Datenschutz­erklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Name

Mario Chesi, Ruf-Wächter

Anschrift

Ullreichstraße 9, A-6130 Schwaz, Österreich

E-Mail

office@ruf-waechter.at

Weitere Angaben

siehe Impressum

Für Anfragen rund um den Datenschutz ist die oben genannte E-Mail-Adresse die zentrale Anlaufstelle. Ein eigener Datenschutz­beauftragter ist gemäß Art. 37 DSGVO nicht erforderlich.

2. Zwecke und Rechts­grundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich zur Erbringung unserer Leistung — KI-gestützte Anruf­annahme, Termin­vereinbarung, Support-Ticketing und Outbound-Kommunikation für unsere Kunden (Auftraggeber).

2.1 Verarbeitung von Anrufer­daten im Auftrag des Kunden

Wenn ein Anrufer eine durch Ruf-Wächter betreute Telefonnummer eines Kundenbetriebs erreicht, verarbeiten wir die Anruferdaten im Auftrag und nach den Weisungen unseres Kunden. Rechtsgrundlage ist Art. 28 DSGVO (Auftragsverarbeitung). Mit jedem Kunden wird ein Auftragsverarbeitungs­vertrag (AVV) abgeschlossen.

2.2 Verarbeitung der Kundendaten unseres Auftraggebers

Daten unserer Kunden (Vertrags­partner) verarbeiten wir auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Onboarding, Abrechnung, Support)
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung rechtlicher Verpflichtungen (UGB-, BAO-, Aufbewahrungs­pflichten)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen (IT-Sicherheit, Missbrauchs­prävention, Betrugs­bekämpfung)

3. Verarbeitete Datenkategorien

3.1 Anrufer (Endkunden unserer Kunden)

• Telefonnummer des Anrufers (sofern übermittelt)
• Sprachaufzeichnung des Gesprächs während der laufenden Verarbeitung
• Transkript des Gesprächs (Text)
• KI-generierte Zusammen­fassung des Anliegens
• Zeitstempel, Dauer, Gesprächs­status
• Bei Termin­vereinbarung: Name, Anliegen, ggf. Adresse / Rückrufnummer

3.2 Kunden (Vertrags­partner / Auftraggeber)

• Stammdaten: Firmenname, Ansprechpartner, Anschrift
• Kontaktdaten: E-Mail, Telefonnummer
• Vertrags- und Abrechnungs­daten: Paketwahl, Zahlungs­historie, Verbrauchs­daten
• Zugangsdaten zu Dritt­diensten, soweit zur Einrichtung erforderlich (z. B. Kalender)

3.3 Website-Besucher

• Server-Logfiles (IP-Adresse gekürzt, Zeitstempel, User-Agent) — siehe Abschnitt 10

4. Speicher­dauer und Löschfristen

• Vertrags- und Abrechnungs­daten: 7 Jahre nach Ende des Vertrags­jahres (§ 132 BAO, § 212 UGB).
• Stammdaten der Kunden: für die Dauer des Vertrags­verhältnisses zzgl. Aufbewahrungs­fristen.
• E-Mail-Korrespondenz: bis zu 3 Jahre ab letztem Kontakt, sofern kein Aufbewahrungs­interesse besteht.
• Server-Logfiles: 14 Tage zu Sicherheits­zwecken, anschließend automatische Löschung oder Anonymisierung.

5. Empfänger und Subprozessoren

Zur Bereitstellung unserer Leistung greifen wir auf sorgfältig ausgewählte Auftrags­verarbeiter (Subprozessoren) zurück. Mit allen Anbietern bestehen Verträge nach Art. 28 DSGVO. Datenübermittlungen in Drittländer erfolgen ausschließlich auf Basis der EU-Standard­vertrags­klauseln (SCC) oder eines Angemessenheits­beschlusses (EU-US Data Privacy Framework).

Eine darüber hinausgehende Weitergabe an Dritte findet nicht statt. Ausgenommen sind gesetzlich angeordnete Über­mittlungen an Behörden oder Gerichte.

Wir führen ein Verzeichnis von Verarbeitungs­tätigkeiten (Art. 30 DSGVO) und haben für die KI-gestützte Telefon­verarbeitung eine Datenschutz-Folgen­abschätzung (Art. 35 DSGVO) durchgeführt. Beide Dokumente werden intern vorgehalten und der österreichischen Datenschutz­behörde auf Verlangen vorgelegt.

5a. Datenübernahme aus Reservierungs­büchern (Foto-OCR)

Auf Wunsch eines Kundenbetriebs können bestehende, handschriftliche oder gedruckte Reservierungs­einträge aus einem physischen Reservierungs­buch in das digitale System übernommen werden. Dazu lädt der Kundenbetrieb Fotos der Reservierungs­buch-Seiten über ein gesichertes Formular hoch.

