Datenschutzerklärung
01
Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO):
- Unternehmen
- Cevio e.U.
- Inhaber
- Tobias Sonnleitner
- Adresse
- Stadlergasse 9a/3, 1130 Wien, Österreich
- E-Mail
- contact@cevio.at
- Website
- cevio.at
- Kundenbereich
- cevioworkspace.at
Für Anliegen zum Datenschutz genügt eine formlose E-Mail an contact@cevio.at. Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt, weil die Voraussetzungen des Art. 37 DSGVO nicht vorliegen.
02
Geltungsbereich & Rechtsgrundlagen
Diese Datenschutzerklärung gilt für alle unter cevio.at betriebenen Websites und Subdomains, für die Cevio Workspace unter cevioworkspace.at (Anmeldeseite, Kundenbereich und alle darin enthaltenen Funktionen) sowie für unsere Besucherstatistik Cevio Analytics (Abschnitt 11).
Für Websites und Anwendungen, die wir für Kundinnen und Kunden erstellen oder betreiben, ist jeweils deren Betreiber verantwortlich. Wir verarbeiten Daten dort nur in seinem Auftrag (Abschnitt 13). Setzt eine solche Website Cevio Analytics ein, verweist ihre Datenschutzerklärung für die Einzelheiten auf Abschnitt 11 dieser Erklärung.
Wir verarbeiten personenbezogene Daten nur in dem Umfang, der für die Bereitstellung unserer Websites, Dienste und Inhalte erforderlich ist. Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen gemäß Art. 6 Abs. 1 DSGVO:
- Art. 6 Abs. 1 lit. a DSGVO, Einwilligung der Nutzerin/des Nutzers.
- Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung (z. B. Bereitstellung des Kundenbereichs, Abwicklung eines Auftrags).
- Art. 6 Abs. 1 lit. c DSGVO, gesetzliche Verpflichtung (z. B. Aufbewahrung von Rechnungen).
- Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse (z. B. IT-Sicherheit, Missbrauchsabwehr, Nachvollziehbarkeit).
Mindestalter. Unsere Dienste richten sich an Personen, die das 14. Lebensjahr vollendet haben (§ 4 Abs. 4 DSG). Personen unter 14 Jahren dürfen unsere Dienste nur mit Zustimmung einer erziehungsberechtigten Person nutzen. Sollten wir Kenntnis erlangen, dass personenbezogene Daten von Personen unter 14 Jahren ohne entsprechende Einwilligung verarbeitet wurden oder ein Konto ohne diese Zustimmung angelegt wurde, löschen wir diese Daten umgehend.
03
Hosting & Serverinfrastruktur
Unsere Websites und Dienste werden auf Servern in Österreich und Deutschland, also ausschließlich innerhalb der EU, betrieben. Das Webhosting für cevio.at, die Cevio Workspace und Cevio Analytics sowie ein virtueller Server (V-Server) werden von der World4You Internet Services GmbH (Hafenstraße 47-51, 4020 Linz, Österreich) bereitgestellt. Die Daten der Workspace und der Besucherstatistik liegen dort in einer Datenbank auf demselben Server in Österreich. Für den Betrieb unserer Anwendungen, Bots und der Statusseite nutzen wir zusätzlich virtuelle Server der IONOS SE (Elgendorfer Straße 57, 56410 Montabaur, Deutschland) mit Serverstandort Deutschland. Anwendungen, die wir für Kundinnen und Kunden betreiben, laufen außerdem auf einem virtuellen Windows-Server der Contabo GmbH (Aschauer Straße 32a, 81549 München, Deutschland), ebenfalls mit Serverstandort Deutschland. Unsere Anwendungen laufen auf diesen Servern über PM2 mit Caddy als Reverse Proxy.
Beim Zugriff auf unsere Seiten werden in Server-Logfiles automatisch folgende technische Daten erfasst:
- IP-Adresse (nach 7 Tagen anonymisiert)
- Datum und Uhrzeit der Anfrage
- Aufgerufene Seite / URL
- Browsertyp und -version
- Betriebssystem
- Referrer-URL
Diese Daten werden zur Sicherstellung eines reibungslosen Betriebs sowie zur Erkennung und Abwehr von Angriffen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Sie werden nicht mit anderen Datenquellen zusammengeführt.
- Hosting-Anbieter
- World4You Internet Services GmbH, Linz, Österreich; IONOS SE, Montabaur, Deutschland; Contabo GmbH, München, Deutschland
- Serverstandort
- Österreich und Deutschland (EU)
- Übertragung
- Ausschließlich verschlüsselt über HTTPS, HTTP wird umgeleitet
- Reverse Proxy
- Caddy Server
- CDN / DNS
- Cloudflare, Inc. (USA), Standardvertragsklauseln gemäß Art. 46 DSGVO
04
Nutzung der Website
Beim Besuch unserer Websites (cevio.at und Subdomains) werden die oben genannten Server-Logdaten erhoben. Darüber hinaus nutzen wir:
Google Fonts. Wir verwenden Schriftarten von Google LLC. Beim Laden der Seite wird eine Verbindung zu Google-Servern aufgebaut, wobei Ihre IP-Adresse an Google übertragen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Darstellung).
