Datenschutzerklärung

Kurz erklärt: PrivacyAds ist eine Plattform, mit der Betriebe die Wirkung ihrer Website und ihrer Werbung messen, Anfragen über Formulare annehmen und Inhalte ihrer Website mit Freigabe verbessern. Für Plattformkonto, Vertrag, Sicherheit und Support ist der Betreiber verantwortlich. Für Daten, die auf den Websites unserer Kunden entstehen, ist regelmäßig der jeweilige Kunde Verantwortlicher und PrivacyAds dessen Auftragsverarbeiter.

1. Verantwortlicher

Ausbildungszentrum für Selbstverteidigung und Kampfkunst SportUnion, ZVR-Zahl 1561748312, Erikaweg 4, 9241 Wernberg, Österreich, vertreten durch Obmann Raimund Pock. E-Mail: infoSPAM-SCHUTZ-BITTE-ENTFERNEN@masvillach.at. Datenschutzkontakt für PrivacyAds: officeSPAM-SCHUTZ-BITTE-ENTFERNEN@pock.biz.

2. Datenschutzrechtliche Rollen

Wir sind Verantwortlicher für die Verwaltung von PrivacyAds-Konten, Benutzerberechtigungen, Verträgen, Abrechnung, Plattformbetrieb, Missbrauchsprävention, Sicherheitsprotokollen und Support.

Unsere Kunden (Betriebe und die Agenturen, die sie betreuen) bestimmen grundsätzlich Zweck und Mittel der Verarbeitung auf ihren Websites: der Messung von Aufrufen und Anfragen, der Formulare samt Eingaben der Besucher und der Inhalte, die sie über PrivacyAds ändern. Insoweit verarbeiten wir Daten nach ihren dokumentierten Weisungen als Auftragsverarbeiter. Besucher einer Kundenwebsite wenden sich vorrangig an den Betrieb, dessen Website sie besucht haben; wir unterstützen ihn bei der Bearbeitung.

Ein Formular auf einer Kundenwebsite kann einen eigenen Datenschutzhinweis des Betriebs enthalten. Dieser ist für die konkrete Anfrage maßgeblich und ergänzt diese Plattforminformation.

3. Verarbeitete Datenkategorien

• Konto und Organisation: Name, E-Mail-Adresse, Passwort (nur als Hash), Angaben zum zweiten Faktor (Authenticator-App oder Passkey), Betrieb (Mandant), Rollen und Berechtigungen, Sprache, Einladungen.
• Abrechnung: Tarif, Status des Abonnements, Rechnungs- und Zahlungsstatus, verbrauchte KI-Credits. Vollständige Kartendaten werden beim Zahlungsanbieter verarbeitet, nicht von PrivacyAds gespeichert.
• Messung auf Kundenwebsites: Seitenaufrufe und Besuche, aufgerufene Seite, verweisende Website (nur der Rechnername), Kampagnenangaben aus der Adresse, Geräte- und Browserangaben sowie die Zahl bestätigter Anfragen je Tag, Kampagne und Einstiegsseite.
• Formulare: die Eingaben der Besucher in den vom Kunden gebauten Formularen, hochgeladene Dateien und Bilder, Unterschriften, der Status einer Einwilligung, eine zur Bestätigung angegebene E-Mail-Adresse sowie technische Anfrage- und Sicherheitsdaten.
• Website-Verbindungen: Art der Verbindung, verschlüsselt gespeicherte Zugangsdaten (etwa Token oder Passwort), Inhalte der verbundenen Website, Änderungsvorschläge, Freigaben und der Verlauf der Änderungen.
• Werbe- und Suchdaten: Kennungen verbundener Werbekonten, Kampagnennamen, Kosten, Klicks und Impressionen je Tag; Suchanfragen, Seiten, Klicks, Impressionen und Positionen aus den Suchmaschinen-Werkzeugen des Kunden; verschlüsselt gespeicherte Zugriffstoken.
• KI-Funktionen: die Aufgabe, die ein Nutzer stellt, die dafür nötigen Inhalte (etwa der Text einer Seite, Angaben aus der Wissensbasis des Betriebs oder Suchdaten) und das Ergebnis.
• Nutzung und Sicherheit: IP-Adresse, Browser- und Geräteinformationen, Zeitstempel, Sitzungen, Audit-, Diagnose- und Fehlerdaten.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung und Verwaltung der Plattform, Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
• Erfüllung gesetzlicher Aufbewahrungs-, Steuer- und Nachweispflichten (Art. 6 Abs. 1 lit. c DSGVO).
• IT-Sicherheit, Betrugs- und Missbrauchsprävention, Fehleranalyse und bedarfsgerechte Verbesserung (Art. 6 Abs. 1 lit. f DSGVO).
• Optionale Funktionen oder Anbindungen auf Grundlage einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder auf Weisung des jeweils verantwortlichen Kunden.

