht mit ihnen nicht.

Für Bilder auf Kundenseiten kann der Anbieter lizenzfreie Stockfotos einsetzen. Diese werden auf unseren eigenen Servern (Supabase, Frankfurt) gehostet; an die Foto-Plattform werden dabei keine personenbezogenen Daten der Websitebesucher übermittelt.

Microsoft 365 verarbeitet unsere Mail-Daten im Tenant-Standort Österreich. Microsoft sichert für Customer Data at Rest die Geografie Österreich zu; operative Verarbeitungen können konzernintern innerhalb der zugesicherten EU/EFTA-Geografie stattfinden. Eine USA-Übermittlung über Microsoft findet aktuell nicht statt.

8. Hosting und technische Infrastruktur

Die Plattform verwendet Cloudflare, Supabase und weitere technische Dienstleister für Hosting, Datenbank, Authentifizierung, Sicherheitsfunktionen, E-Mail und Domainbetrieb. Serverstandorte und Übermittlungsbezüge richten sich nach dem jeweiligen Dienst und sind in der Subprozessorenliste sowie den Vertragsunterlagen näher dokumentiert. Datenbank und Dateispeicher liegen in der Europäischen Union; die Auslieferung erfolgt über ein global verteiltes Netz, dessen Protokolle nicht regional gebunden sind.

9. Kontaktformular und E-Mail-Weiterleitung

Kontaktformularangaben werden zur Bearbeitung und Beantwortung der Anfrage verarbeitet.

Ihre Anfrage wird per E-Mail über unseren Subprozessor Resend an unser Postfach info@instantpage.at weitergeleitet und zusätzlich in unserer Datenbank gespeichert, damit uns keine Anfrage verlorengeht und ihr Eingang nachvollziehbar bleibt. Der Datenbank-Eintrag wird gelöscht, sobald Ihr Anliegen abschließend bearbeitet ist, spätestens 30 Tage nach Eingang, wenn er als beantwortet vermerkt ist, und in jedem Fall spätestens nach 365 Tagen. Ein Bot-Schutz-Token (Cloudflare Turnstile, ohne Cookies) wird nur geprüft und nicht gespeichert.

Eine Speicherung kann anschließend in der E-Mail-Korrespondenz, in Backups, Versand- und Sicherheitsprotokollen erfolgen. Resend-Versand-Logs werden nach der vorgesehenen Frist, derzeit ungefähr 30 Tagen, gelöscht, soweit keine längere Aufbewahrung aus Sicherheits- oder Rechtsgründen erforderlich ist.

10. KI-Verarbeitung und automatische Entscheidungen

Bei aktivierter KI-Funktion können Kundeneingaben, Website-Konfigurationen und vom Kunden bereitgestellte Inhalte an den jeweils eingesetzten KI-Dienst übermittelt werden, soweit dies für die beauftragte Leistung erforderlich ist. Die konkrete Datenübermittlung richtet sich nach der aktivierten Funktion und wird in der Dokumentation des jeweiligen Datenflusses erfasst.

10.1 Einsatz von KI bei der Text-Generierung

Eingesetzt wird das KI-Sprachmodell Claude des Anbieters Anthropic (Vertragspartner Anthropic Ireland, Limited; Verarbeitung in den USA). Übermittelt werden die von Ihnen im Fragebogen eingegebenen Stammdaten und Beschreibungen, gegebenenfalls die importierten Inhalte einer bestehenden Website (Abschnitt 4.9) und branchen-spezifische Konfigurations-Hinweise unsererseits (z. B. defensive Formulierungs-Regeln bei reglementierten Berufen — siehe AGB § 5 Abs. 4).

Dazu gehören Ihre Freitexte — Ihr „Über uns“-Text und Ihre Fragen und Antworten im Wortlaut, Ihre Kurzbeschreibung verdichtet — sowie bis zu drei Bewertungstexte ohne die Namen der Bewertenden; soweit dort Namen von Personen stehen, werden sie mitübermittelt.

Die Verarbeitung erfolgt über die kommerzielle API von Anthropic. Anthropic verarbeitet API-Inputs nicht zum Modell-Training und speichert sie gemäß den kommerziellen Vertragsbedingungen nur für den Verarbeitungs-Zeitraum (Standard 30 Tage Operational Logs, danach Löschung).

Zu jedem Modellaufruf speichern wir ein technisches Aufrufprotokoll (Endpunkt, Modell, Prüfsumme der Eingabe, Token-Umfang, Kosten, Laufzeit, Qualitätswert, Fehlertext), das Ihrem Konto zugeordnet ist; die Eingabe selbst und die erzeugten Texte stehen nicht darin. Es dient der Kostenkontrolle, der Qualitätssicherung und der Fehlerdiagnose und wird nach 90 Tagen gelöscht (Abschnitt 11).