- Anbieter
- Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
- Übertragene Daten
- IP-Adresse, Browser-Informationen
- Google Datenschutz
- policies.google.com/privacy
Kontaktformulare. Über unsere Kontaktformulare erhobene Daten (Name, E-Mail, Nachricht) werden ausschließlich zur Bearbeitung Ihrer Anfrage verwendet und nicht an Dritte weitergegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Externe JavaScript-Bibliotheken (CDN). Für Animationen auf unseren Websites verwenden wir die JavaScript-Bibliothek anime.js, die über ein Content Delivery Network (CDN) von Cloudflare (cdnjs.cloudflare.com) geladen wird. Beim Laden wird eine Verbindung zum CDN-Server aufgebaut, wobei Ihre IP-Adresse an Cloudflare übertragen wird.
- Bibliothek
- anime.js (Animations-Framework)
- Geladen über
- cdnjs.cloudflare.com (Cloudflare, Inc., USA)
- Übertragene Daten
- IP-Adresse, Browser-Informationen
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an funktionaler Darstellung)
05
Kontakt
Wenn Sie uns per E-Mail oder Kontaktformular kontaktieren, werden Ihre Angaben zur Bearbeitung der Anfrage gespeichert. Wir geben diese Daten nicht ohne Ihre Einwilligung weiter. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
Ihre Daten werden gelöscht, sobald der Zweck der Speicherung entfallen ist und keine gesetzlichen Aufbewahrungspflichten bestehen.
06
E-Mail-Kommunikation
Wir versenden im Rahmen unserer Dienste transaktionale E-Mails. Es handelt sich ausschließlich um service-bezogene Nachrichten, wir versenden keine Werbe- oder Newsletter-E-Mails, sofern Sie nicht ausdrücklich zugestimmt haben.
Anlässe für den E-Mail-Versand:
- Einladung, Registrierungsbestätigung und Willkommensmail
- Bestätigungscodes, etwa beim Zurücksetzen des Passworts oder beim Ändern der E-Mail-Adresse
- Zahlungsbestätigungen, Rechnungen und Zahlungserinnerungen
- Benachrichtigungen zu Projekten, Aufgaben und Nachrichten in der Workspace
- Wichtige Änderungen an Ihrem Konto oder unseren Diensten
- Sicherheitsbenachrichtigungen (z. B. Login von neuem Gerät)
- E-Mail-Versand über
- World4You SMTP-Server (Österreich, EU), verschlüsselt per STARTTLS
- Absenderadresse
- noreply@cevio.at / contact@cevio.at
- Verarbeitete Daten
- E-Mail-Adresse, Name (falls vorhanden), Anlass der Nachricht
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) oder lit. f (berechtigtes Interesse)
E-Mails werden über die SMTP-Server unseres Hosting-Anbieters World4You versendet. Alle Daten verbleiben in Österreich (EU). Es kommen keine externen E-Mail-Marketing-Dienste zum Einsatz.
07
Zahlungsabwicklung
Für kostenpflichtige Pakete unserer Leistungen bieten wir zwei Zahlungsmethoden an: PayPal und Banküberweisung. Zahlungsdaten werden direkt an den jeweiligen Anbieter übermittelt, wir speichern keine Kreditkartendaten oder vollständigen Bankdaten auf unseren Servern.
PayPal.
- Zahlungsdienstleister
- PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxembourg
- Übertragene Daten
- Betrag, Paketname, E-Mail-Adresse, PayPal-Transaktions-ID
- Von uns gespeichert
- PayPal-Transaktions-ID, Zahlungsstatus, Zahlungszeitpunkt, keine PayPal-Login-Daten
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
- PayPal Datenschutz
- paypal.com/at/legalhub/privacy-full
Banküberweisung. Wenn Sie Banküberweisung wählen, läuft die Überweisung über Ihre Bank an unsere. Wir erhalten die üblichen Überweisungsdaten (Name des Absenders, IBAN, Betrag, Verwendungszweck), die zur Zuordnung der Zahlung erforderlich sind. Diese Daten werden zu Buchhaltungszwecken verarbeitet und nach den Vorgaben des österreichischen Unternehmens- und Steuerrechts aufbewahrt.
- Erhaltene Daten
- Name des Absenders, IBAN, Betrag, Verwendungszweck
- Von uns gespeichert
- Nur für Buchhaltung und gesetzliche Aufbewahrung
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)
Rechnungsdaten (Betrag, Datum, Paket) werden gemäß Bundesabgabenordnung (BAO) 7 Jahre lang aufbewahrt.