• Verarbeitete Daten: Bilddaten der Buchseiten sowie die darin enthaltenen Reservierungs­angaben (Datum, Uhrzeit, Personenzahl, Name und ggf. Telefon­nummer des Gastes).
• Zweck: automatische Text­erkennung (OCR) und Strukturierung der Einträge zur einmaligen Übernahme in die Reservierungs­verwaltung.
• Auftragsverarbeiter: Die OCR-Erkennung erfolgt über Anthropic PBC (USA) mittels eines KI-Bildmodells (Claude). Mit Anthropic besteht ein Auftragsverarbeitungs­vertrag mit EU-Standard­vertrags­klauseln (Art. 28 Abs. 4 DSGVO); die Anbieter­konfiguration schließt eine Nutzung der übermittelten Daten zu Trainings­zwecken aus.
• Übermittlung in die USA (Risikohinweis, Art. 49 Abs. 1 lit. a): Die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Angemessenheits­beschluss vom 10.07.2023) bzw. auf die EU-Standard­vertrags­klauseln (Durchführungs­beschluss 2021/914) mit ergänzenden technischen und organisatorischen Maßnahmen (vgl. Abschnitt 6). Wir weisen transparent darauf hin, dass die USA nach der Rechtsprechung des EuGH (Schrems II, C-311/18) kein dem EU-Niveau vollständig gleichwertiges Datenschutz­niveau bieten und aufgrund US-Rechts (u. a. CLOUD Act, FISA 702) ein Zugriff von US-Behörden auf die übermittelten Daten nicht vollständig ausgeschlossen werden kann. Die Übernahme ist optional und erfolgt nur auf ausdrücklichen Wunsch des Kundenbetriebs.
• Sicherheit der Übertragung (TOM): Der Foto-Upload und die Übermittlung an den OCR-Dienst erfolgen ausschließlich transport­verschlüsselt (TLS/HTTPS); die Rohbilder werden nicht in Server-Logs geschrieben.
• Speicherdauer der Fotos: Die hochgeladenen Fotos werden nicht dauerhaft gespeichert — sie werden ausschließlich zur einmaligen OCR-Extraktion übertragen und danach verworfen; sie werden weder dauerhaft auf dem Server abgelegt noch protokolliert.
• Speicherdauer der extrahierten Daten (Art. 5 Abs. 1 lit. e): Dauerhaft gespeichert wird nur die vom Kundenbetrieb ausdrücklich freigegebene strukturierte Reservierungs­liste. Diese Daten werden gelöscht, sobald sie für den Reservierungs­zweck nicht mehr erforderlich sind, spätestens 12 Monate nach dem jeweiligen Reservierungs­termin, sofern nicht der Kundenbetrieb als Verantwortlicher eine kürzere Frist festlegt oder gesetzliche Aufbewahrungs­pflichten entgegenstehen.
• Information der betroffenen Gäste (Art. 13/14 DSGVO): Die aus dem Reservierungs­buch übernommenen Gäste sind betroffene Personen. Die Pflicht, diese Gäste über die Verarbeitung zu informieren, trifft den Kundenbetrieb als Verantwortlichen; Ruf-Wächter stellt ihm die dafür erforderlichen Informationen (diese Datenschutz­erklärung, Zweck, Empfänger, Speicherdauer) bereit.
• Freigabe­vorbehalt: Es erfolgt keine automatische Übernahme. Die erkannte Liste wird dem Kundenbetrieb zunächst zur Kontrolle vorgelegt; erst nach dessen Freigabe werden die Daten in die Reservierungs­verwaltung importiert.
• Rechtsgrundlage & Risiko­abschätzung: Die Verarbeitung erfolgt im Auftrag und nach Weisung des Kundenbetriebs (Art. 28 DSGVO); der Kundenbetrieb ist für die Rechtmäßigkeit der übermittelten Gäste­daten verantwortlich. Aufgrund des begrenzten, nicht sensiblen Datenumfangs (Name, Telefon, Reservierungs­zeit) und der einmaligen, freigabe­gebundenen Verarbeitung ist nach Einschätzung kein hohes Risiko im Sinne des Art. 35 DSGVO zu erwarten; eine förmliche Datenschutz-Folgen­abschätzung ist daher regelmäßig nicht erforderlich, die Beurteilung obliegt jedoch dem Kundenbetrieb als Verantwortlichem.

6. Übermittlung in Drittländer

Einzelne der oben genannten Subprozessoren haben ihren Sitz in den USA. Übermittlungen an diese Anbieter erfolgen auf Grundlage:

• des EU-US Data Privacy Framework (Angemessenheits­beschluss der EU-Kommission vom 10.07.2023), sofern der Anbieter zertifiziert ist, oder
• der EU-Standard­vertrags­klauseln (SCC, Durchführungs­beschluss 2021/914) mit ergänzenden technischen und organisatorischen Maßnahmen.

Trotz dieser Schutz­mechanismen kann ein Zugriff von US-Behörden auf personen­bezogene Daten nicht vollständig ausgeschlossen werden. Über die mit einer Drittland­übermittlung verbundenen Risiken informieren wir Sie hiermit transparent gemäß Art. 49 Abs. 1 lit. a DSGVO.