Drittland: Anthropic verarbeitet Daten in den USA. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), die Teil des Auftragsverarbeitungsvertrags mit Anthropic sind. Anthropic ist nicht nach dem EU-U.S. Data Privacy Framework zertifiziert (siehe Abschnitt 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Text-Generierung ist Kern-Leistung der Plattform).

Die KI dient der unterstützenden Erstellung oder Bearbeitung von Website-Texten. Die Ausgaben können sachlich oder rechtlich unzutreffend, unvollständig oder veraltet sein und müssen vom Kunden vor Veröffentlichung geprüft werden. Der Kunde darf die Ausgabe nicht ungeprüft als verbindliche Rechtsauskunft oder als automatisch rechtssichere Datenschutzerklärung verwenden.

Eine Nutzung von Kundeneingaben oder Ausgaben zum Training eigener Modelle findet nur statt, wenn dies ausdrücklich als eigener Zweck beschrieben, rechtlich zulässig und transparent geregelt ist. Eine ausschließlich technische Verarbeitung im Auftrag begründet keinen eigenen Zweck von instantpage.at.

10.2 Aktive Freigabe vor Veröffentlichung

Die generierten Inhalte werden Ihnen vor der Veröffentlichung im Portal zur Prüfung angezeigt. Die Freigabe ist erst möglich, nachdem Sie die Vorschau Ihrer Website aufgerufen haben; die Veröffentlichung erfolgt dann durch aktive Bestätigung durch Sie über einen Freigabe-Klick (AGB § 5 Abs. 6). Sie tragen damit die letzte inhaltliche Verantwortung für die veröffentlichten Texte.

Zu jeder Freigabe dokumentieren wir als Nachweis: den Zeitpunkt des Vorschau-Aufrufs, den Zeitpunkt der Freigabe, den von Ihnen angeklickten Wortlaut, den Ihnen dabei angezeigten KI-Hinweis, die geltende AGB-Version, die Zeitspanne zwischen Vorschau-Aufruf und Freigabe, die zu diesem Zeitpunkt freigegebenen generierten Texte samt einer nicht rückrechenbaren Prüfsumme, die Anzahl Ihrer Speicherungen an diesen Texten seit ihrer Erstellung und den Zeitpunkt Ihrer letzten Speicherung, die verwendete Vorlage sowie IP-Adresse und Browserkennung des Klicks. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, für die Aufbewahrung über das Vertragsende hinaus, Art. 6 Abs. 1 lit. f in Verbindung mit Art. 17 Abs. 3 lit. e DSGVO (Geltendmachung und Verteidigung von Rechtsansprüchen).

Was davon gelöscht wird und was bleibt: Mit der endgültigen Löschung Ihres Kontos entfernen wir die Kopie Ihrer Texte, die IP-Adresse, die Browserkennung und den Zeitpunkt Ihrer letzten Speicherung; in den turnusmäßigen Sicherungen entfallen sie mit deren Ablauf (Abschnitt 11). Als Beleg des Vertragsverhältnisses bleiben erhalten: Zeitpunkt und Weg der Freigabe, der Zeitpunkt Ihres Vorschau-Aufrufs und die Zeitspanne bis zur Freigabe, die AGB-Version, der von Ihnen angeklickte Wortlaut, der Ihnen angezeigte KI-Hinweis, die verwendete Vorlage, die Anzahl Ihrer Speicherungen und eine nicht rückrechenbare Prüfsumme Ihrer Texte. Die Prüfsumme belegt, welcher Text freigegeben wurde, ohne den Text selbst zu speichern.

Wie lange dieser Beleg bleibt: so lange, wie Ansprüche aus dem Vertragsverhältnis noch geltend gemacht oder abgewehrt werden können, längstens 7 Jahre nach der endgültigen Löschung Ihres Kontos. Danach löschen wir auch diesen Rest automatisiert. Solange Ihr Konto besteht, bleibt der Beleg erhalten — das Vertragsverhältnis läuft. Sie können seine Löschung jederzeit verlangen; wir prüfen dann, ob dem noch ein Beweisinteresse entgegensteht.

10.3 Keine automatisierte Entscheidung im Sinne Art. 22 DSGVO

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung statt. Die KI-gestützte Text-Generierung ist eine inhaltliche Hilfestellung, keine Entscheidung über Sie. Es findet kein Profiling im Sinne von Art. 4 Z 4 DSGVO statt.