08
Cevio Workspace: Konto & Anmeldung
Die Cevio Workspace ist unser geschlossener Kundenbereich. Ein Konto entsteht auf Einladung oder durch Registrierung. Dabei verarbeiten wir:
- Name und E-Mail-Adresse
- Passwort, ausschließlich als bcrypt-Hash gespeichert, nie im Klartext
- Telefonnummer und Profilbild, sofern angegeben
- Rolle und Berechtigungen innerhalb der Workspace
- Zeitpunkt der Erstellung und der letzten Anmeldung
Diese Daten sind für die Bereitstellung des Kundenbereichs erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Name, Telefonnummer, Profilbild und Passwort können Sie im Profil jederzeit selbst ändern; eine neue E-Mail-Adresse wird per Code bestätigt. Über Konto löschen im Profil können Sie die Löschung Ihres Kontos verlangen, ausgenommen bleiben Daten, die wir gesetzlich aufbewahren müssen.
Zwei-Faktor-Authentifizierung. Die Anmeldung ist durch einen zweiten Faktor geschützt. Gespeichert werden dazu der geheime Schlüssel Ihrer Authenticator-App (TOTP) und Einmal-Backup-Codes; verbrauchte Codes werden entwertet. Auf Wunsch merkt sich die Workspace ein Gerät als vertrauenswürdig. Dazu speichern wir einen Hashwert des Gerätemerkmals, die Browserkennung, den Zeitpunkt der Einrichtung, die letzte Nutzung und ein Ablaufdatum. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung, Kontosicherheit).
Anmeldung über Discord oder Twitch. Sie können Ihr Konto freiwillig mit einem Discord- oder Twitch-Konto verknüpfen und sich darüber anmelden (OAuth 2.0). Von Discord erhalten wir Ihre Benutzerkennung und, wenn Sie sich über Discord anmelden oder registrieren, Ihre E-Mail-Adresse zur Zuordnung des Kontos. Von Twitch erhalten wir nur Ihre Benutzerkennung und Ihren Anmeldenamen. Nachrichten, Kontakte oder Serverlisten erhalten wir nicht. Die Verknüpfung können Sie im Profil jederzeit lösen. Rechtsgrundlage ist Ihre Einwilligung durch die Verknüpfung (Art. 6 Abs. 1 lit. a DSGVO). Bei der Anmeldung verarbeiten Discord und Twitch eigenständig Daten nach ihren eigenen Datenschutzerklärungen (Abschnitt 12).
09
Cevio Workspace: Projekte, Dateien & Rechnungen
Kern der Workspace ist die gemeinsame Arbeit an Projekten. Dabei verarbeiten wir die Inhalte, die Sie und wir dort einstellen:
- Projektdaten wie Name, Beschreibung, Status, Termine und die zugeordneten Personen
- Aufgaben mit Titel, Beschreibung, Priorität, Zuständigkeit und Bearbeitungsstand
- Nachrichten im Projektverlauf samt Zeitpunkt, Verfasser, Antwortbezug und Reaktionen
- Rückmeldungen aus dem Feedback-Werkzeug, einschließlich Kommentar, Position auf der Seite und, falls erzeugt, eines Bildschirmfotos der betreffenden Ansicht
- hochgeladene Dateien wie Entwürfe, Bilder, Dokumente oder Projektsicherungen, mit Dateiname, Größe, Zeitpunkt und hochladender Person
- die Statistik von Cevio Analytics für Websites, die einem Projekt zugeordnet sind
Diese Inhalte sind nur den dem jeweiligen Projekt zugeordneten Personen und uns als Betreiber zugänglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Nachrichten und Rückmeldungen können personenbezogene Daten enthalten, wenn Sie solche hineinschreiben. Bitte geben Sie dort keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO ein, etwa Gesundheitsdaten. Über die Vorschaufunktion können in Arbeit befindliche Websites innerhalb der Workspace angesehen werden; deren Inhalte verantwortet das jeweilige Projekt.
Vertrags- und Rechnungsdaten. Im Rahmen der Geschäftsbeziehung verarbeiten wir Firma, Ansprechperson, Anschrift, E-Mail-Adresse, Telefonnummer und, falls vorhanden, UID-Nummer, außerdem Vertragsdaten, Leistungszeiträume, Rechnungen, Beträge und Zahlungsstatus. Die Stammdaten unserer Geschäftspartner (E-Mail-Adresse, Telefonnummer, Anschrift, Postleitzahl und Ort sowie UID- und ZVR-Nummer) werden in der Datenbank verschlüsselt gespeichert (libsodium) und erst beim Anzeigen entschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO in Verbindung mit der Bundesabgabenordnung.
