Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Dominic Ferdinand Ahrer (Einzelunternehmen)
Handelsname: LeadsSuite
Altdorferstraße 3a
4050 Traun, Österreich

UID-Nr.: ATU72487739
Mitglied der Wirtschaftskammer Österreich
E-Mail: office@leadssuite.app

2. Welche Daten wir erheben

Im Rahmen der Nutzung der Plattform „LeadsSuite" verarbeiten wir folgende Kategorien personenbezogener Daten:

2.1 Kontodaten

Bei der Registrierung und Kontoverwaltung: Name, E-Mail-Adresse, Profilbild (optional), Organisationszugehörigkeit, Rolle innerhalb der Organisation, Authentifizierungsdaten (gehashte Passwörter oder OAuth-Token).

2.2 Lead- und Geschäftsdaten

Vom Kunden eingegebene oder importierte Daten über dessen Geschäftskontakte: Firmenname, Ansprechpartner (Name, Position), Anschrift, Telefonnummer, E-Mail-Adresse, Website, Branche, sowie durch KI-Anreicherung ergänzte Daten (z. B. Geschlecht, Unternehmensanalyse, Social-Media-Profile).

2.3 Nutzungsdaten

Technische Daten, die bei der Nutzung der Plattform automatisch anfallen: IP-Adresse, Browser-Typ und -Version, Betriebssystem, Zeitpunkt des Zugriffs, aufgerufene Seiten, Referrer-URL, sowie Interaktionsdaten innerhalb der Plattform (z. B. Anrufprotokolle, Briefversand-Aktivitäten, Pipeline-Aktionen).

2.4 Zahlungsdaten

Abrechnungsrelevante Daten werden über unseren Zahlungsdienstleister Stripe verarbeitet. Wir selbst speichern keine vollständigen Kreditkartennummern oder Bankdaten. Wir erhalten von Stripe lediglich eine Referenz-ID, den Zahlungsstatus sowie die letzten vier Ziffern der Zahlungsmethode.

3. Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zu folgenden Zwecken:

• Bereitstellung der SaaS-Plattform: Registrierung, Authentifizierung, Organisationsverwaltung, Lead-Management, Anrufprotokollierung, Briefgenerierung und -versand, Workflow-Automatisierung.
• Abrechnung und Zahlungsabwicklung: Verwaltung von Abonnements, Credit-Verbrauch und Rechnungsstellung über Stripe.
• KI-gestützte Anreicherung und Textgenerierung: Analyse von Lead-Daten und Websites zur automatisierten Datenanreicherung, Generierung personalisierter Geschäftsbriefe und Fact-Checking mittels KI.
• Kommunikation: Versand transaktionaler E-Mails (Einladungen, Benachrichtigungen, Passwortzurücksetzung).
• E-Mail-Versand über das eigene Postfach der Organisation: Organisationen können ihr eigenes E-Mail-Postfach (per SMTP-Zugangsdaten oder verbundenem Google-Konto) mit der Plattform verbinden. Die Zugangsdaten bzw. Zugriffstoken werden verschlüsselt gespeichert und ausschließlich dazu verwendet, die von Nutzern der Organisation ausgelösten E-Mails über den E-Mail-Anbieter der Organisation zu versenden; Postfachinhalte werden nicht gelesen. Der Versand erfolgt in diesem Fall über den jeweiligen E-Mail-Anbieter der Organisation (kein zusätzlicher Unterauftragsverarbeiter unsererseits).
• Verbesserung der Plattform: Analyse anonymisierter Nutzungsdaten zur Weiterentwicklung und Fehlerbehebung.
• Kundenbetreuung: Unser Team wertet den Zeitpunkt der letzten Anmeldung und der letzten Aktivität eines Nutzerkontos sowie daraus abgeleitete einfache Nutzungskennzahlen der letzten 30 Tage aus (z. B. Anzahl aktiver Tage, Anmeldungen sowie durchgeführter Anruf-, E-Mail-, Brief- und Suchaktionen), um Kunden bei geringer Nutzung aktiv zu unterstützen und anzusprechen. Dabei werden ausschließlich bereits vorhandene Zeitstempel ausgewertet; es findet kein darüber hinausgehendes Verhaltens-Tracking statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kundenbindung und Support).
• Fehlerdiagnose: Tritt in der Applikation ein technischer Fehler auf, übermittelt der Browser eine technische Fehlermeldung (Fehlertyp, gekürzte Fehlerbeschreibung, aufgerufener Seitenpfad ohne Kennungen und ohne Abfrageparameter) an unsere Systeme, damit unser Team Störungen erkennen und beheben kann. Es werden dabei keine Konto- oder Kontaktdaten übermittelt; Datensatz-Kennungen im Seitenpfad werden vor der Übermittlung entfernt. Die IP-Adresse wird ausschließlich flüchtig zur Missbrauchsabwehr (Ratenbegrenzung) verarbeitet und nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb).
• Sicherheit: Schutz vor Missbrauch, unbefugtem Zugriff und Betrug.
• Vorlagen-Bausteine (Brief-Schlussblock): Wir speichern für die jeweilige Organisation wiederverwendbare Bausteine des Brief-Schlussblocks — Grußformeln, Absendernamen, Postskripta (PS) sowie hochgeladene Unterschriftenbilder —, damit personalisierte Geschäftsbriefe effizient erstellt werden können. Diese Bausteine können personenbezogene Daten von Mitarbeitenden der Organisation (Name, Unterschrift) enthalten. Die Verarbeitung erfolgt ausschließlich innerhalb der jeweiligen Organisation; gespeichert wird bei Supabase auf Servern in der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Geschäftskorrespondenz). Unterschriftenbilder können auch über einen von der Organisation an die unterzeichnende Person versendeten, zeitlich befristeten Link erhoben werden: Die unterzeichnende Person fotografiert ihre Unterschrift dabei selbst; die Aufbereitung (Freistellen) erfolgt vollständig auf ihrem eigenen Gerät, übertragen und gespeichert wird ausschließlich das freigestellte Unterschriftenbild. Es wird erst nach ausdrücklicher Prüfung und Übernahme durch die Organisation verwendet; bei Ablehnung oder erneuter Aufnahme wird die eingereichte Datei gelöscht.
• Wunschbrief-Bestellung (öffentlicher Musterbrief-Versand): Über unsere öffentliche Bestellseite können sich Interessenten einen Musterbrief per Post an die eigene Anschrift schicken lassen. Dazu verarbeiten wir die im Bezahlvorgang angegebenen Daten (Name, optional Firma, Versandanschrift, E-Mail-Adresse, Zahlungsreferenz — die Zahlung selbst wird über Stripe abgewickelt) zum Druck und Postversand des bestellten Briefs sowie zur sofortigen Zusendung einer digitalen Fassung (PDF) an die angegebene E-Mail-Adresse; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Der Versand dieser Bestell-E-Mail erfolgt über unseren E-Mail-Dienstleister Resend (siehe §5) und erfolgt unabhängig von jeder Werbe-Einwilligung — eine solche holen wir im Bezahlvorgang bewusst nicht ein. Die Bestelldaten speichern wir anschließend als Geschäftskontakt und nutzen sie für postalische und telefonische B2B-Kontaktaufnahme zu unseren eigenen Angeboten; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an B2B-Direktwerbung gegenüber Unternehmern, die unser Produkt aktiv angefragt haben). Werbliche E-Mails versenden wir an Wunschbrief-Besteller nicht; die werbliche Ansprache erfolgt ausschließlich postalisch und telefonisch (Art. 6 Abs. 1 lit. f DSGVO). Die Bestellbestätigung samt digitaler Fassung ist demgegenüber Vertragserfüllung und keine Werbung. Zahlungs- und Rechnungsdaten unterliegen den gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO); im Übrigen gelten die Betroffenenrechte nach §7.
• Unzustellbarkeits-Sperrliste (organisationsübergreifend): Kommt ein physisch versendeter Brief als unzustellbar zurück, vermerken wir die betroffene Empfängeranschrift, damit an dieselbe Anschrift nicht erneut — auch nicht durch andere Organisationen der Plattform — ein Brief versendet wird. Dies vermeidet unnötige, mit Kosten verbundene Fehlsendungen und wiederholte unerwünschte Post an dieselbe Anschrift. Gespeichert wird dabei ausschließlich ein nicht umkehrbarer kryptografischer Prüfwert (Hash) der normalisierten Anschrift samt Empfängerbezeichnung sowie grob das Land und die Postleitzahl — keine Klartext-Anschrift und keine Zuordnung zu einer Organisation oder einem Konto. Diese Verarbeitung erfolgt durch uns als Verantwortliche; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung nachweislich unzustellbarer Postsendungen und an der Kostenkontrolle). Betroffene können der Verarbeitung gemäß Art. 21 DSGVO widersprechen und die Löschung eines Eintrags verlangen (Art. 17 DSGVO).

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist zur Erfüllung des Nutzungsvertrages (SaaS-Bereitstellung, Abrechnung, Kontoverwaltung) erforderlich.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Wir haben ein berechtigtes Interesse an der Sicherstellung der Plattformsicherheit, der Betrugsprävention und der Verbesserung unserer Dienste. Das berechtigte Interesse unserer Kunden an postalischer B2B-Direktwerbung bildet die Grundlage für die Briefversandfunktion.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Soweit wir für bestimmte Verarbeitungen die Einwilligung einholen (z. B. DSGVO-Zustimmung für Briefversand, optionale Analysen), ist die Einwilligung Rechtsgrundlage. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Soweit wir gesetzlichen Aufbewahrungspflichten unterliegen (z. B. steuerrechtliche Aufbewahrung von Rechnungsdaten).