10.4 KI-Einsatz — Transparenz-Hinweis

Die Texte Ihrer generierten Website werden unter Einsatz von KI-Systemen erstellt und vor der Veröffentlichung durch Sie geprüft und freigegeben. Ein Transparenz-Hinweis dazu ist in der Datenschutzerklärung Ihrer generierten Website enthalten (Abschnitt „Hinweis zu KI-generierten Inhalten“).

11. Speicherung und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Konto-, Trial-, Kommunikations-, Log-, Sicherheits-, Zahlungs- und KI-Daten können unterschiedliche Fristen haben. Gesetzliche Aufbewahrungspflichten, insbesondere für Buchhaltungs- und Rechnungsunterlagen, bleiben unberührt. Im Einzelnen:

• Plattform-Stammdaten: Vertragsdauer + 7 Jahre (UGB § 212)
• Weitere Impressums-Angaben (inkl. Namen vertretungsbefugter Personen): Vertragsende + 90 Tage, danach gelöscht — für diese Angaben besteht keine 7-jährige Aufbewahrungspflicht
• Zahlungs-Metadaten: 7 Jahre nach Vertragsende (UGB § 212, BAO § 132)
• Bestell-Sitzung beim Zahlungsdienstleister (IP-Adresse, Browserkennung, siehe Abschnitt 4.4): 12 Monate; mit der endgültigen Löschung Ihres Kontos früher
• Login- und Auth-Sessions: bis zur Abmeldung; ohne Nutzung endet die Sitzung nach 30 Tagen und erfordert eine erneute Anmeldung. Das im Browser gespeicherte Cookie kann länger bestehen (Abschnitt 13) — es verliert seine Wirkung mit dem Ablauf der Sitzung
• Portal-Activity-Logs: 12 Monate, danach werden IP-Adresse, Browserkennung, E-Mail-Angaben und Kündigungskommentare entfernt; der Eintrag selbst bleibt dem Konto zugeordnet
• Erreichbarkeits-Prüfung Ihrer Website (Adresse Ihrer Website bzw. Ihrer eigenen Domain, Zahl der Fehlversuche, gekürzter Fehlertext, keine Historie): solange Ihre Website öffentlich ist; danach im nächsten Prüflauf gelöscht, spätestens mit der endgültigen Löschung Ihres Kontos
• KI-Aufrufprotokolle der Texterstellung (Endpunkt, Modell, Prüfsumme der Eingabe, Token-Umfang, Kosten, Laufzeit, Qualitätswert, Fehlertext — nicht die Eingabe selbst; dem Konto zugeordnet, siehe Abschnitt 4.3): 90 Tage
• Cloudflare-Worker-Protokolle: längstens 7 Tage (Vorhaltung durch Cloudflare). Eine eigene Zugriffsprotokollierung darüber hinaus betreiben wir nicht; in denselben Protokollen stehen aber auch eigene Diagnosemeldungen unserer Anwendung, die interne Kennungen (Auftrag, Konto, Bestell-Sitzung beim Zahlungsdienstleister) und die Adresse der betroffenen Website tragen können, mit derselben Frist. Die Zugriffsdaten, die Cloudflare bei der Auslieferung für uns verarbeitet, verarbeitet Cloudflare als unser Auftragsverarbeiter nur so lange, wie das zur Erbringung der vereinbarten Leistungen erforderlich ist, längstens bis zum Ende unseres Vertrags mit Cloudflare, soweit keine rechtliche Verpflichtung zu einer weiteren Aufbewahrung besteht; eine feste Tagesfrist nennt Cloudflare dafür nicht
• Cloudflare Web Analytics: 7 Tage ungesampelt, danach aggregierte Langzeitspeicherung (rund 10 %); Zugriff auf die Auswertung 6 Monate. Kein Personenbezug
• Support-Mails: solange für die Bearbeitung Ihres Anliegens und etwaige Rückfragen erforderlich; Geschäftsbriefe 7 Jahre (UGB § 212)
• Kontaktformular-Anfragen (instantpage.at): gelöscht, sobald das Anliegen abschließend bearbeitet ist — 30 Tage nach Eingang, sobald die Anfrage als beantwortet vermerkt ist, längstens 365 Tage (automatischer nächtlicher Löschlauf); Resend-Versand-Logs ca. 30 Tage; im Übrigen gilt Abschnitt 4.8
• Supabase Pro tägliche Backups: 7 Tage Aufbewahrung
• Eigene DB-Backups auf R2: 30 Tage rolling (Daily-Backup)
• Storage-Sync zu R2 (Logos, Bilder, Dokumente): 30 Tage rolling
• Strukturierte Fehlerprotokolle (Diagnose von Systemfehlern, eigene Datenbank-Tabelle): 90 Tage. Sie enthalten insbesondere Fehlercodes, den technischen Datenbank-Befehl, der fehlgeschlagen ist (die darin eingesetzten Werte werden vor dem Speichern entfernt), Fehlermeldungen unserer Dienstleister — etwa wenn der Versand einer E-Mail scheitert; enthaltene E-Mail-Adressen ersetzen wir vor dem Speichern — sowie unsere internen Kennungen für Auftrag und Konto, wenn sich ein Fehler zuordnen lässt; Hinweise an uns als Betreiber können außerdem die Adresse einer Kundenseite oder die Kennung eines Abos beim Zahlungsdienstleister tragen. Davon getrennt fallen bei Cloudflare technische Rohprotokolle der Laufzeit an (siehe Cloudflare-Worker-Protokolle). Zweck: Betriebssicherheit und Fehlerdiagnose — ohne diese Protokolle bliebe ein Ausfall unbemerkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und nachvollziehbaren Betrieb der Plattform)