Protokolle. Zur Nachvollziehbarkeit und zum Schutz der Konten protokolliert die Workspace Anmeldeversuche (E-Mail-Adresse, IP-Adresse, Erfolg oder Misserfolg, Zeitpunkt; Grundlage der Sperre nach zu vielen Fehlversuchen) sowie, wer wann welche Aktion ausgeführt hat, mit IP-Adresse und Browserkennung. Diese Protokolle dienen ausschließlich der IT-Sicherheit, der Missbrauchsabwehr und der Nachvollziehbarkeit von Änderungen. Eine Auswertung zur Leistungs- oder Verhaltenskontrolle findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
10
Cookies & lokale Speicherung
Unsere Websites und die Workspace verwenden Cookies und den lokalen Speicher Ihres Browsers. Diese teilen sich in:
Technisch notwendige Cookies. Diese sind für den Betrieb erforderlich und werden ohne Einwilligung gesetzt (Art. 6 Abs. 1 lit. f DSGVO, § 165 Abs. 3 TKG 2021).
- Session-Cookie
- Aufrechterhaltung der Login-Sitzung, läuft am Ende der Sitzung ab
- CSRF-Merkmal
- Schützt Formulare der Workspace vor Fremdanfragen, gilt innerhalb der Sitzung
- Gerätemerkmal
- Nur wenn Sie in der Workspace ein Gerät als vertrauenswürdig markieren, mit Ablaufdatum
- Cookie-Zustimmung
- Speicherung Ihrer Cookie-Einstellungen, läuft nach 12 Monaten ab
Funktionale Cookies. Speichern Einstellungen wie Spracheinstellungen oder Ansichten. Auf cevio.at werden sie mit Ihrer Einwilligung über den Cookie-Hinweis gesetzt (Art. 6 Abs. 1 lit. a DSGVO). In der Workspace merken sie die Sprachwahl (cevio_lang) und die zuletzt gewählte Website in der Statistik (cevio_analytics_site), jeweils für 12 Monate.
Statistik. Cevio Analytics setzt keine Cookies. Erst mit Ihrer Einwilligung legt es zwei zufällige Kennungen im lokalen Speicher ab, ohne Einwilligung speichert es nichts auf Ihrem Gerät. Einzelheiten stehen in Abschnitt 11.
Sie können Cookies und lokalen Speicher jederzeit in Ihren Browsereinstellungen löschen oder deren Speicherung verhindern. Einzelne Funktionen können dadurch eingeschränkt sein, in der Workspace ist danach eine erneute Anmeldung nötig. Alle Details und die Einstellungen dazu finden Sie auf der Seite Cookie-Richtlinie .
11
Cevio Analytics (Besucherstatistik)
Cevio Analytics ist unsere selbst entwickelte und selbst betriebene Besucherstatistik. Wir setzen sie auf cevio.at, auf unserer Statusseite status.cevio.at, in der Cevio Workspace und in unseren Discord-Bots ein. Außerdem binden Kundinnen und Kunden sie in Websites, Anwendungen und Bots ein, die wir für sie erstellen oder betreuen; deren Datenschutzerklärungen verweisen für die Einzelheiten auf diesen Abschnitt. Es kommt kein Dienst wie Google Analytics zum Einsatz, und es werden keine Daten an externe Anbieter übermittelt.
Wer verantwortlich ist. Auf cevio.at, der Statusseite, in der Workspace und beim CevioBot sind wir Verantwortlicher. Auf den Websites und bei den Bots unserer Kundinnen und Kunden ist der jeweilige Betreiber Verantwortlicher; wir verarbeiten die Daten dort ausschließlich in seinem Auftrag nach Art. 28 DSGVO und nutzen sie nicht für eigene Zwecke. Jeder Betreiber sieht in der Workspace nur die Statistik seiner eigenen Website oder seines eigenen Bots.
Zwei Stufen. Ohne Ihre Einwilligung misst Cevio Analytics nur in einer eingeschränkten Form, die nichts auf Ihrem Gerät speichert und nichts von dort ausliest. Erst wenn Sie im Cookie-Hinweis der Kategorie Statistik zustimmen, kommen eine Besucherkennung und einige Geräteangaben hinzu.