7. Ihre Rechte als Betroffener

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personen­bezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung („Recht auf Vergessen­werden", Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Daten­übertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen eine Verarbeitung auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Sind die Daten im Auftrag eines unserer Kunden verarbeitet worden (z. B. Anrufer­daten), leiten wir Ihre Anfrage gemäß Art. 28 Abs. 3 lit. e DSGVO an den verantwortlichen Kunden weiter oder unterstützen diesen bei der Beantwortung. Eine Anfrage richten Sie bitte an: office@ruf-waechter.at.

8. Beschwerderecht bei der Aufsichts­behörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichts­behörde zu beschweren. Zuständig in Österreich ist die:

Behörde

Österreichische Datenschutz­behörde (DSB)

Anschrift

Barichgasse 40–42, 1030 Wien

Telefon

+43 1 52 152-0

E-Mail

dsb@dsb.gv.at

Web

www.dsb.gv.at

9. Daten­sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen. Dazu gehören insbesondere:

• TLS-Verschlüsselung für sämtliche Web- und API-Kommunikation
• Verschlüsselte Speicherung von Zugangs­daten und API-Schlüsseln
• Rollen- und rechte­basierte Zugriffs­kontrolle
• Regelmäßige Backups mit getrennter Aufbewahrung
• Logging und Monitoring zur Erkennung unautorisierter Zugriffe

Unsere Sicherheits­maßnahmen werden laufend überprüft und an den Stand der Technik angepasst.

10. Daten­erhebung auf dieser Website

10.1 Server-Logfiles

Beim Aufruf unserer Website werden vom Hosting-Provider (World4You) Server-Logfiles erstellt. Diese enthalten gekürzte IP-Adresse, Zeitstempel, aufgerufene Ressource, Referrer und User-Agent. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Stabilität des Web­auftritts). Speicherdauer: maximal 14 Tage.

10.2 Cookies und Einwilligung

Technisch notwendige Funktionen dieser Website setzen keine zustimmungs­pflichtigen Cookies. Optionale Marketing- und Statistik-Cookies (Meta-Pixel, siehe 10.4) werden ausschließlich nach Ihrer Einwilligung über unseren Cookie-Banner gesetzt; lehnen Sie ab, erfolgt kein Tracking und es wird kein Pixel geladen. Ihre Entscheidung (Akzeptieren/Ablehnen) wird lokal in Ihrem Browser gespeichert und kann jederzeit durch Löschen der Website-Daten widerrufen werden. Eingebundene Schrift­arten (Google Fonts) werden direkt vom Anbieter geladen; dabei wird Ihre IP-Adresse an Google LLC übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Sie können dies durch Browser-Erweiterungen oder Daten­spar-Modi verhindern.

10.3 Kontakt- und Demo-Formular

Wenn Sie unser Demo-Formular nutzen, werden die eingegebenen Daten (Name, Firma, Telefon) zur Bearbeitung Ihrer Anfrage verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald sie zur Zweck­erreichung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungs­pflichten entgegen­stehen.

10.4 Meta-Pixel (Facebook & Instagram)

Sofern Sie im Cookie-Banner zustimmen, verwenden wir den „Meta-Pixel", einen Dienst der Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irland; Mutterkonzern Meta Platforms, Inc., USA). Der Meta-Pixel ermöglicht uns die Messung der Wirksamkeit unserer Werbeanzeigen auf Facebook und Instagram (Reichweiten- und Conversion-Messung).

• Verarbeitete Daten: Pixel-/Cookie-Kennungen, gekürzte IP-Adresse, Browser- und Geräte­informationen, aufgerufene Seite sowie ausgelöste Ereignisse — Seitenaufruf, Absenden des Rückruf-Formulars und Klick auf den Demo-Anruf-Button. Von Ihnen eingegebene Klartext-Inhalte (Name, Telefon, Nachricht) werden dabei nicht an Meta übermittelt.
• Zweck: Reichweiten-, Conversion- und Marketing-Analyse zur Verbesserung unserer Angebote.
• Rechtsgrundlage: Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO sowie § 165 Abs. 3 TKG 2021. Die Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar.
• Widerruf: Löschen Sie die Website-Daten Ihres Browsers, um den Banner erneut aufzurufen, oder passen Sie die Werbe­einstellungen Ihres Meta-Kontos an.
• Drittland: Eine Übermittlung in die USA an Meta Platforms, Inc. ist möglich (vgl. Abschnitt 6); Grundlage ist das EU-US Data Privacy Framework bzw. die EU-Standard­vertrags­klauseln.

Weitere Informationen zur Datenverarbeitung durch Meta: Datenschutz­richtlinie von Meta.

11. Änderungen dieser Datenschutz­erklärung

Wir behalten uns vor, diese Datenschutz­erklärung anzupassen, soweit dies aufgrund neuer Funktionen, geänderter Rechts­vorschriften oder neuer Subprozessoren erforderlich wird. Die jeweils aktuelle Version ist auf dieser Seite abrufbar.

Stand dieser Datenschutz­erklärung: Juni 2026.