Nach Vertragsende werden Plattform-Daten und die zugehörige Website für insgesamt 90 Tage in einem Grace-Status aufbewahrt (30 Tage Reaktivierung + 60 Tage Soft-Delete). Danach werden personenbezogene Daten endgültig gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Eine Ausnahme davon ist der Beleg Ihrer Freigabe — er bleibt in Teilen erhalten, so lange Ansprüche aus dem Vertragsverhältnis geltend gemacht oder abgewehrt werden können, längstens 7 Jahre nach der endgültigen Löschung Ihres Kontos. Was davon bleibt, was gelöscht wird und wie lange, steht in Abschnitt 10.2.

Eine zweite Ausnahme ist die Adresse Ihrer Website. Damit sie nicht am Tag nach Ihrer Löschung an jemand anderen vergeben wird, halten wir eine Prüfsumme Ihrer Subdomain noch 7 Tage lang in einer Sperrliste. Sie trägt keine Zuordnung zu Ihrem Konto und dient ausschließlich dieser Sperre; danach löschen wir sie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die Karenz ist eine Leistung aus AGB § 11 Abs. 4), hilfsweise Art. 6 Abs. 1 lit. f. Das gilt auch, wenn Sie die Löschung nach Art. 17 DSGVO verlangen.

Bitte beachten Sie, dass die Löschung aus der Plattform nicht zwingend gleichzeitig die Löschung aus E-Mail-Postfächern, Backups, Versandprotokollen oder gesetzlichen Aufbewahrungssystemen bewirkt. Für diese Systeme gelten gesonderte Lösch- und Aufbewahrungsfristen.

12. Betroffenenrechte

• Sie haben das Recht, Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten zu verlangen (Art. 15 DSGVO).
• Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten und die Vervollständigung unvollständiger personenbezogener Daten zu verlangen (Art. 16 DSGVO).
• Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern die gesetzlichen Voraussetzungen hierfür vorliegen (Art. 17 DSGVO).
• Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, sofern die gesetzlichen Voraussetzungen hierfür vorliegen (Art. 18 DSGVO).
• Sie haben das Recht, von uns über Empfänger zu verlangen, denen Ihre personenbezogenen Daten offengelegt wurden, soweit dies gesetzlich vorgesehen ist (Art. 19 DSGVO).
• Sie haben das Recht, Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und die Übermittlung dieser Daten an einen anderen Verantwortlichen zu verlangen, sofern die gesetzlichen Voraussetzungen hierfür vorliegen (Art. 20 DSGVO). Für Plattform-Stammdaten steht Ihnen dafür der Self-Service-Datenexport im Portal zur Verfügung.
• Soweit die Verarbeitung auf Ihrer Einwilligung beruht, haben Sie das Recht, Ihre Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
• Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO).
• Sie haben das Recht, jederzeit Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten zum Zwecke der Direktwerbung einzulegen. Dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht (Art. 21 Abs. 2 und 3 DSGVO).
• Sie haben das Recht, eine Beschwerde bei der österreichischen Datenschutzbehörde einzubringen, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO oder sonstige datenschutzrechtliche Vorschriften verstößt. Die Datenschutzbehörde ist unter folgenden Kontaktdaten erreichbar:
  Österreichische Datenschutzbehörde
  Barichgasse 40–42
  1030 Wien
  Österreich
  E-Mail: dsb@dsb.gv.at
  Web: https://www.dsb.gv.at/

Anfragen richten Sie bitte an datenschutz@instantpage.at. Wir beantworten Anfragen innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Zur Identifikation kann ein Identitätsnachweis erforderlich sein.