Was in beiden Stufen erfasst wird:
- die aufgerufene Seite und ihr Titel; Kampagnenparameter wie
utm_source oder gclid werden aus der Adresse entfernt und nur als Kampagnenangabe gespeichert
- die verweisende Website, gekürzt auf Domain und Pfad, ohne Suchbegriffe oder sonstige Parameter
- die aktive Verweildauer: gezählt wird nur, solange die Seite sichtbar ist und gelesen, gescrollt oder bedient wird
- wie weit eine Seite nach unten gescrollt wurde (Scrolltiefe in Prozent)
- Klicks auf Telefonnummern, E-Mail-Adressen, WhatsApp-Links, Downloads und Links zu anderen Websites, jeweils mit dem Ziel des Links
- Klicks auf Schaltflächen mit ihrer Beschriftung und auf Links innerhalb der Website mit der Zieladresse; E-Mail-Adressen und Telefonnummern in Beschriftungen werden schon im Browser unkenntlich gemacht
- dass ein Formular abgeschickt wurde, mit dem Namen des Formulars; Eingaben in Formularfeldern werden nicht erfasst, Anmelde- und Suchformulare gar nicht
- Gerätetyp, Browser und Betriebssystem, abgeleitet aus der Browserkennung, die Ihr Browser bei jedem Seitenaufruf mitschickt
- die Sprache, die Ihr Browser bei jedem Seitenaufruf angibt
- das Land, bestimmt aus Ihrer IP-Adresse mit einer Länderdatenbank, die auf unserem eigenen Server liegt (IP Geolocation by DB-IP, CC BY 4.0); die IP-Adresse wird dafür nur im Moment der Anfrage verwendet und nicht gespeichert, ein genauer Standort wird nicht ermittelt
Ohne Einwilligung. Damit mehrere Seitenaufrufe desselben Tages als ein Besuch zählen, bildet unser Server aus IP-Adresse, Browserkennung, Website und einem zufälligen Tageswert eine Prüfsumme (SHA-256) und speichert nur diese. Der Tageswert wird jeden Tag neu erzeugt und der vorherige gelöscht. Danach lässt sich die Prüfsumme weder auf Ihre IP-Adresse zurückführen noch mit Besuchen an anderen Tagen oder auf anderen Websites verbinden; wiederkehrende Besucher werden in dieser Stufe nicht erkannt. Rechtsgrundlage ist das berechtigte Interesse des jeweiligen Websitebetreibers an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen (Art. 21 DSGVO): Sendet Ihr Browser das Signal Global Privacy Control oder „Do Not Track“, findet ohne Einwilligung keine Messung statt.
Mit Einwilligung zusätzlich:
- eine zufällige Besucherkennung im lokalen Speicher (
localStorage), mit der wiederkehrende Besuche erkannt werden, und eine Sitzungskennung für die Dauer des Besuchs (sessionStorage)
- die Zeitzone des Geräts, die bei der Zuordnung des Landes hilft
- die Breite des Browserfensters, gespeichert nur als Größenklasse (Smartphone, Tablet, Laptop oder großer Bildschirm), und ob das Gerät einen Touchscreen hat
- die Ladezeit der Seite
Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021). Stimmen Sie während eines Besuchs zu, wird der bis dahin ohne Kennung gezählte Besuch mit der neuen Kennung zusammengeführt, damit er nicht doppelt zählt. Ihre Wahl können Sie jederzeit in den Cookie-Einstellungen der jeweiligen Website ändern; nach einem Widerruf werden die Kennungen aus Ihrem Browser gelöscht, und es wird nur noch in der Stufe ohne Einwilligung gemessen.
Was nicht erfasst wird. Ihre IP-Adresse wird nicht gespeichert. Es werden keine Cookies gesetzt, keine Profile über mehrere Websites hinweg gebildet und keine Daten an Dritte oder Werbenetzwerke weitergegeben. Die Kennungen sind Zufallswerte ohne Bezug zu Ihrer Person, gelten jeweils nur für eine Website und werden nicht mit einem Workspace-Konto verknüpft. Zugriffe von Suchmaschinen und anderen automatisierten Programmen werden verworfen.
Workspace und Statusseite. Auf der Statusseite misst Cevio Analytics nur in der Stufe ohne Einwilligung und speichert nichts auf Ihrem Gerät. In der Cevio Workspace läuft die Messung ohne Einwilligungsabfrage in der Stufe mit Kennung; dabei zählt jeder Bereich, etwa Projekte oder Aufgaben, als eigene Seite. Wir stützen das auf unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Sie können die Messung in der Workspace unterbinden, indem Sie den lokalen Speicher der Seite löschen oder dessen Nutzung im Browser blockieren.
Discord-Bots. In Discord-Bots zählt Cevio Analytics, wie ein Bot genutzt wird und was er selbst tut. Auf Ihrem Gerät wird dabei nichts gespeichert oder ausgelesen: Der Bot wertet auf seinem Server nur aus, was er von Discord für seine Arbeit ohnehin erhält, und übermittelt die Zählung jede Minute gesammelt an Cevio Analytics. Erfasst werden:
- ausgeführte Befehle mit ihrem Namen, der Antwortzeit des Bots und ob er geantwortet hat
- Klicks auf Schaltflächen und Auswahlmenüs des Bots sowie abgeschickte Bot-Formulare, jeweils nur mit ihrer internen Bezeichnung; darin enthaltene Nummern, etwa von Tickets oder Benutzern, werden vorher entfernt, Eingaben in Formularen werden nicht erfasst
