instantpage.at
Website gratis testen

Rechtliches

Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten auf der Plattform instantpage.at gemäß Datenschutz-Grundverordnung (DSGVO) und Datenschutzgesetz (DSG).

Stand: 2026-08-12 · Version v1.1
Auf dieser Seite

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Wagner IT-Solutions e.U.
Inhaber: Alexander Wagner
Adelheid-Popp-Gasse 14/1/36, 1220 Wien, Österreich
Firmenbuch: FN 609574h, Handelsgericht Wien
E-Mail: info@instantpage.at
Telefon: +43 676 5040088

Der Verantwortliche betreibt die Plattform instantpage.at als Software-as-a-Service-Lösung zur Erstellung und zum Betrieb von Unternehmens-Websites für österreichische Unternehmer.

2. Kontakt für Datenschutzanfragen

Für Fragen zur Verarbeitung Ihrer Daten und zur Ausübung Ihrer Betroffenenrechte:

E-Mail (Datenschutz, Auskunft, Widerspruch, Widerruf): datenschutz@instantpage.at
E-Mail (Missbrauchsmeldungen, Notice-and-Takedown nach § 16 ECG): abuse@instantpage.at

Eine bestellte Datenschutzbeauftragte besteht nicht — die Voraussetzungen des Art. 37 DSGVO sind nicht erfüllt (kein Kerngeschäft mit umfangreicher regelmäßiger Beobachtung und keine umfangreiche Verarbeitung besonderer Datenkategorien).

3. Verarbeitungszwecke und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

3.1 Vertragsabwicklung (Plan-Buchung, Portal-Nutzung)

  • Zwecke: Anlage und Verwaltung Ihres Plattform-Kontos, Bereitstellung der gebuchten Plan-Leistungen, Self-Service-Portal-Zugriff, Generierung Ihrer Website und der zugehörigen Rechtstexte.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
  • Daten: Firmenwortlaut, Anschrift, Rechtsform, Firmenbuchnummer / GISA-Zahl, UID-Nummer, Inhaber-Name, Kontaktdaten (E-Mail, Telefon), bei reglementierten Berufen zusätzlich Berufsbezeichnung, Kammer-Mitgliedschaft, Aufsichtsbehörde.

3.2 Trial-Verwaltung (Vertragsanbahnung)

  • Zwecke: 14-Tage-Testphase, technische Bereitstellung der Test-Subdomain, Trial-Reminder-Mails.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).
  • Daten: wie 3.1, zusätzlich Trial-Start-/-Ende-Datum und Aktivierungsstatus.

3.3 Zahlungsabwicklung

  • Zwecke: Abwicklung der Plan-Vergütung, Rechnungsstellung, Erfüllung steuerrechtlicher Aufbewahrungspflichten.
  • Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung — § 132 BAO, UGB § 212).
  • Daten: Stripe-Kunden-ID, Rechnungsnummer, Rechnungsbetrag, Zahlungsmethoden-Token (keine vollständigen Zahlungsdaten — diese verbleiben bei Stripe), Rechnungs-Adresse, UID-Nummer.

3.4 Direktansprache (Cold Outreach)

Befristet: Diese Direktansprache-Verarbeitung erfolgt zeitlich begrenzt im Rahmen der Markteinführungs-Phase. Nach deren Abschluss wird die Verarbeitung eingestellt und dieser Abschnitt entfernt.

  • Zwecke: Kontaktaufnahme zu Unternehmern, deren Kontaktdaten öffentlich gelistet sind (WKO-Firmenverzeichnis firmen.wko.at, FirmenABC, öffentliche Branchenverzeichnisse), zur Information über das Angebot der Plattform.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Vermarktung B2B-Software an öffentlich identifizierbare Unternehmer).
  • Speicherdauer: 12 Monate nach Erstkontakt, danach Löschung; bei Opt-out sofortige Aufnahme in Suppression-Liste mit dauerhafter Sperre.
  • Widerspruchsrecht: jederzeit über den Abmelde-Link im Mail-Footer oder formlos an datenschutz@instantpage.at.