13. Cookies und vergleichbare Technologien

13.1 Plattform instantpage.at

Wir setzen auf der Plattform-Website folgende Cookies und Technologien ein:

Funktional notwendige Cookies (ohne Einwilligungspflicht gemäß § 165 Abs. 3 TKG):

• Auth-Session-Cookie — speichert Ihren Login-Status (Supabase Auth, Session-Token). Es läuft über dieselben Einstellungen wie das Refresh-Token-Cookie und ist ebenfalls auf längstens 400 Tage ab Ihrer letzten Nutzung befristet — die Sitzung selbst endet serverseitig nach 30 Tagen ohne Nutzung.
• Refresh-Token-Cookie — automatische Verlängerung der Session. Das Cookie selbst ist auf längstens 400 Tage ab Ihrer letzten Nutzung befristet. Serverseitig endet die Sitzung jedoch schon nach 30 Tagen ohne Nutzung; danach ist eine erneute Anmeldung nötig, unabhängig davon, wie lange das Cookie im Browser noch liegt.
• Entwurfs-Speicher (sessionStorage, kein Cookie) — hält Ihre Eingaben während des Einrichtungs-Ablaufs im Browser, damit sie beim Blättern zwischen den Schritten und bei einem Neuladen nicht verloren gehen. Dazu gehören auch die beim Website-Import gefundenen Bild-Adressen (Abschnitt 4.10). Der Inhalt wird nicht automatisch an uns übertragen und beim Schließen des Browser-Tabs verworfen. Ausgenommen sind Angaben, die Sie ausdrücklich absenden — der Website-Import (Abschnitt 4.9), die Prüfung Ihrer Wunsch-Adresse und das Anlegen Ihres Kontos.

Tracking-, Marketing- oder Analyse-Cookies setzen wir derzeit nicht ein.

Cloudflare Web Analytics ist Cookie-frei und arbeitet ohne PII auf aggregierter Ebene — kein Banner-Trigger.

13.2 Kundenseiten (*.instantpage.at Subdomains)

Auf den von unseren Kunden betriebenen Websites unter *.instantpage.at sowie unter verbundenen eigenen Domains werden keine Tracking-Cookies eingesetzt. Ohne Einwilligung laufen ausschließlich Mechanismen, die auch ohne sie zulässig sind: Cloudflare Turnstile als Bot-Schutz auf Formularen (token-basiert ohne Cookies) und die cookielose Reichweitenmessung über Cloudflare Web Analytics (aggregiert, ohne Wiedererkennung einzelner Besucher). Ist eine Adresse hinterlegt, kommt eine Standortkarte auf Basis von OpenStreetMap hinzu; sie lädt erst auf Klick und damit auf Grundlage der Einwilligung der Besucherin oder des Besuchers, die jederzeit widerrufen werden kann. Kundenseiten sind damit banner-frei.

Verantwortlicher für die Datenverarbeitung auf einer Kundenseite ist der jeweilige Kunde (siehe AGB § 8). Für die Datenverarbeitung im Kontaktformular gilt die Datenschutzerklärung der jeweiligen Kunden-Website.

14. Sicherheit der Verarbeitung

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, insbesondere:

• TLS-Verschlüsselung auf allen Verbindungen (HTTPS)
• Passwörter werden ausschließlich gesalzen und kryptografisch gehasht über Supabase Auth gespeichert (niemals im Klartext)
• Datenbank-Verschlüsselung at-rest (Supabase Pro)
• Backup-Verfahren mit definierten Wiederherstellungszielen
• Zugriffsbeschränkungen nach Need-to-Know
• Änderungsprotokoll zu Bestellungen und Kundenkonten (Aktivitätenprotokoll)
• Quartalsweise interne Sicherheits-Reviews

Eine vollständige Beschreibung der technisch-organisatorischen Maßnahmen ist in Anlage 2 des AVV hinterlegt.

15. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei Änderungen der Verarbeitungstätigkeiten, neuen Subprozessoren oder rechtlichen Anpassungen aktualisiert. Die jeweils aktuelle Version ist unter instantpage.at/datenschutz abrufbar; das Datum der letzten Aktualisierung steht am Anfang dieser Erklärung.

Wesentliche Änderungen (insbesondere neue Verarbeitungszwecke oder Drittland-Konstellationen) teilen wir Ihnen aktiv per E-Mail mit.