- wie viele Nachrichten und Reaktionen in einem Kanal geschrieben werden; den Inhalt von Nachrichten liest die Statistik nicht und speichert ihn nicht
- wie lange Sie sich in Sprachkanälen aufhalten
- Beitritte und Austritte von Mitgliedern
- die Namen der Kanäle, in denen gezählt wurde
- je Server dessen Name, die Zahl der Mitglieder, wie viele davon gerade online sind, und die Zahl der Kanäle, Rollen und Boosts
- die Spracheinstellung Ihrer Discord-App, die Discord bei Befehlen und Klicks mitschickt
- was der Bot selbst bei Discord tut, etwa Nachrichten senden, Rollen vergeben, Kanäle anlegen oder Nachrichten löschen, jeweils mit dem Teil des Bots, aus dem die Aktion kommt (etwa Tickets oder Sicherheit), ihrer Dauer und ob Discord sie abgelehnt hat; der Inhalt der Nachrichten wird dabei nicht erfasst
- Ereignisse auf dem Server ohne Bezug zu einer Person, etwa wie oft Nachrichten bearbeitet oder gelöscht, Rollen vergeben oder entfernt und Kanäle angelegt werden, mit dem Namen der Rolle oder des Kanals
- welche Musiktitel der Bot abspielt und wie lange, ohne Angabe, wer sie angefordert hat
- Fehlermeldungen und Warnungen aus dem Protokoll des Bots, gekürzt und ohne IDs oder Links
- technische Werte des Bots wie der Ping zu Discord, Speicher- und Prozessorauslastung, Neustarts und Verbindungsabbrüche
Damit wiederkehrende Nutzerinnen und Nutzer erkannt werden, ersetzt der Bot Ihre Discord-Benutzer-ID schon auf seinem Server durch ein Pseudonym (HMAC-SHA-256 mit einem geheimen Schlüssel, der nur dort liegt und für jeden Bot anders ist). Ihre Discord-ID, Ihr Benutzername und Ihr Profilbild gelangen nicht in die Statistik, und die Pseudonyme verschiedener Bots lassen sich nicht miteinander verbinden. Aktionen anderer Bots werden nicht gezählt. Rechtsgrundlage ist das berechtigte Interesse des Betreibers, den Bot stabil zu betreiben, Fehler zu erkennen und ihn zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist dafür nicht nötig, weil auf Ihrem Gerät nichts gespeichert oder ausgelesen wird. Sie können der Zählung jederzeit widersprechen (Art. 21 DSGVO), indem Sie uns Ihre Discord-Benutzer-ID an contact@cevio.at schicken. Wir nehmen Sie dann bei allen unseren Bots von der Zählung aus und löschen die Einträge zu Ihrem Pseudonym.
- Betrieb
- Cevio e.U., auf dem Webhosting der World4You Internet Services GmbH in Österreich; die Bots selbst laufen auf Servern der IONOS SE in Deutschland
- Rohdaten
- Werden nach 25 Monaten automatisch gelöscht, früher, sobald eine Website oder ein Bot aus der Statistik entfernt wird
- Kennungen
- Besucherkennung bis Sie die Websitedaten im Browser löschen oder die Einwilligung widerrufen, Sitzungskennung bis zum Schließen des Tabs
- Tageswert
- Wird jeden Tag neu erzeugt, der vorherige wird dabei gelöscht
- Bot-Pseudonyme
- Werden 25 Monate nach der letzten Aktivität gelöscht; der geheime Schlüssel bleibt auf dem Server des Bots
12
Dritte & externe Dienste
Nachfolgend informieren wir Sie über die von uns eingesetzten externen Dienste, an die Daten übermittelt werden können:
World4You. Unsere Website cevio.at, die Cevio Workspace und Cevio Analytics werden von der World4You Internet Services GmbH (Österreich) gehostet, dort läuft auch der E-Mail-Versand. World4You verarbeitet technische Daten im Rahmen des Hosting-Vertrags. Diese Daten verbleiben in Österreich (EU).
- Anbieter
- World4You Internet Services GmbH, Hafenstraße 47-51, 4020 Linz, Österreich
- Datenschutz
- world4you.com/de/datenschutz
IONOS. Für unsere Anwendungen, Bots und die Statusseite betreiben wir virtuelle Server der IONOS SE (Deutschland). IONOS verarbeitet dabei technische Daten im Rahmen des Hosting-Vertrags. Die Daten verbleiben in Deutschland (EU).
- Anbieter
- IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland
- Datenschutz
- ionos.de/terms-gtc/datenschutzerklaerung
Contabo. Für Anwendungen, die wir für Kundinnen und Kunden betreiben, nutzen wir einen virtuellen Windows-Server der Contabo GmbH (Deutschland). Contabo verarbeitet dabei technische Daten im Rahmen des Hosting-Vertrags. Die Daten verbleiben in Deutschland (EU).
- Anbieter
- Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland
- Datenschutz
- contabo.com/de/datenschutz
Cloudflare. Wir nutzen Cloudflare (Cloudflare, Inc., USA) als CDN- und DNS-Anbieter; außerdem werden einzelne Programmbibliotheken der Workspace über cdnjs geladen. Cloudflare kann technische Daten (IP-Adresse) verarbeiten. Es gelten die Standardvertragsklauseln gemäß Art. 46 DSGVO.
- Anbieter
- Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA
- Zweck
- CDN, DNS, DDoS-Schutz, SSL
- Datenschutz
- cloudflare.com/privacypolicy
PayPal. Für die Zahlungsabwicklung nutzen wir PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg).