3.5 Newsletter (nur bei aktivem Opt-in)

  • Zwecke: Versand von Produkt-Updates, Branchen-Tipps und neuen Funktionen.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Abmelde-Link in jedem Newsletter).
  • Daten: E-Mail-Adresse, Anrede, Firmenname, Anmelde-Datum, Opt-in-Beweis (Double-Opt-in-Logfile).

3.6 Produktverbesserung und Statistik

  • Zwecke: Auswertung der Nutzung der Plattform zur Verbesserung der Funktionen, Identifikation technischer Fehler, Sicherstellung der Stabilität.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Produktentwicklung).
  • Daten: Pageviews, Referrer, Device-Klasse (aggregiert via Cloudflare Web Analytics, ohne Cookies, ohne IP-Speicherung); Portal-Aktivitäts-Logs.

3.7 Sicherheit und Bot-Schutz

  • Zwecke: Abwehr von Angriffen, Schutz vor Bot-Submissions, technische Verfügbarkeit.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und Art. 32 DSGVO (technisch-organisatorische Maßnahmen).
  • Daten: IP-Adressen in Webserver-Logs (30 Tage), Bot-Schutz-Token (Cloudflare Turnstile, ohne Cookies), Error-Events (ohne PII).

3.8 Erfüllung gesetzlicher Pflichten

  • Zwecke: Rechnungs-Aufbewahrung, Buchhaltungsbelege, Auskunfts- und Aufbewahrungspflichten gegenüber Behörden.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).
  • Daten: Buchhaltungs- und Rechnungsdaten gemäß § 132 BAO und UGB § 212 (7 Jahre).

3.9 Kontaktformular auf instantpage.at

  • Zwecke: Bearbeitung und Beantwortung von Anfragen, die Sie über das Kontaktformular auf instantpage.at an uns richten.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) bzw. lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).
  • Daten: Name, E-Mail-Adresse, Nachrichtentext sowie ein Bot-Schutz-Token (Cloudflare Turnstile, ohne Cookies). Die Eingaben werden nicht in unserer Datenbank gespeichert, sondern ausschließlich per E-Mail (Subprozessor Resend) an unser Postfach info@instantpage.at weitergeleitet (Pure-Forwarder). Eine Aufbewahrung ergibt sich nur aus der E-Mail-Korrespondenz; die Versand-Logs von Resend werden nach ca. 30 Tagen gelöscht.

3.10 Website-Import vor der Registrierung (optional)

  • Zwecke: Wenn Sie zu Beginn des Einrichtungs-Ablaufs freiwillig die Adresse einer bestehenden Website angeben, lesen wir diese einmalig aus, um den Fragebogen für Sie vorzubefüllen (Firmenname, Leistungen, Kontaktdaten sowie die auf Ihrer Seite veröffentlichten Impressums-Angaben wie Rechtsform, UID, Firmenbuchdaten oder vertretungsbefugte Personen). Aus demselben Vorgang zeigen wir Ihnen die Adressen der Fotos, die auf Ihrer Seite stehen, damit Sie einzelne davon zur Übernahme auswählen können (Abschnitt 3.11), und lesen die vorherrschende Farbe Ihrer Startseite aus, um im Farbschritt einen passenden Vorschlag vorauszuwählen. Die ausgelesene Farbe selbst speichern wir nicht; wählen Sie den daraus abgeleiteten, auf Lesbarkeit geprüften Vorschlag aus, wird er wie jede andere Farbwahl Teil Ihres Auftrags. Aus demselben Abruf ermitteln wir, sofern Ihre Seite es erkennbar ausweist, die Adresse Ihres Logos— auch dieses bieten wir Ihnen nur zur Auswahl an (Abschnitt 3.11). Dieser Schritt erfolgtanonym und ohne Benutzerkonto, auf Ihre eigene Initiative, noch vor jeder Registrierung.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer reibungslosen, vorvertraglichen Einrichtung auf Ihre Veranlassung). Der Schritt ist optional — Sie können den Fragebogen auch ohne Import ausfüllen. Vor dem Auslesen bestätigen Sie, dass Sie für die angegebene Website verantwortlich sind; der Vorgang ist auf diesen Zweck beschränkt.
  • Daten und Empfänger: die von Ihnen eingegebene Website-Adresse sowie ein Bot-Schutz-Token (Cloudflare Turnstile, ohne Cookies). Ihre Seite wird über unseren Hosting-Dienstleister Cloudflare (USA-Mutterkonzern, DPF) abgerufen; der dabei ausgelesene Seiteninhalt — einschließlich der dort veröffentlichten Impressums-, Offenlegungs- und Datenschutz-Angaben, die Namen natürlicher Personen enthalten können — wird an Anthropic (USA) zur Auswertung übermittelt (US-Übermittlung gestützt auf das EU-US Data Privacy Framework, siehe Abschnitt 6). Die ausgelesenen Inhalte verbleiben ausschließlich in Ihrem Browser, bis Sie ein Konto anlegen — eine Speicherung in unserer Datenbank erfolgt vor der Registrierungnicht.
  • Speicherdauer: Der Seiteninhalt selbst wird nicht dauerhaft gespeichert. Es entstehen lediglich technische, nicht personenbezogene Nutzungs-/Kostenzeilen (nur Verbrauchs- und Kostenwerte der KI-Aufrufe, ohne Seiteninhalt und ohne Kontobezug), die nach 90 Tagen automatisch gelöscht werden.

