Datenschutzerklärung

1. Wer verantwortlich ist

dawox GmbH, Bahnhofstraße 9, 6824 Schlins, Österreich. Für Fragen zum Datenschutz erreichen Sie uns unter office@valid.at.

Bei valid.at gibt es zwei Rollen. Für den Betrieb der Website, die Konten der Aussteller und das Kontaktformular sind wir selbst verantwortlich. Für die Daten in den Nachweisen ist der jeweilige Aussteller verantwortlich; wir verarbeiten sie in seinem Auftrag nach Art. 28 DSGVO.

2. Aufruf der Website

Beim Aufruf verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browserkennung. Das dient dem sicheren Betrieb und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht. Schriften und Grafiken liegen auf unserem eigenen Server.

3. Reichweitenmessung

Um zu sehen, wie die Website genutzt wird, setzen wir die Software Rybbit ein. Sie wird von der sourceWAY GmbH betrieben und in Deutschland gehostet (track.sourceway.de); die sourceWAY GmbH ist dabei unser Auftragsverarbeiter. Beim Aufruf einer Seite werden Adresse und Titel der Seite, die verweisende Seite, Bildschirmgröße, Spracheinstellung, Browser und Betriebssystem sowie Ihre IP-Adresse verarbeitet. Daraus ermittelt Rybbit den ungefähren Standort und zählt Besuche. Klicks auf Links zu anderen Websites werden ebenfalls gezählt.

Rybbit setzt keine Cookies und speichert nichts auf Ihrem Gerät. Wir sehen nur zusammengefasste Auswertungen. Prüfseiten, die Seite für Inhaber von Nachweisen und Links aus unseren E-Mails werden nicht gemessen. Rechtsgrundlage ist unser berechtigtes Interesse, die Website bedarfsgerecht zu gestalten (Art. 6 Abs. 1 lit. f DSGVO). Sie können widersprechen, indem Sie in Ihrem Browser JavaScript für track.sourceway.de sperren oder einen Inhaltsblocker verwenden.

4. Prüfung eines Nachweises

Wenn Sie einen Nachweis prüfen, verarbeiten wir den eingegebenen Code. Zur Abfragebegrenzung halten wir Ihre IP-Adresse höchstens eine Stunde im Arbeitsspeicher, ohne sie zu speichern (Art. 6 Abs. 1 lit. f DSGVO). Für das Prüfprotokoll des Ausstellers speichern wir nur Zeitpunkt und Weg der Prüfung, keine IP-Adresse.

Beim Abgleich eines PDFs berechnet Ihr Browser einen Prüfwert (SHA-256). Nur dieser Wert wird an uns übertragen, nicht die Datei.

5. Konto für Aussteller

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Organisation, Firmendaten mit einer Telefonnummer für Rückfragen und ein Passwort als Hash. Die Telefonnummer veröffentlichen wir nicht. An die E-Mail-Adresse schicken wir bei jeder Anmeldung einen Code; gespeichert wird er nur als nicht umkehrbarer Prüfwert (HMAC) und nur bis zur Anmeldung, längstens zehn Minuten. Wer freiwillig eine Authenticator-App einrichtet, für den speichern wir deren Schlüssel verschlüsselt. Anmeldungen und Änderungen protokollieren wir mit IP-Adresse, um Missbrauch zu erkennen und nachvollziehen zu können. Sperren wir einen Zugang, etwa bei Verdacht auf Missbrauch, speichern wir Zeitpunkt und Grund bis zur Entsperrung; Sperre und Grund stehen außerdem im Protokoll. Rechtsgrundlage sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden für die Dauer des Vertrags und danach im Rahmen der gesetzlichen Aufbewahrungspflichten gespeichert.

Aussteller können weitere Personen einladen. Dafür verarbeiten wir die E-Mail-Adresse für die Einladung, die sieben Tage gilt, und nach der Annahme die oben genannten Kontodaten. Entfernt der Aussteller einen Zugang, löschen wir E-Mail-Adresse, Passwort und den Schlüssel der Authenticator-App; der Name bleibt im Protokoll des Ausstellers, damit nachvollziehbar bleibt, wer was getan hat.

6. Daten in Nachweisen

Im Auftrag der Aussteller speichern wir Name des Inhabers, auf Wunsch seine E-Mail-Adresse und die seines Arbeitgebers, Art des Nachweises, Ausstellungs- und Ablaufdatum, eine interne Nummer, einen freiwilligen Zusatztext und das PDF. Öffentlich sichtbar sind nur Name, Art des Nachweises, Aussteller, Daten und Status. Inhaber können über ihren persönlichen Link festlegen, dass nur eine Kurzform ihres Namens erscheint. Prüfseiten sind für Suchmaschinen gesperrt.

Hat der Aussteller Erinnerungen vor Ablauf eingerichtet, schicken wir Inhaber und Arbeitgeber in seinem Auftrag vor dem Ablaufdatum eine E-Mail. Jede Erinnerung enthält einen Link zum Abbestellen; danach erhält diese Adresse für den Nachweis keine Erinnerungen mehr.

Die Adresse des Arbeitgebers verwenden wir außerdem für die Arbeitgeberansicht: Über einen persönlichen Link, der 30 Tage gilt, sieht der Arbeitgeber Name, Art des Nachweises, Aussteller, Daten und Status der Nachweise, bei denen Aussteller seine Adresse hinterlegt haben. Den Link erhält nur diese Adresse. Der Arbeitgeber kann eine Zuordnung selbst aufheben und den Link sperren. Abgelaufene Links löschen wir täglich.

Fragen zu diesen Daten, Berichtigung oder Löschung richten Sie bitte an den Aussteller. Wir unterstützen ihn dabei.

7. Kontaktformular

Wenn Sie uns schreiben, speichern wir Ihre Angaben, um die Anfrage zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO). Sind Sie als Aussteller angemeldet, tragen wir Name, E-Mail-Adresse und Organisation aus Ihrem Konto ein und verknüpfen die Anfrage mit Ihrem Konto, damit wir wissen, von wem sie kommt. Die Daten werden gelöscht, wenn sie dafür nicht mehr nötig sind, spätestens nach 12 Monaten.

8. Cookies

Wir setzen keine Werbe- oder Analyse-Cookies. Für angemeldete Aussteller verwenden wir ein technisch notwendiges Sitzungscookie, das nach spätestens zwölf Stunden abläuft. Wählen Sie ausdrücklich eine helle oder dunkle Darstellung, speichern wir diese Wahl ein Jahr lang in einem Cookie, damit sie beim nächsten Besuch erhalten bleibt.

9. Empfänger

Wir setzen folgende Auftragsverarbeiter ein: sourceWAY GmbH, Aachen, Deutschland für das Hosting und die Reichweitenmessung sowie Amazon Web Services EMEA SARL, Luxemburg, mit Verarbeitung im Rechenzentrum Irland für den Versand von E-Mails. Die Daten werden in der EU verarbeitet. Amazon Web Services gehört zu einem Konzern mit Sitz in den USA; ein Zugriff von dort lässt sich deshalb nicht völlig ausschließen. Er wäre durch den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework und durch Standardvertragsklauseln abgesichert.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wenden Sie sich dazu an office@valid.at. Sie können sich außerdem bei der Österreichischen Datenschutzbehörde beschweren (www.dsb.gv.at).