- Anbieter
- PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxembourg
- Zweck
- Zahlungsabwicklung
- Datenschutz
- paypal.com/at/legalhub/privacy-full
Google Fonts. Schriftarten werden von Google-Servern geladen. Ihre IP-Adresse wird an Google LLC (USA) übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
- Anbieter
- Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
- Datenschutz
- policies.google.com/privacy
Discord und Twitch (Anmeldung in der Workspace). Nur wenn Sie Ihr Workspace-Konto verknüpfen oder sich darüber anmelden, siehe Abschnitt 08.
- Discord
- Discord Netherlands B.V., Amsterdam, Niederlande / Discord Inc., San Francisco, USA, discord.com/privacy
- Twitch
- Twitch Interactive, Inc., San Francisco, USA, twitch.tv/p/legal/privacy-notice
Discord-Bots. Cevio betreibt Discord-Bots für verschiedene Community-Server. Beim Betrieb der Bots können folgende Daten verarbeitet werden:
- Discord-Benutzer-ID und Benutzername
- Server-ID (Guild-ID) des jeweiligen Discord-Servers
- Nachrichteninhalte, sofern für Bot-Funktionen relevant (z. B. Ticketsystem, Befehle)
- Interaktionsdaten (ausgeführte Befehle, Button-Klicks)
Diese Daten werden ausschließlich zur Bereitstellung der jeweiligen Bot-Funktionalität verarbeitet. Nachrichteninhalte werden nicht dauerhaft gespeichert, sofern dies nicht für die jeweilige Funktion erforderlich ist (z. B. Ticket-Archivierung auf Wunsch des Serveradministrators). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Wie wir die Nutzung der Bots statistisch auswerten, steht in Abschnitt 11 unter „Discord-Bots“.
WhatsApp Business Platform (Meta). Auf Wunsch binden wir das eigene WhatsApp Business Konto unserer Kundinnen und Kunden an die Anwendung an, die wir für sie betreiben, damit etwa ein CRM Terminbestätigungen, Erinnerungen und Absagen über WhatsApp verschicken kann. Cevio ist dafür bei Meta als technischer Anbieter registriert. Die Verbindung stellt der Kunde selbst im Anmeldefenster von Meta her. Wir erhalten dabei keine Zugangsdaten, sondern eine Freigabe für genau dieses eine Konto, die der Kunde jederzeit wieder entziehen kann. Verschickt werden ausschließlich Vorlagennachrichten, die Meta vorher freigegeben hat, und zwar an Kontakte des Kunden, die diesen Weg selbst gewählt haben. Übermittelt werden die Telefonnummer, der Name und die Angaben, die in der Nachricht stehen, etwa Datum, Uhrzeit und Ort eines Termins. Meta verarbeitet diese Daten auch außerhalb der EU, es gelten die Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
- Anbieter
- Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland
- Zweck
- Terminbestätigungen, Erinnerungen und Absagen über WhatsApp, im Auftrag unserer Kunden
- Datenschutz
- whatsapp.com/legal/privacy-policy
Social-Media-Links. Unsere Websites enthalten Links zu externen Social-Media-Plattformen. Ein Klick auf diese Links leitet Sie zur jeweiligen Plattform weiter. Eine Verbindung zum Anbieter wird erst beim Klick hergestellt, es werden keine Daten an Social-Media-Plattformen übertragen, solange Sie die Links nicht aktiv anklicken (keine Social-Media-Plugins oder Tracker). Die Datenverarbeitung auf den jeweiligen Plattformen unterliegt den Datenschutzerklärungen der jeweiligen Anbieter.
13
Auftragsverarbeitungsverträge (AVV)
Soweit wir externe Dienstleister einsetzen, die personenbezogene Daten in unserem Auftrag verarbeiten, haben wir Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen. Diese Verträge stellen sicher, dass die Datenverarbeitung durch unsere Auftragsverarbeiter den Anforderungen der DSGVO entspricht.
- World4You
- AVV gemäß Art. 28 DSGVO, Hosting, Datenbank und E-Mail-Zustellung (Datenverarbeitung in Österreich)
- IONOS
- AVV gemäß Art. 28 DSGVO, Serverbetrieb für Anwendungen, Bots und Statusseite (Datenverarbeitung in Deutschland)
- Contabo
- AVV gemäß Art. 28 DSGVO, Serverbetrieb für Kundenanwendungen (Datenverarbeitung in Deutschland)
- Cloudflare
- Auftragsverarbeitungsvertrag (AVV), CDN, DNS, DDoS-Schutz (Standardvertragsklauseln gemäß Art. 46 DSGVO)
- PayPal
- Verarbeitung innerhalb der EU (Luxemburg), AVV gemäß Art. 28 DSGVO
- Meta
- WhatsApp Business Data Processing Terms, Nachrichtenversand im Auftrag unserer Kunden (Standardvertragsklauseln gemäß Art. 46 DSGVO)
Cevio als Auftragsverarbeiter. Betreuen wir im Rahmen eines Auftrags Ihre eigene Website, Anwendung oder Ihren eigenen Bot, binden dort Cevio Analytics ein oder verarbeiten Daten Ihrer Nutzerinnen und Nutzer, sind wir insoweit Auftragsverarbeiter und Sie Verantwortlicher. Dafür schließen wir einen gesonderten Vertrag nach Art. 28 DSGVO.