3.11 Fotos und Logo aus Ihrer bisherigen Website übernehmen (optional)

  • Zwecke: Der Website-Import (Abschnitt 3.10) findet auch die Fotos Ihrer bisherigen Seite und — sofern erkennbar ausgewiesen — Ihr Logo; im weiteren Verlauf des Einrichtungs-Ablaufs zeigen wir sie Ihnen zur Auswahl. Übernommen wird ausschließlich, was Sie einzeln auswählen — und zwar erst beim Anlegen Ihres Kontos: Dann erst laden wir die betreffenden Bilddateien herunter und speichern sie zu Ihrem Auftrag. Legen Sie kein Konto an, geschieht nichts davon.
  • Rechtsgrundlage: Das Anzeigen der gefundenen Fotos ist Teil des Imports und teilt dessen Grundlage (Art. 6 Abs. 1 lit. f DSGVO, Abschnitt 3.10). Das Herunterladen und Speichern der von Ihnen ausgewählten Bilder erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Erstellung Ihrer Website) und setzt voraus, dass Sie zuvor bestätigt haben, über die erforderlichen Nutzungsrechte zu verfügen. Die Funktion ist optional — Sie können den Schritt überspringen und Ihre Fotos später im Kundenbereich hochladen.
  • Daten und Empfänger: die Adressen der auf Ihrer Seite gefundenen Bilder. Solange Sie nur auswählen, verbleiben sie ausschließlich in Ihrem Browser; die Vorschaubilder werden direkt von der Stelle geladen, an der Ihre bisherige Website sie ausliefert — unser Server ruft dafür nichts ab. Das ist entweder Ihre eigene Domain oder, wenn Ihre bisherige Seite mit einem Website-Baukasten erstellt wurde, dessen Bild-Server (Wix, Squarespace, Jimdo, Shopify, Webflow oder WordPress.com). Das ist der Anbieter, bei dem Ihre Bilder ohnehin liegen und den Ihr Browser bei jedem Besuch Ihrer eigenen Seite kontaktiert. Andere Quellen werden nicht angezeigt und nicht übernommen. Beim Anlegen Ihres Kontos ruft unser Server (betrieben bei Cloudflare (USA-Mutterkonzern, DPF)) die ausgewählten Bilddateien von der oben genannten Stelle ab — Ihrer eigenen Domain oder dem Bild-Server Ihres Baukastens — und speichert sie bei unserem Hosting-/Speicher-Dienstleister Supabase. Eine Übermittlung der Bilder an Anthropic findet nicht statt — auf die Bilder wird kein KI-Modell angewendet.
  • Speicherdauer: Der ausgelesene Seiteninhalt wird nicht gespeichert, und die Adressen der gefundenen Bilder speichern wir ebenfalls nicht. Von einem übernommenen Foto und von einem übernommenen Logo speichern wir die Bilddatei selbst; sie wird wie Ihre eigenen Uploads behandelt (Abschnitt 7) — Sie können sie im Kundenbereich jederzeit ersetzen oder entfernen.