Soweit wir Auftragsverarbeiter sind, legt der Kunde die konkrete Rechtsgrundlage fest.

5. Messung auf Kundenwebsites

Kunden binden ein Mess-Skript von PrivacyAds in ihre Website ein. Das Skript setzt keine Cookies und legt nichts im Speicher des Browsers ab. Es zählt Seitenaufrufe und Besuche und hält fest, woher ein Besuch kam: aus einer Kampagne (Angaben aus der Adresse der Seite), von einer Suchmaschine, einem KI-Assistenten, einem sozialen Netzwerk oder einer anderen Website. Von der verweisenden Website wird nur der Rechnername ausgewertet, nie ihr Pfad oder ein Suchbegriff. Klick-Kennungen von Werbenetzwerken entfernt das Skript aus der Adresse; an die Netzwerke überträgt PrivacyAds keine Besucherdaten.

Technische Angaben des Abrufs (IP-Adresse, Browser- und Geräteangaben) werden verarbeitet, um Aufrufe zu zählen, Besuche voneinander zu unterscheiden und Missbrauch zu begrenzen. Profile einzelner Besucher über mehrere Websites hinweg bildet PrivacyAds nicht.

Gezählt werden außerdem Klicks auf Telefonnummern, E-Mail-Adressen und WhatsApp-Verweise sowie auf Verweise, die der Kunde in seinem Messplan festlegt. Festgehalten wird die Art des Klicks, nicht die Nummer oder Adresse. Für die Zählung wird die IP-Adresse nicht gespeichert: Aus ihr wird je Website und Tag eine Kennung gebildet, mit der sich Besuche desselben Tages unterscheiden lassen; am nächsten Tag ist es eine andere. Der Kunde kann die Messung auf reine Seitenaufrufe beschränken; dann entfällt auch diese Kennung, und Browserangaben, Seitentitel und verweisende Website werden nicht ausgewertet.

Eine Anfrage zählt PrivacyAds erst, wenn die Website des Kunden oder ein Formular von PrivacyAds sie als angenommen meldet. Gespeichert werden dafür Zähler je Website, Tag, Kampagne und Einstiegsseite, keine Zeile je Anfrage.

6. Formulare

Kunden bauen in PrivacyAds eigene Formulare und binden sie in ihre Website ein oder verlinken sie als eigene Seite. Die Eingaben der Besucher, hochgeladene Dateien und Unterschriften verarbeitet PrivacyAds im Auftrag des Kunden: Sie werden verschlüsselt gespeichert, im Konto des Kunden den dafür berechtigten Personen angezeigt und an die vom Kunden bestimmten Ziele zugestellt (E-Mail-Adresse oder Webhook). Jeder Blick auf eine Übermittlung wird protokolliert.

Der Kunde legt fest, wie lange Übermittlungen aufbewahrt werden (zwischen 0 und 365 Tagen; voreingestellt sind 90 Tage). Danach werden Inhalt und Dateien gelöscht. Verlangt ein Formular die Bestätigung einer E-Mail-Adresse, erhält der Besucher an diese Adresse einen Code; die Adresse wird dafür und für die Übermittlung verwendet. Zum Schutz vor Missbrauch werden Abgaben nach Zahl und Herkunft begrenzt.

7. Verbindungen zu Websites, Werbekonten und Suchdaten

PrivacyAds stellt konfigurierbare Anbindungen bereit. Daten werden nur abgerufen oder übertragen, wenn ein berechtigter Nutzer die Anbindung einrichtet und verwendet:

• Website des Kunden (WordPress, ein Repository bei GitHub, SFTP, Framer, Webflow): PrivacyAds liest Inhalte und schreibt Änderungen erst nach einer Freigabe im Konto des Kunden oder im Rahmen einer vom Kunden eingeschalteten Automatik. Zugangsdaten werden verschlüsselt gespeichert und nie wieder angezeigt.
• Werbekonten (Google Ads, Meta, TikTok): PrivacyAds ruft Kampagnen und ihre Kosten ab, um Kosten je Anfrage zu berechnen. PrivacyAds legt dort keine Kampagnen an, ändert und löscht nichts und überträgt keine Besucher- oder Kundendaten an die Netzwerke.
• Suchdaten (Google Search Console, Bing Webmaster Tools): PrivacyAds liest Suchanfragen, Seiten, Klicks, Impressionen und Positionen der Website des Kunden.
• MASPro (Vereins- und Kursverwaltung desselben Betreibers): Verbindet ein Kunde sein MASPro-Konto mit einer Domain, meldet MASPro bestätigte Anfragen und Buchungen als Zähler an PrivacyAds. Übertragen werden eine Kennung gegen doppeltes Zählen und die Herkunft des Besuchs, keine Namen, Kontaktdaten oder Antworten. PrivacyAds liest von MASPro die Namen und Adressen der Formulare, die der Kunde dort ausdrücklich freigegeben hat. Solche Formulare liefert MASPro aus; Eingaben gehen direkt dorthin.

Der Kunde ist für seine Auswahl, Konfiguration, Rechtsgrundlage und die Information der Betroffenen verantwortlich.

8. Google API Services und Google-Nutzerdaten

Wenn ein autorisierter Nutzer eine Google-Verbindung herstellt, verwendet PrivacyAds – abhängig von der ausdrücklich gewählten Funktion – folgende Berechtigungsumfänge:

• Google Search Console (webmasters.readonly): PrivacyAds liest für die vom Nutzer ausgewählte Website Suchanfragen, Seiten, Klicks, Impressionen und durchschnittliche Positionen, um sie im Konto des Kunden auszuwerten. Der Berechtigungsumfang erlaubt nur das Lesen.
• Google Ads (adwords): Die Google Ads API kennt für den Abruf von Kosten nur diesen Berechtigungsumfang; er erlaubt technisch auch das Verwalten von Kampagnen. PrivacyAds verwendet ihn ausschließlich lesend und ruft für das vom Nutzer verbundene Werbekonto Kampagnennamen, Kosten, Klicks und Impressionen je Tag ab. PrivacyAds erstellt, ändert und löscht in Google Ads nichts und lädt keine Conversions oder Kundendaten hoch.
• Speicherung: Die Kennung des verbundenen Kontos, technische Verbindungsdaten und verschlüsselte Refresh-Tokens werden gespeichert, solange die Verbindung besteht. Abgerufene Kosten und Suchdaten werden im Konto des Kunden gespeichert, solange der Vertrag besteht oder bis der Kunde sie löscht.
• Übermittlung und Weitergabe: Die Daten sind innerhalb von PrivacyAds den berechtigten Nutzern des verbundenen Kunden zugänglich. Startet ein Nutzer eine KI-gestützte Auswertung der Suchdaten oder stellt sie auf einen Zeitplan, werden Suchanfragen und zugehörige Kennzahlen ausschließlich zur Bereitstellung dieser Funktion an den dafür eingesetzten KI-Dienstleister übermittelt. Google-Nutzerdaten werden nicht verkauft, nicht für Werbung durch PrivacyAds genutzt, nicht an Datenhändler weitergegeben und nicht zum Training allgemeiner KI-Modelle verwendet. Eine sonstige Weitergabe erfolgt nur an notwendige technische Dienstleister, auf dokumentierte Weisung des Nutzers oder wenn sie gesetzlich erforderlich ist.
• Widerruf und Löschung: Die Verbindung kann in PrivacyAds entfernt und zusätzlich im Google-Konto widerrufen werden. Mit dem Entfernen löscht PrivacyAds das gespeicherte Token und die über diese Verbindung abgerufenen Kosten- und Suchdaten; der weitere Zugriff endet. Bereits erstellte Auswertungen können Auszüge daraus enthalten; ihre Löschung kann nach den unter Löschung & Betroffenenrechte beschriebenen Verfahren verlangt werden.

Google Limited Use: Die Nutzung und Übertragung von Daten, die PrivacyAds aus Google APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.

9. Meta und TikTok

Verbindet ein Nutzer ein Werbekonto bei Meta (Facebook, Instagram), verwendet PrivacyAds ein Zugriffstoken mit dem Recht ads_read. Damit ruft PrivacyAds Kampagnen des verbundenen Werbekontos und deren Kosten, Klicks und Impressionen ab. PrivacyAds liest keine Profile, Beiträge, Nachrichten oder Zielgruppen und ändert im Werbekonto nichts. Für TikTok gilt dasselbe mit einem Zugang zum Abruf von Auswertungen.

Zugriffstoken werden verschlüsselt gespeichert. Die Verbindung kann in PrivacyAds entfernt und beim jeweiligen Anbieter widerrufen werden. Mit dem Entfernen löscht PrivacyAds das Token und die von diesem Werbekonto abgerufenen Kampagnen- und Kostendaten; Näheres steht unter Löschung & Betroffenenrechte.