Für Übermittlungen in Drittländer (USA) stützen wir uns auf die von der Europäischen Kommission genehmigten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO und, soweit anwendbar, auf das EU-U.S. Data Privacy Framework.
14
Ihre Rechte
Nach der DSGVO haben Sie folgende Rechte bezüglich Ihrer personenbezogenen Daten:
- Auskunftsrecht, Sie können jederzeit erfahren, welche Daten wir über Sie gespeichert haben (Art. 15 DSGVO).
- Berichtigung, haben Sie das Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO).
- Löschung, können Sie die Löschung Ihrer Daten verlangen, sofern keine Aufbewahrungspflicht besteht (Art. 17 DSGVO).
- Einschränkung, können Sie die Einschränkung der Verarbeitung verlangen (Art. 18 DSGVO).
- Datenübertragbarkeit, haben Sie das Recht, Ihre Daten in einem gängigen Format zu erhalten (Art. 20 DSGVO).
- Widerspruch, können Sie der Verarbeitung jederzeit widersprechen, insbesondere bei Direktwerbung (Art. 21 DSGVO).
Darüber hinaus haben Sie das Recht, eine erteilte Einwilligung, etwa zur Besucherstatistik oder zur Verknüpfung mit Discord oder Twitch, jederzeit zu widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.
Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte per E-Mail unter contact@cevio.at. Wir bearbeiten Ihre Anfrage unverzüglich, spätestens jedoch innerhalb eines Monats. Betrifft Ihre Anfrage die Website eines unserer Kunden, leiten wir sie an den jeweiligen Betreiber weiter und unterstützen ihn bei der Beantwortung.
Beschwerderecht. Sie haben das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde:
- Aufsichtsbehörde
- Österreichische Datenschutzbehörde
- Adresse
- Barichgasse 40-42, 1030 Wien
- Web
- dsb.gv.at
- E-Mail
- dsb@dsb.gv.at
15
Datenaufbewahrung
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:
- Server-Logs
- 7 Tage (IP anonymisiert)
- Kontaktanfragen
- Bis zur Klärung, max. 6 Monate
- Workspace-Konto
- Bis zur Löschung des Kontos
- Projekte & Nachrichten
- Für die Dauer der Geschäftsbeziehung, danach auf Wunsch gelöscht
- Hochgeladene Dateien
- Bis zur Löschung durch Sie oder uns
- Bestätigungscodes
- 15 Minuten, danach automatisch entfernt
- Anmeldeversuche
- Kurzfristig, alte Einträge werden automatisch bereinigt
- Vertrauenswürdige Geräte
- Bis zum Ablauf oder Widerruf
- Aktivitätsprotokoll
- Für die Dauer der Geschäftsbeziehung
- Abrechnungsdaten
- 7 Jahre (gesetzliche Aufbewahrungspflicht, BAO)
- Cevio Analytics
- Rohdaten 25 Monate, siehe Abschnitt 11
- Transaktions-E-Mails
- E-Mail-Logs max. 30 Tage, danach gelöscht
- Discord-Bot-Daten
- Nur während der aktiven Nutzung, keine dauerhafte Speicherung von Nachrichteninhalten; zur Bot-Statistik siehe Cevio Analytics
- Cookies
- Je nach Art: Sitzung bis max. 12 Monate
16
Datensicherheit
Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen:
- SSL/TLS-Verschlüsselung für alle Websites und Dienste, HTTP wird auf HTTPS umgeleitet, HSTS aktiv
- Passwörter werden ausschließlich als bcrypt-Hash gespeichert
- Pflicht zur Zwei-Faktor-Authentifizierung für den Zugang zur Workspace, Sperre nach zu vielen Fehlanmeldungen
- Verschlüsselte Speicherung sensibler Stammdaten und Zugangsdaten (libsodium)
- Schutz aller Formulare gegen Fremdanfragen (CSRF-Merkmale) und Content Security Policy
- Datenbanken und Konfiguration liegen außerhalb des öffentlichen Zugriffs
- Rollen- und Rechtesystem, Zugriff nur auf die eigenen Projekte und Statistiken
- Regelmäßige Sicherheitsupdates und Serverwartung
- Cloudflare-Schutz gegen DDoS und schädliche Anfragen
- Getrennte Datenbanken für Authentifizierungs- und Anwendungsdaten
- Reverse Proxy (Caddy) mit automatischer HTTPS-Zertifikatsverwaltung
17
Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder Änderungen unserer Dienste anzupassen. Die jeweils aktuelle Version finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir registrierte Nutzer:innen per E-Mail.
Stand: 30. Oktober 2026