4. Datenkategorien im Überblick

Wir verarbeiten folgende Datenkategorien:

  • Plattform-Stammdaten: Firmenwortlaut, Anschrift, Rechtsform, Firmenbuchnummer und -gericht, UID
  • Weitere Impressums-Angaben: GISA-Zahl, Unternehmensgegenstand, ZVR-Zahl, Kammer und berufsrechtliche Vorschriften, Aufsichtsbehörde sowie die Namen vertretungsbefugter Personen (Geschäftsführung, Vorstand, Aufsichtsrat, Gesellschafter)
  • Kontaktdaten: E-Mail, Telefon, Inhaber-Name
  • Kontaktformular-Daten: Name, E-Mail, Nachricht (Pure-Forwarder über instantpage.at/kontakt, keine DB-Speicherung)
  • Zahlungs-Metadaten: Stripe-Kunden-ID, Rechnungsnummer, Betrag
  • Trial-Daten: Test-Start, Test-Ende, Aktivierungsstatus
  • Newsletter-Daten: E-Mail, Opt-in-Beweis, Abmelde-Datum
  • Portal-Aktivitäts-Logs: Aufgerufene Funktion, Zeitstempel, IP
  • Outreach-Lead-Daten: Firmenname, öffentliche E-Mail, Branche
  • Technische Logs: IP, User-Agent, Referrer (aggregiert)

Besondere Datenkategorien (Art. 9 DSGVO) werden auf der Plattform nicht verarbeitet. Falls Sie als Kunde Heilberufsdaten verarbeiten, erfolgt dies außerhalb unserer Plattform — die generierte Website ist nicht für die Verarbeitung von Gesundheitsdaten oder Mandantendaten konzipiert (siehe AGB § 6 Abs. 4).

5. Empfänger und Subprozessoren

Zur Erbringung unserer Leistungen setzen wir folgende Auftragsverarbeiter und Subprozessoren ein. Mit allen ist ein Auftragsverarbeitungsvertrag (AVV) bzw. Data Processing Agreement (DPA) abgeschlossen.

  • Cloudflare — DNS, CDN, Hosting (Workers + Pages), Speicherung (R2), Custom Hostnames, Web Analytics, Auslesen der Import-Ziel-URL beim optionalen Onboarding-Import (Browser Run). Verarbeitungsort: USA-Mutterkonzern; Edge-Netz global. Datenhaltende Komponenten EU-gelockt: R2 mit Jurisdiction EU (Hard-Constraint).. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework).
  • Supabase — Datenbank, Storage, Authentifizierung. Verarbeitungsort: Frankfurt (EU). Drittland-Bezug: nein.
  • Stripe — Zahlungsabwicklung. Verarbeitungsort: Irland (EU-Hauptsitz) und USA. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework).
  • Anthropic — KI-Sprachmodell (Claude) für Text-Generierung und Import-Klassifizierung. Verarbeitungsort: USA. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework).
  • Microsoft 365 — E-Mail-Postfächer (Exchange Online + Protection); weitere Workloads im Tenant nicht aktiv. Verarbeitungsort: Tenant-Standort Österreich (Customer Data at Rest); zugesicherte Geografie EU/EFTA für operative Verarbeitungen. Drittland-Bezug: nein (Verarbeitung innerhalb EU/EFTA).
  • Resend — Versand unserer E-Mails: Konto- und Vertrags-Mails an Sie (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, E-Mail-Wechsel, Willkommen, Testphasen-Erinnerung) sowie Weiterleitung von Anfragen aus dem Kontaktformular Ihrer Website an Ihr Postfach. Verarbeitungsort: USA mit EU-Servern. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework).
  • Cloudflare Turnstile — Bot-Schutz auf Formularen (token-basiert, ohne Cookies). Verarbeitungsort: USA mit EU-Servern. Drittland-Bezug: ja (EU-U.S. Data Privacy Framework).
  • Hetzner — Weiterleitungs-Server für eigene Kunden-Domains: leitet Aufrufe der Domain ohne „www“ auf die www-Adresse weiter (nur bei gebuchter eigener Domain; verarbeitet dabei ausschließlich Verbindungsdaten, keine Inhalte). Verarbeitungsort: Deutschland/Finnland (EU). Drittland-Bezug: nein.
  • easyname.at — Domain-Registrierung. Verarbeitungsort: Österreich. Drittland-Bezug: nein.