5. Drittanbieter und Auftragsverarbeiter

Zur Erbringung unserer Dienste setzen wir folgende Drittanbieter als Auftragsverarbeiter oder eigenverantwortliche Dienstleister ein:

6. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies und lokale Speichermechanismen, die für den Betrieb der Plattform unerlässlich sind:

• Authentifizierungs-Cookie (Session): Speichert die aktive Benutzersitzung nach dem Login. Ohne dieses Cookie ist eine Nutzung der Plattform nicht möglich.
• CSRF-Token: Schützt vor Cross-Site-Request-Forgery-Angriffen bei Formularübermittlungen.
• Video-Einwilligung (localStorage): Speichert auf öffentlichen Kursseiten deine Entscheidung, den Videoplayer zu laden (Zwei-Klick-Lösung), damit du sie nicht bei jedem Video erneut treffen musst.

Wir verwenden keine Marketing-Cookies, Tracking-Cookies oder Analyse-Tools von Drittanbietern (kein Google Analytics, kein Facebook Pixel o. Ä.). Eine Einwilligung gemäß Art. 5 Abs. 3 der ePrivacy-Richtlinie ist daher nicht erforderlich.

7. Betroffenenrechte

Als betroffene Person haben Sie gemäß DSGVO folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen, einschließlich Zweck, Kategorien, Empfänger und Speicherdauer.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, die unverzügliche Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, sofern kein gesetzlicher Aufbewahrungsgrund entgegensteht. Bei Kontolöschung werden alle Daten innerhalb von 30 Tagen unwiderruflich gelöscht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, z. B. wenn die Richtigkeit der Daten bestritten wird.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder deren Übermittlung an einen anderen Verantwortlichen zu verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten Widerspruch einzulegen, soweit die Verarbeitung auf berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO) beruht.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.
• Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO): Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist in Österreich die Österreichische Datenschutzbehörde (www.dsb.gv.at).

8. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist:

• Kontodaten: Für die Dauer der Vertragsbeziehung. Nach Kontolöschung werden die Daten innerhalb von 30 Tagen gelöscht.
• Lead-Daten: Für die Dauer der Organisationsmitgliedschaft. Bei Löschung der Organisation werden alle Lead-Daten innerhalb von 30 Tagen unwiderruflich gelöscht.
• Vom Nutzer gelöschte Kontakte: Löscht ein Nutzer einen einzelnen Kontakt, wird dieser sofort aus der Anwendung entfernt und nicht mehr kontaktiert. Die personenbezogenen Daten dieses Kontakts (Name, Anschrift, Telefonnummer, E-Mail-Adresse, Notizen) werden nach 90 Tagen endgültig entfernt. Die Frist dient der Verteidigung gegen mögliche Ansprüche und der Beantwortung nachträglicher Auskunftsersuchen (Art. 17 Abs. 3 lit. e DSGVO); danach verbleibt lediglich ein Vermerk ohne Personenbezug, damit derselbe Kontakt bei einem späteren Import nicht erneut angelegt wird.
• Rechnungsdaten: 7 Jahre gemäß den österreichischen steuerrechtlichen Aufbewahrungspflichten (§ 132 BAO).
• Nutzungsdaten: Maximal 12 Monate, danach anonymisiert oder gelöscht.
• Vorlagen-Bausteine: Bausteine des Brief-Schlussblocks werden gespeichert, bis die Organisation sie archiviert. Werte, die bereits in einen versendeten Brief eingeflossen sind, werden nicht gelöscht, sondern als Bestandteil der Geschäftsunterlagen für die Dauer der gesetzlichen Aufbewahrungsfrist gemäß § 132 BAO (bis zu 7 Jahre) aufbewahrt.
• Unzustellbarkeits-Sperrliste: Prüfwerte (Hashes) unzustellbarer Anschriften werden automatisch gelöscht, wenn seit dem letzten gemeldeten Rücklauf 24 Monate vergangen sind. Wird eine Anschrift innerhalb dieses Zeitraums erneut als unzustellbar gemeldet, beginnt die Frist neu.

9. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselung der Datenübertragung mittels TLS/HTTPS
• Mandantenfähige Datenisolierung mittels Row-Level Security (RLS) auf Datenbankebene
• Rollenbasierte Zugriffskontrolle innerhalb der Plattform
• Verschlüsselte Speicherung sensibler Daten
• Regelmäßige Sicherheitsüberprüfungen und Updates

10. Kontakt für Datenschutzanfragen

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Betroffenenrechte oder bei Beschwerden wenden Sie sich bitte an:

Dominic Ferdinand Ahrer (LeadsSuite)
Altdorferstraße 3a
4050 Traun, Österreich
E-Mail: office@leadssuite.app

Wir bemühen uns, Ihre Anfrage innerhalb von 30 Tagen zu beantworten.

11. Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen (Art. 77 DSGVO). Die zuständige Aufsichtsbehörde in Österreich ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien, Österreich

Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Website: www.dsb.gv.at