10. KI-Funktionen

PrivacyAds enthält Funktionen, die ein Sprachmodell verwenden: Vorschläge für Änderungen an Inhalten, Auswertungen von Suchdaten, den Entwurf von Formularen und Seiten aus einer Beschreibung und Stichproben dazu, wie KI-Assistenten über einen Betrieb Auskunft geben. Ein Lauf beginnt nur, wenn ein Nutzer ihn startet oder auf einen Zeitplan stellt. Übermittelt werden die Aufgabe und die dafür nötigen Inhalte. Eingaben von Besuchern aus Formularen werden nicht an KI-Dienstleister übermittelt. Vorschläge werden erst nach einer Freigabe veröffentlicht, außer der Kunde schaltet für eine Art von Änderung ausdrücklich eine Automatik ein.

11. Empfänger und Auftragsverarbeiter

Wir setzen Hosting-, Speicher-, Zahlungs-, E-Mail-, KI-, Monitoring- und Integrationsanbieter ein. Abhängig von den verwendeten Funktionen gehören dazu Hetzner, Cloudflare, Stripe, Resend, Anthropic, OpenAI, Sentry, DataForSEO sowie die Anbieter, die ein Kunde selbst verbindet (Google, Meta, TikTok, Microsoft, GitHub, Framer, Webflow, MASPro). Die aktuelle Übersicht mit Zweck und Einsatzbedingung steht unter Sicherheit & Dienstleister. Behörden oder Berater erhalten Daten nur bei gesetzlicher Grundlage oder zur Rechtsverteidigung.

12. Übermittlung in Drittländer

Die Plattform wird in der Europäischen Union betrieben. Einige Anbieter verarbeiten Daten möglicherweise außerhalb des Europäischen Wirtschaftsraums. Soweit kein Angemessenheitsbeschluss gilt, stützen wir Übermittlungen insbesondere auf Standardvertragsklauseln der EU-Kommission und prüfen zusätzliche Schutzmaßnahmen. Die konkrete Verarbeitung hängt von Region, Produkt und Konfiguration des Anbieters ab.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck, die Kundenbeziehung, berechtigte Sicherheits- und Nachweisinteressen oder gesetzliche Pflichten benötigt werden. Gesetzliche Rechnungs- und Buchhaltungsunterlagen werden regelmäßig sieben Jahre aufbewahrt. Übermittlungen aus Formularen richten sich nach der Frist, die der Kunde eingestellt hat. Operative Daten richten sich nach Vertrag, Konfiguration und Löschanforderung; ein Kunde kann seine Daten exportieren und die Löschung seines Betriebs im Konto veranlassen. Sicherheitsprotokolle, Sicherungen und Ereignisdaten werden nach abgestuften technischen Fristen überschrieben oder gelöscht; in Sicherungen können gelöschte Daten bis zur turnusmäßigen Überschreibung verbleiben und werden nicht für andere Zwecke wiederhergestellt.

14. Sicherheit

Wir verwenden risikoorientierte technische und organisatorische Maßnahmen, darunter TLS-Transportverschlüsselung, Verschlüsselung von Zugangsdaten und Formularinhalten, einen zweiten Faktor für Konten mit Verwaltungsrechten, rollenbasierte Zugriffe, eine Trennung der Daten je Kunde in der Datenbank, getrennte Umgebungen, Protokollierung, Updates, Sicherungen und Verfahren zur Störungsbehandlung. Kein System ist absolut sicher; Sicherheitsmeldungen können gemäß unserer Richtlinie zur Meldung von Schwachstellen übermittelt werden.

15. Rechte betroffener Personen

Betroffene haben – soweit die gesetzlichen Voraussetzungen vorliegen – Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung für die Zukunft. Außerdem besteht ein Beschwerderecht bei der Österreichischen Datenschutzbehörde. Betrifft die Anfrage eine Kundenwebsite, sollte sie zuerst an den jeweiligen Betrieb gerichtet werden. Details finden sich unter Löschung & Betroffenenrechte.

16. Kontakt und Änderungen

Datenschutzanfragen: officeSPAM-SCHUTZ-BITTE-ENTFERNEN@pock.biz. Wir aktualisieren diese Erklärung bei wesentlichen Änderungen und kennzeichnen den aktuellen Stand. Bei Änderungen, die eine erneute Einwilligung erfordern, wird diese gesondert eingeholt.