Die jeweils aktuelle Liste finden Sie auf instantpage.at/subprozessoren. Bei Beauftragung neuer Subprozessoren werden Sie informiert und haben binnen 30 Tagen Widerspruchsrecht (siehe AVV-Anhang III).

Custom-Domains (Professional-Plan): Wenn Sie eine eigene Domain mit Ihrer Website verbinden, übermitteln wir den von Ihnen eingegebenen Domainnamen an unseren Subprozessor Cloudflare zur Einrichtung des Custom-Hostname-Routings und zur Ausstellung des TLS/SSL-Zertifikats für Ihre Domain (Cloudflare for SaaS). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Domainname wird zusätzlich in unserer Datenbank (Supabase, Frankfurt) gespeichert. Die Übermittlung an Cloudflare ist über das EU-U.S. Data Privacy Framework abgesichert (siehe Abschnitt 6).

6. Drittlandsübermittlung

Einige Subprozessoren haben ihren Sitz in den USA oder verarbeiten Daten auch in den USA: Cloudflare, Stripe, Anthropic, Resend. Diese Übermittlungen erfolgen auf Grundlage des EU-U.S. Data Privacy Framework (DPF, Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Beschluss (EU) 2023/1795). Alle von uns eingesetzten US-Auftragsverarbeiter sind nach dem DPF zertifiziert.

Davon zu unterscheiden sind die in Abschnitt 3.11 genannten Bild-Server der Website-Baukästen: Sie verarbeiten nichts in unserem Auftrag, sondern liefern Ihrem Browser die Bilder Ihrer eigenen bisherigen Website aus — dieselben, die er bei jedem Besuch dieser Seite abruft. Ein Auftragsverarbeitungsverhältnis besteht mit ihnen nicht.

Für Bilder auf Kundenseiten kann der Anbieter lizenzfreie Stockfotos einsetzen. Diese werden auf unseren eigenen Servern (Supabase, Frankfurt) gehostet; an die Foto-Plattform werden dabei keine personenbezogenen Daten der Websitebesucher übermittelt.

Microsoft 365 verarbeitet unsere Mail-Daten im Tenant-Standort Österreich. Microsoft sichert für Customer Data at Rest die Geografie Österreich zu; operative Verarbeitungen können konzernintern innerhalb der zugesicherten EU/EFTA-Geografie stattfinden. Eine USA-Übermittlung über Microsoft findet aktuell nicht statt.

Wir prüfen quartalsweise den Zertifizierungs-Status der eingesetzten US-Auftragsverarbeiter und überwachen Änderungen am Angemessenheitsbeschluss.

7. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen:

  • Plattform-Stammdaten: Vertragsdauer + 7 Jahre (UGB § 212)
  • Weitere Impressums-Angaben (inkl. Namen vertretungsbefugter Personen): Vertragsende + 90 Tage, danach gelöscht — für diese Angaben besteht keine 7-jährige Aufbewahrungspflicht
  • Zahlungs-Metadaten: 7 Jahre nach Vertragsende (UGB § 212, BAO § 132)
  • Login- und Auth-Sessions: bis Logout + 30 Tage Refresh-Token
  • Portal-Activity-Logs: 12 Monate, danach Anonymisierung
  • Cloudflare-Webserver-Logs: 30 Tage
  • Cloudflare Web Analytics: 7 Tage ungesampelt, danach aggregierte Langzeitspeicherung (rund 10 %); Zugriff auf die Auswertung 6 Monate. Kein Personenbezug
  • Newsletter-Anmeldung: bis Abmeldung + 3 Jahre (UWG-Verjährung)
  • Outreach-Lead-Daten: 12 Monate nach Erstkontakt
  • Support-Mails: 12 Monate, bei Geschäftsvorfall 7 Jahre (UGB § 212)
  • Kontaktformular-Anfragen (instantpage.at): keine DB-Speicherung; Resend-Versand-Logs ca. 30 Tage; die per E-Mail eingegangene Anfrage wird wie Support-Mails behandelt (12 Monate, bei Geschäftsvorfall 7 Jahre)
  • Supabase Pro tägliche Backups: 7 Tage Aufbewahrung
  • Eigene DB-Backups auf R2: 30 Tage rolling (Daily-Backup)
  • Storage-Sync zu R2 (Logos, Bilder, Dokumente): 30 Tage rolling
  • Strukturierte Fehlerprotokolle (Diagnose von Systemfehlern, eigene Datenbank-Tabelle): 90 Tage. Sie enthalten Fehlercodes und den technischen Datenbank-Befehl, der fehlgeschlagen ist — die darin eingesetzten Werte werden vor dem Speichern entfernt. Davon getrennt fallen bei Cloudflare technische Rohprotokolle der Laufzeit an (siehe Cloudflare-Webserver-Logs)

Nach Vertragsende werden Plattform-Daten und die zugehörige Website für insgesamt 90 Tage in einem Grace-Status aufbewahrt (30 Tage Reaktivierung + 60 Tage Soft-Delete). Danach werden personenbezogene Daten endgültig gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Ihre Rechte (Betroffenenrechte)

Sie haben das Recht:

  • Auskunft über die Sie betreffenden personenbezogenen Daten zu erhalten (Art. 15 DSGVO).
  • Berichtigung unrichtiger oder unvollständiger Daten zu verlangen (Art. 16 DSGVO).
  • Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO).
  • Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO).
  • Datenübertragbarkeit in einem strukturierten, gängigen Format (Art. 20 DSGVO) — für Plattform-Stammdaten direkt über den Self-Service-Datenexport im Portal.
  • Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO).
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
  • Beschwerde bei der Aufsichtsbehörde einzureichen. In Österreich: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at.

Anfragen richten Sie bitte an datenschutz@instantpage.at. Wir beantworten Anfragen innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Zur Identifikation kann ein Identitätsnachweis erforderlich sein.

9. Cookies und vergleichbare Technologien

9.1 Plattform instantpage.at

Wir setzen auf der Plattform-Website folgende Cookies und Technologien ein:

Funktional notwendige Cookies (ohne Einwilligungspflicht gemäß § 165 Abs. 3 TKG):

  • Auth-Session-Cookie — speichert Ihren Login-Status (Supabase Auth, Session-Token).
  • Refresh-Token-Cookie — automatische Verlängerung der Session (30 Tage).
  • CSRF-Token — Schutz vor Cross-Site-Request-Forgery-Angriffen.
  • Entwurfs-Speicher (sessionStorage, kein Cookie) — hält Ihre Eingaben während des Einrichtungs-Ablaufs im Browser, damit sie beim Blättern zwischen den Schritten und bei einem Neuladen nicht verloren gehen. Dazu gehören auch die beim Website-Import gefundenen Bild-Adressen (Abschnitt 3.11). Der Inhalt wird nicht automatisch an uns übertragen und beim Schließen des Browser-Tabs verworfen. Ausgenommen sind Angaben, die Sie ausdrücklich absenden — der Website-Import (Abschnitt 3.10), die Prüfung Ihrer Wunsch-Adresse und das Anlegen Ihres Kontos.

Tracking-, Marketing- oder Analyse-Cookies setzen wir derzeit nicht ein. Sollte künftig Paid-Acquisition (z. B. Meta- oder Google-Ads-Pixel) aktiviert werden, werden solche Cookies ausschließlich nach Ihrer aktiven Einwilligung über ein dann eingebundenes Consent-Banner geladen; diese Datenschutzerklärung wird vorher entsprechend aktualisiert.

Cloudflare Web Analytics ist Cookie-frei und arbeitet ohne PII auf aggregierter Ebene — kein Banner-Trigger.

9.2 Kundenseiten (*.instantpage.at Subdomains)

Auf den von unseren Kunden betriebenen Websites unter *.instantpage.at sowie unter verbundenen eigenen Domains werden keine Tracking-Cookies eingesetzt. Es laufen ausschließlich Mechanismen, die ohne Einwilligung zulässig sind: Cloudflare Turnstile als Bot-Schutz auf Formularen (token-basiert ohne Cookies), die cookielose Reichweitenmessung über Cloudflare Web Analytics (aggregiert, ohne Wiedererkennung einzelner Besucher) sowie — sofern eine Adresse hinterlegt ist — die Standortkarte auf Basis von OpenStreetMap. Kundenseiten sind damit banner-frei.

Verantwortlicher für die Datenverarbeitung auf einer Kundenseite ist der jeweilige Kunde (siehe AGB § 8). Für die Datenverarbeitung im Kontaktformular gilt die Datenschutzerklärung der jeweiligen Kunden-Website.

10. KI-Verarbeitung und automatisierte Entscheidungen

10.1 Einsatz von KI bei der Text-Generierung

Bei der Erstellung Ihrer Website werden Texte (Über-uns-Beschreibung, Leistungs-Texte, Hero-Section, FAQ) unter Einsatz des KI-Sprachmodells Claude (Anbieter: Anthropic PBC, San Francisco, USA) generiert. Diese Verarbeitung umfasst:

  • die von Ihnen im Fragebogen eingegebenen Stammdaten und Beschreibungen,
  • ggf. importierte Inhalte einer von Ihnen angegebenen bestehenden Website (das Auslesen selbst kann bereits vor der Registrierung erfolgen — siehe Abschnitt 3.10),
  • branchen-spezifische Konfigurations-Hinweise unsererseits (z.B. defensive Formulierungs-Regeln bei reglementierten Berufen — siehe AGB § 5 Abs. 4).

Die Verarbeitung erfolgt über die kommerzielle API von Anthropic. Anthropic verarbeitet API-Inputs nicht zum Modell-Training und speichert sie gemäß kommerziellen Vertragsbedingungen nur für den Verarbeitungs-Zeitraum (Standard 30 Tage Operational Logs, danach Löschung).

Drittland: Anthropic verarbeitet Daten in den USA. Übermittlung erfolgt auf Grundlage EU-U.S. Data Privacy Framework (siehe Abschnitt 6).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Text-Generierung ist Kern-Leistung der Plattform).

10.2 Aktive Freigabe vor Veröffentlichung

Die generierten Inhalte werden Ihnen vor der Veröffentlichung im Portal zur Prüfung angezeigt. Die Freigabe ist erst möglich, nachdem Sie die Vorschau Ihrer Website aufgerufen haben; die Veröffentlichung erfolgt dann durch aktive Bestätigung durch Sie über einen Freigabe-Klick (AGB § 5 Abs. 5). Sie tragen damit die letzte inhaltliche Verantwortung für die veröffentlichten Texte.

10.3 Keine automatisierte Entscheidung im Sinne Art. 22 DSGVO

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung statt. Die KI-gestützte Text-Generierung ist eine inhaltliche Hilfestellung, keine Entscheidung über Sie. Es findet kein Profiling im Sinne von Art. 4 Z 4 DSGVO statt.

10.4 KI-Einsatz — Transparenz-Hinweis

Die Texte Ihrer generierten Website werden unter Einsatz von KI-Systemen erstellt und vor der Veröffentlichung durch Sie geprüft und freigegeben. Ein Transparenz-Hinweis dazu ist in der Datenschutzerklärung Ihrer generierten Website enthalten (Abschnitt „Hinweis zu KI-generierten Inhalten“).

11. Sicherheit der Verarbeitung

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, insbesondere:

  • TLS-Verschlüsselung auf allen Verbindungen (HTTPS)
  • Passwörter werden ausschließlich gesalzen und kryptografisch gehasht über Supabase Auth gespeichert (niemals im Klartext)
  • Datenbank-Verschlüsselung at-rest (Supabase Pro)
  • Backup-Verfahren mit RPO/RTO gestuft nach Plan-Klasse
  • Zugriffsbeschränkungen nach Need-to-Know
  • Audit-Logging für administrative Aktionen
  • Quartalsweise interne Sicherheits-Reviews

Eine vollständige Beschreibung der technisch-organisatorischen Maßnahmen ist in AVV-Anhang II hinterlegt.

12. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird bei Änderungen der Verarbeitungstätigkeiten, neuen Subprozessoren oder rechtlichen Anpassungen aktualisiert. Die jeweils aktuelle Version ist unter instantpage.at/datenschutz abrufbar; das Datum der letzten Aktualisierung steht am Anfang dieser Erklärung.

Wesentliche Änderungen (insbesondere neue Verarbeitungszwecke oder Drittland-Konstellationen) teilen wir Ihnen aktiv per E-Mail mit.